Πλαίσιο πιστοποίησης της κυβερνοασφάλειας της ΕΕ

Η πιστοποίηση διαδραματίζει καίριο ρόλο στην αύξηση της εμπιστοσύνης και της ασφάλειας σε κρίσιμα προϊόντα και υπηρεσίες για τον ψηφιακό κόσμο. Επί του παρόντος, υπάρχουν διάφορα συστήματα πιστοποίησης της ασφάλειας για προϊόντα ΤΠΕ στην ΕΕ. Ωστόσο, χωρίς κοινό πλαίσιο για έγκυρα πιστοποιητικά κυβερνοασφάλειας σε επίπεδο ΕΕ, υπάρχει αυξανόμενος κίνδυνος κατακερματισμού και φραγμών μεταξύ των κρατών μελών.

Το πλαίσιο πιστοποίησης

Το πλαίσιο πιστοποίησης θα παρέχει συστήματα πιστοποίησης σε επίπεδο ΕΕ ως ολοκληρωμένο σύνολο κανόνων, τεχνικών απαιτήσεων, προτύπων και διαδικασιών. Το πλαίσιο θα βασίζεται σε συμφωνία σε επίπεδο ΕΕ σχετικά με την αξιολόγηση των ιδιοτήτων ασφάλειας ενός συγκεκριμένου προϊόντος ή υπηρεσίας που βασίζεται στις ΤΠΕ. Θα βεβαιώνει ότι τα προϊόντα και οι υπηρεσίες ΤΠΕ που έχουν πιστοποιηθεί σύμφωνα με ένα τέτοιο σύστημα συμμορφώνονται με συγκεκριμένες απαιτήσεις.

Ειδικότερα, κάθε ευρωπαϊκό σύστημα θα πρέπει να προσδιορίζει:

• τις κατηγορίες προϊόντων και υπηρεσιών που καλύπτονται·
• τις απαιτήσεις κυβερνοασφάλειας, όπως πρότυπα ή τεχνικές προδιαγραφές·
• το είδος της αξιολόγησης, όπως η αυτοαξιολόγηση ή το τρίτο μέρος·
• Το επιδιωκόμενο επίπεδο βεβαιότητας.

Τα επίπεδα διασφάλισης χρησιμοποιούνται για την ενημέρωση των χρηστών σχετικά με τον κίνδυνο κυβερνοασφάλειας ενός προϊόντος και μπορεί να είναι βασικά, ουσιαστικά και/ή υψηλά. Είναι ανάλογες με το επίπεδο κινδύνου που συνδέεται με την προβλεπόμενη χρήση του προϊόντος, της υπηρεσίας ή της διαδικασίας, όσον αφορά την πιθανότητα και τις επιπτώσεις ενός ατυχήματος. Ένα υψηλό επίπεδο διασφάλισης θα σήμαινε ότι το πιστοποιημένο προϊόν πέρασε τις υψηλότερες δοκιμές ασφάλειας.

Το προκύπτον πιστοποιητικό

Το πιστοποιητικό που θα προκύψει θα αναγνωρίζεται σε όλα τα κράτη μέλη της ΕΕ, διευκολύνοντας τις επιχειρήσεις να πραγματοποιούν διασυνοριακές συναλλαγές και τους αγοραστές να κατανοούν τα χαρακτηριστικά ασφαλείας του προϊόντος ή της υπηρεσίας.

Για περισσότερες πληροφορίες σχετικά με το έργο που έχει επιτελεστεί όσον αφορά την πιστοποίηση κυβερνοασφάλειας της ΕΕ, συμβουλευτείτε την πιστοποίηση κυβερνοασφάλειας του ENISA.

Το πρώτο σύστημα πιστοποίησης της κυβερνοασφάλειας της ΕΕ σχετικά με τα κοινά κριτήρια (EUCC)

Το πρώτο σύστημα που θα εγκριθεί βάσει του πλαισίου πιστοποίησης της πράξης για την κυβερνοασφάλεια βασίζεται στα γνωστά διεθνή πρότυπα κοινών κριτηρίων, τα οποία χρησιμοποιούνται για την έκδοση πιστοποιητικών στην Ευρώπη εδώ και σχεδόν 30 χρόνια. Το σύστημα αξιοποιεί την υψηλή φήμη των ευρωπαίων πωλητών και πιστοποιητών που χρησιμοποιούν την πιστοποίηση βάσει κοινών κριτηρίων σε ολόκληρο τον κόσμο. Το σύστημα θα αρχίσει να είναι διαθέσιμο για τους πωλητές από τις 27 Φεβρουαρίου 2025.

Το σύστημα θα εφαρμόζεται σε ολόκληρη την ΕΕ, σε εθελοντική βάση, και επικεντρώνεται στην πιστοποίηση της κυβερνοασφάλειας των προϊόντων ΤΠΕ στον κύκλο ζωής τους, συμπεριλαμβανομένων των εξής:

• Βιομετρικά συστήματα
• Τείχη προστασίας (υλικό και λογισμικό)
• Πλατφόρμες ανίχνευσης και απόκρισης
• Δρομολογητές
• Διακόπτες
• Εξειδικευμένο λογισμικό (όπως συστήματα SIEM και IDS/IDP)
• Δίοδοι δεδομένων
• Λειτουργικά συστήματα (συμπεριλαμβανομένων των κινητών συσκευών)
• Κρυπτογραφημένες αποθήκες
• Βάσεις δεδομένων
• Έξυπνες κάρτες και ασφαλή στοιχεία που περιλαμβάνονται σε όλα τα είδη προϊόντων, όπως στα διαβατήρια που χρησιμοποιούνται καθημερινά από όλους τους πολίτες. 

