ELi küberturvalisuse sertifitseerimise raamistik

Sertifitseerimisel on oluline roll digimaailma jaoks kriitilise tähtsusega toodete ja teenuste usaldusväärsuse ja turvalisuse suurendamisel. Praegu on ELis kasutusel mitu erinevat IKT toodete turvalisuse sertifitseerimise kava. Ilma kogu ELi hõlmavate kehtivate küberturvalisuse sertifikaatide ühise raamistikuta suureneb aga killustatuse ja tõkete oht liikmesriikide vahel.

Sertifitseerimisraamistik

Sertifitseerimisraamistikuga nähakse ette kogu ELi hõlmavad sertifitseerimiskavad kui eeskirjade, tehniliste nõuete, standardite ja menetluste terviklik kogum. Raamistik põhineb ELi tasandil sõlmitud kokkuleppel konkreetse IKT-põhise toote või teenuse turvaomaduste hindamise kohta. Sellega tõendatakse, et sellise kava kohaselt sertifitseeritud IKT tooted ja teenused vastavad kindlaksmääratud nõuetele.

Eelkõige tuleks igas Euroopa kavas täpsustada:

• hõlmatud toodete ja teenuste kategooriad;
• küberturvalisuse nõuded, näiteks standardid või tehnilised kirjeldused;
• hindamise liik, näiteks enesehindamine või kolmas isik;
• Ettenähtud kindlustase.

Usaldusväärsuse tasemeid kasutatakse kasutajate teavitamiseks toote küberturvalisuse riskist ning need võivad olla põhilised, olulised ja/või kõrged. Need on vastavuses toote, teenuse või protsessi kavandatud kasutusega seotud riski tasemega, pidades silmas õnnetuse tõenäosust ja mõju. Kõrge usaldusväärsuse tase tähendaks, et sertifitseeritud toode läbib kõrgeimad turvatestid.

Saadud sertifikaat

Saadud sertifikaati tunnustatakse kõigis ELi liikmesriikides, mis lihtsustab ettevõtjate piiriülest kauplemist ja ostjate jaoks toote või teenuse turvaelementide mõistmist.

Lisateavet ELi küberturvalisuse sertifitseerimise valdkonnas tehtud töö kohta leiate ENISA küberturvalisuse sertifitseerimise veebisaidilt.

ELi küberturvalisuse sertifitseerimise kava ühiste kriteeriumide kohta

Esimene küberturvalisust käsitleva õigusakti sertifitseerimisraamistiku alusel vastu võetav kava põhineb tunnustatud rahvusvahelisel standardil „Common Criteria“ (ühised kriteeriumid), mida on Euroopas sertifikaatide väljaandmisel kasutatud juba peaaegu 30 aastat. Kavas kasutatakse ära ühistel kriteeriumidel põhinevat sertifitseerimist kasutavate Euroopa müüjate ja sertifitseerijate head mainet kogu maailmas. Kava hakatakse müüjatele kättesaadavaks tegema alates 27. veebruarist 2025.

Kava kohaldatakse kogu ELis vabatahtlikkuse alusel ja selles keskendutakse IKT-toodete küberturvalisuse sertifitseerimisele nende olelusringi jooksul, sealhulgas:

• Biomeetrilised süsteemid
• Tulemüürid (nii riist- kui ka tarkvara)
• Avastamis- ja reageerimisplatvormid
• Ruuterid
• Lülitid
• Spetsialiseeritud tarkvara (nt SIEM ja IDS/IDP süsteemid)
• Andmedioodid
• Operatsioonisüsteemid (sh mobiilseadmetele)
• Krüpteeritud salvestusruumid
• Andmebaasid
• Kiipkaardid ja turvaelemendid, mis sisalduvad igat liiki toodetes, näiteks passides, mida kasutavad iga päev kõik kodanikud. 

Lisateavet EUCC kohta leiate ENISA sertifitseerimisveebisaidilt.

Euroopa küberturvalisuse sertifitseerimise liidu jooksev tööprogramm

Euroopa küberturvalisuse sertifitseerimise liidu jooksev tööprogramm avaldati samal ajal kui esimene kogu ELi hõlmav küberturvalisuse sertifitseerimise kava. Esimeses liidu küberturvalisuse tööprogrammis esitatakse tulevaste Euroopa küberturvalisuse sertifitseerimise kavade strateegilised prioriteedid, võttes arvesse hiljutisi seadusandlikke ja turusuundumusi, nagu küberkerksuse määrus ja Euroopa digiidentiteedi määrus. See võib lõpuks viia uute kavade taotlemiseni, kui see on vajalik ja asjakohane. Lisaks esitatakse selles strateegilised prioriteedid, mida tuleb Euroopa küberturvalisuse sertifitseerimise kava ettevalmistamisel arvesse võtta. 

URWP rõhutab ELi õigusaktidega seotud tulevase Euroopa küberturvalisuse sertifitseerimise järgmisi valdkondi:

• ID-rahakotid
• Hallatud turvateenused
• Tööstusautomaatika ja juhtimissüsteemid
• Turvalisuse elutsükli arendamine reitinguagentuuride nõuete alusel
• Krüptograafilised mehhanismid

Euroopa küberturvalisuse sertifitseerimise rühm (ECCG)

Euroopa küberturvalisuse sertifitseerimise rühm (ECCG) loodi selleks, et aidata tagada küberturvalisuse määruse järjepidev rakendamine ja kohaldamine. See koosneb riiklike küberturvalisuse sertifitseerimise asutuste esindajatest või muude asjaomaste riiklike asutuste esindajatest. Euroopa küberturvalisuse sertifitseerimise rühmal on oluline roll ettevalmistava sertifitseerimiskava ettevalmistamisel ja sertifitseerimisraamistiku üldisel rakendamisel.

Sidusrühmade küberturvalisuse sertifitseerimise rühm (SCCG)

Pärast küberturvalisuse määruse jõustumist 2019. aastal loodi sidusrühmade küberturvalisuse sertifitseerimise rühm. 

Juhtrühm nõustab komisjoni ja ENISAt küberturvalisuse sertifitseerimise strateegilistes küsimustes ning abistab komisjoni liidu jooksva tööprogrammi ettevalmistamisel. See on esimene Euroopa Komisjoni loodud küberturvalisuse sertifitseerimise sidusrühmade eksperdirühm.

Jälgige rühma tööd