EU's ramme for cybersikkerhedscertificering

Certificering spiller en afgørende rolle med hensyn til at øge tilliden til og sikkerheden af kritiske produkter og tjenester til den digitale verden. På nuværende tidspunkt findes der en række forskellige sikkerhedscertificeringsordninger for IKT-produkter i EU. Uden en fælles ramme for EU-dækkende gyldige cybersikkerhedsattester er der imidlertid en stigende risiko for fragmentering og hindringer mellem medlemsstaterne.

Certificeringsrammen

Certificeringsrammen vil omfatte EU-dækkende certificeringsordninger som et omfattende sæt regler, tekniske krav, standarder og procedurer. Rammen vil blive baseret på en aftale på EU-plan om evaluering af et bestemt IKT-baseret produkts eller en bestemt IKT-tjenestes sikkerhedsegenskaber. Den vil attestere, at IKT-produkter og -tjenester, der er certificeret i overensstemmelse med en sådan ordning, opfylder specifikke krav.

Hver europæisk ordning bør navnlig præcisere:

• de kategorier af produkter og tjenesteydelser, der er omfattet
• cybersikkerhedskravene såsom standarder eller tekniske specifikationer
• typen af evaluering, f.eks. selvevaluering eller tredjepartsevaluering
• Det tilsigtede sikkerhedsniveau.

Tillidsniveauerne bruges til at informere brugerne om et produkts cybersikkerhedsrisiko og kan være grundlæggende, væsentlige og/eller høje. De står i et rimeligt forhold til det risikoniveau, der er forbundet med den tilsigtede anvendelse af produktet, tjenesteydelsen eller processen, med hensyn til sandsynligheden for og virkningen af en ulykke. Et højt sikkerhedsniveau betyder, at det certificerede produkt har bestået de højeste sikkerhedstests.

Det resulterende certifikat

Det resulterende certifikat vil blive anerkendt i alle EU-medlemsstater, hvilket vil gøre det lettere for virksomheder at handle på tværs af grænserne og for købere at forstå produktets eller tjenesteydelsens sikkerhedsfunktioner.

Du kan læse mere om det arbejde, der er udført med EU's cybersikkerhedscertificering, i ENISA's cybersikkerhedscertificering.

Den første EU-cybersikkerhedscertificeringsordning om fælles kriterier (EUCC)

Den første ordning, der skal vedtages i henhold til certificeringsrammen i forordningen om cybersikkerhed, er baseret på den anerkendte internationale standard Fælles kriterier, der anvendes til at udstede certifikater i Europa i næsten 30 år nu. Ordningen drager fordel af det høje omdømme hos europæiske leverandører og certificeringsorganer, der anvender den fælles kriteriebaserede certificering i hele verden. Ordningen vil begynde at være tilgængelig for leverandører fra den 27. februar 2025.

Ordningen vil finde anvendelse i hele EU på frivillig basis og fokuserer på certificering af IKT-produkters cybersikkerhed i deres livscyklus, herunder:

• Biometriske systemer
• Firewalls (både hardware og software)
• Detektions- og reaktionsplatforme
• Routere
• Afbrydere
• Specialiseret software (såsom SIEM- og IDS/IDP-systemer)
• Datadioder
• Operativsystemer (herunder til mobile enheder)
• Krypterede lagre
• Databaser
• Smartkort og sikre elementer, der indgår i alle former for produkter, f.eks. i pas, der dagligt anvendes af alle borgere. 

Du kan læse mere om EUCC på ENISA's certificeringswebsted.

En fornyet europæisk ramme for cybersikkerhedscertificering

Den 20. januar 2026 foreslog Kommissionen en revideret forordning om cybersikkerhed, der forlænger den europæiske ramme for cybersikkerhedscertificering (ECCF). Forslaget vil sikre, at produkter og tjenesteydelser, der når ud til EU's forbrugere, testes for sikkerhed på en mere effektiv måde. Den nye ECCF vil skabe større klarhed og enklere procedurer for udvikling af ordninger inden for 12 måneder som standard. Den vil også indføre en mere fleksibel og gennemsigtig forvaltning for bedre at inddrage interessenterne gennem offentlig information og høring.

Certificeringsordninger, der forvaltes af ENISA, vil blive et praktisk, frivilligt redskab for virksomheder. De vil gøre det muligt for virksomhederne at påvise, at de overholder EU-lovgivningen, hvilket vil mindske byrden og omkostningerne. For EU's borgere, virksomheder og offentlige myndigheder vil det sikre et højt sikkerhedsniveau og tillid til komplekse IKT-forsyningskæder. 

EU's rullende arbejdsprogram for europæisk cybersikkerhedscertificering

EU's rullende arbejdsprogram for europæisk cybersikkerhedscertificering blev offentliggjort samtidig med den første EU-dækkende cybersikkerhedscertificeringsordning (EUCC). Det første URWP skitserer strategiske prioriteter for fremtidige europæiske cybersikkerhedscertificeringsordninger under hensyntagen til den seneste lovgivnings- og markedsudvikling såsom forordningen om cyberrobusthed og forordningen om den europæiske digitale identitet. Dette kan i sidste ende føre til anmodninger om nye ordninger, hvor det er nødvendigt og hensigtsmæssigt. Desuden skitseres de strategiske prioriteter, der skal tages i betragtning ved udarbejdelsen af en europæisk cybersikkerhedscertificeringsordning. 

URWP understreger følgende områder for fremtidig europæisk cybersikkerhedscertificering i forbindelse med EU-lovgivningen:

• ID-tegnebøger
• Administrerede sikkerhedstjenester
• Industrielle automatiserings- og kontrolsystemer
• Udvikling af sikkerhedslivscyklus på grundlag af CRA-kravene
• Kryptografiske mekanismer

Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG)

Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG) blev oprettet for at bidrage til at sikre en konsekvent gennemførelse og anvendelse af forordningen om cybersikkerhed. Det består af repræsentanter for nationale cybersikkerhedscertificeringsmyndigheder eller repræsentanter for andre relevante nationale myndigheder. ECCG er afgørende for udarbejdelsen af den foreslåede certifikatordning og den generelle gennemførelse af certificeringsrammen.

Gruppen for Cybersikkerhedscertificering af Interessenter (SCCG)

Efter ikrafttrædelsen af forordningen om cybersikkerhed i 2019 blev cybersikkerhedscertificeringsgruppen for interessenter (SCCG) oprettet. 

SCCG er ansvarlig for at rådgive Kommissionen og ENISA om strategiske spørgsmål vedrørende cybersikkerhedscertificering og bistå Kommissionen med udarbejdelsen af Unionens rullende arbejdsprogram. Dette er den første ekspertgruppe for cybersikkerhedscertificering, som Europa-Kommissionen har lanceret.

Følg gruppens arbejde