Για περισσότερες πληροφορίες σχετικά με το EUCC, συμβουλευτείτε τον ιστότοπο πιστοποίησης του ENISA.

Ένα ανανεωμένο ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας

Στις 20 Ιανουαρίου 2026 η Επιτροπή πρότεινε αναθεωρημένη πράξη για την κυβερνοασφάλεια με την οποία ανανεώνεται το ευρωπαϊκό πλαίσιο πιστοποίησης της κυβερνοασφάλειας (ECCF). Η πρόταση θα διασφαλίσει ότι τα προϊόντα και οι υπηρεσίες που φθάνουν στους καταναλωτές της ΕΕ δοκιμάζονται για την ασφάλεια με πιο αποτελεσματικό τρόπο. Το νέο ECCF θα προσφέρει μεγαλύτερη σαφήνεια και απλούστερες διαδικασίες για την ανάπτυξη συστημάτων εντός 12 μηνών εξ ορισμού. Θα εισαγάγει επίσης πιο ευέλικτη και διαφανή διακυβέρνηση για την καλύτερη συμμετοχή των ενδιαφερόμενων μερών μέσω της ενημέρωσης του κοινού και της διαβούλευσης.

Τα συστήματα πιστοποίησης, τα οποία διαχειρίζεται ο ENISA, θα καταστούν ένα πρακτικό, εθελοντικό εργαλείο για τις επιχειρήσεις. Θα επιτρέψουν στις επιχειρήσεις να αποδείξουν τη συμμόρφωσή τους με τη νομοθεσία της ΕΕ, μειώνοντας τον φόρτο και το κόστος. Για τους πολίτες, τις επιχειρήσεις και τις δημόσιες αρχές της ΕΕ, θα εξασφαλίσει υψηλό επίπεδο ασφάλειας και εμπιστοσύνης στις πολύπλοκες αλυσίδες εφοδιασμού ΤΠΕ. 

Το κυλιόμενο πρόγραμμα εργασίας της Ένωσης για την ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας (URWP)

Το κυλιόμενο πρόγραμμα εργασίας της Ένωσης (URWP) για την ευρωπαϊκή πιστοποίηση της κυβερνοασφάλειας δημοσιεύθηκε ταυτόχρονα με το πρώτο σύστημα πιστοποίησης της κυβερνοασφάλειας σε επίπεδο ΕΕ (EUCC). Η πρώτη URWP περιγράφει στρατηγικές προτεραιότητες για τα μελλοντικά ευρωπαϊκά συστήματα πιστοποίησης της κυβερνοασφάλειας, λαμβάνοντας υπόψη τις πρόσφατες νομοθετικές εξελίξεις και τις εξελίξεις της αγοράς, όπως η πράξη για την κυβερνοανθεκτικότητα (CRA) και ο κανονισμός για την ευρωπαϊκή ψηφιακή ταυτότητα. Αυτό μπορεί τελικά να οδηγήσει σε αιτήματα για νέα καθεστώτα, όπου είναι αναγκαίο και σκόπιμο. Επιπλέον, περιγράφει τις στρατηγικές προτεραιότητες που πρέπει να λαμβάνονται υπόψη κατά την προετοιμασία οποιουδήποτε ευρωπαϊκού συστήματος πιστοποίησης της κυβερνοασφάλειας. 

Η URWP τονίζει τους ακόλουθους τομείς για τη μελλοντική ευρωπαϊκή πιστοποίηση της ασφάλειας στον κυβερνοχώρο που συνδέονται με τη νομοθεσία της ΕΕ:

• Πορτοφόλια ταυτότητας
• Διαχειριζόμενες υπηρεσίες ασφάλειας
• Βιομηχανικά συστήματα αυτοματισμού και ελέγχου
• Ανάπτυξη του κύκλου ζωής της ασφάλειας με βάση τις απαιτήσεις των ΟΑΠΙ
• Κρυπτογραφικοί μηχανισμοί

Η Ευρωπαϊκή Ομάδα Πιστοποίησης της Κυβερνοασφάλειας (ECCG)

Η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας (ECCG) συστάθηκε για να συμβάλει στη διασφάλιση της συνεπούς υλοποίησης και εφαρμογής της πράξης για την κυβερνοασφάλεια. Απαρτίζεται από εκπροσώπους των εθνικών αρχών πιστοποίησης της κυβερνοασφάλειας ή εκπροσώπους άλλων σχετικών εθνικών αρχών. Η ECCG είναι καθοριστικής σημασίας για την προετοιμασία του υποψήφιου συστήματος πιστοποιητικών και τη γενική εφαρμογή του πλαισίου πιστοποίησης.

Η ομάδα συμφεροντούχων για την πιστοποίηση της κυβερνοασφάλειας (SCCG)

Μετά την έναρξη ισχύος της πράξης για την κυβερνοασφάλεια το 2019, συστάθηκε η ομάδα συμφεροντούχων για την πιστοποίηση της κυβερνοασφάλειας (SCCG). 

Η SCCG είναι αρμόδια για την παροχή συμβουλών στην Επιτροπή και τον ENISA σχετικά με στρατηγικά ζητήματα που αφορούν την πιστοποίηση της κυβερνοασφάλειας, καθώς και για την παροχή συνδρομής στην Επιτροπή κατά την προετοιμασία του κυλιόμενου προγράμματος εργασίας της Ένωσης (URWP). Πρόκειται για την πρώτη ομάδα εμπειρογνωμόνων ενδιαφερόμενων μερών για την πιστοποίηση της κυβερνοασφάλειας που συστάθηκε από την Ευρωπαϊκή Επιτροπή.

Παρακολούθηση των εργασιών της Ομάδας