© iStock by Getty Images -1159281243 Wojtek Skora
La certification joue un rôle crucial dans le renforcement de la confiance et de la sécurité dans les produits et services importants pour le monde numérique. À l’heure actuelle, différents systèmes de certification de sécurité pour les produits TIC existent dans l’UE. Toutefois, en l’absence d’un cadre commun pour les certificats de cybersécurité valides à l’échelle de l’UE, il existe un risque croissant de fragmentation et d’obstacles entre les États membres.
Le cadre de certification fournira des systèmes de certification à l’échelle de l’UE en tant qu’ensemble complet de règles, d’exigences techniques, de normes et de procédures. Le cadre sera fondé sur un accord au niveau de l’UE sur l’évaluation des propriétés de sécurité d’un produit ou d’un service spécifique fondé sur les TIC. Il attestera que les produits et services TIC qui ont été certifiés conformément à un tel système sont conformes aux exigences spécifiées.
En particulier, chaque régime européen devrait préciser:
- les catégories de produits et services couverts;
- les exigences en matière de cybersécurité, telles que les normes ou les spécifications techniques;
- le type d’évaluation, comme l’auto-évaluation ou un tiers;
- le niveau d’assurance prévu.
Les niveaux d’assurance sont utilisés pour informer les utilisateurs du risque de cybersécurité d’un produit et peuvent être de base, substantiels et/ou élevés. Ils sont proportionnels au niveau de risque associé à l’utilisation prévue du produit, du service ou du procédé, en termes de probabilité et d’impact d’un accident. Un niveau d’assurance élevé signifierait que le produit certifié a passé les tests de sécurité les plus élevés.
Le certificat qui en résulte sera reconnu dans tous les États membres de l’UE, ce qui facilitera le commerce transfrontalier des entreprises et permettra aux acheteurs de comprendre les caractéristiques de sécurité du produit ou du service.
En ce qui concerne la mise en œuvre du cadre de certification, les autorités des États membres, réunies au sein du groupe européen de certification de cybersécurité (ECCG), se sont déjà réunies à plusieurs reprises.
Groupe de certification de la cybersécurité des parties prenantes
À la suite de l’entrée en vigueur de la loi sur la cybersécurité en 2019, la Commission européenne a lancé un appel à candidatures pour sélectionner des membres du groupe de certification de cybersécurité des parties prenantes (SCCG).
Le SCCG sera chargé de conseiller la Commission et l’ENISA sur les questions stratégiques relatives à la certification de cybersécurité et d’assister la Commission dans la préparation du programme de travail glissant de l’Union. Il s’agit du premier groupe d’experts des parties prenantes pour la certification de cybersécurité lancé par la Commission européenne.
Dernières nouvelles
Contenu associé
Vue d’ensemble
L’Union européenne travaille sur différents fronts pour promouvoir la cyberrésilience, préserver nos communications et nos données et assurer la sécurité de la société et de l’économie en ligne.
À lire également
Le réseau européen de cybersécurité et le Centre de compétences en cybersécurité aident l’UE à conserver et à développer les capacités technologiques et industrielles en matière de cybersécurité.
Le groupe des parties prenantes pour la certification de cybersécurité a été créé pour fournir des conseils sur les questions stratégiques relatives à la certification de cybersécurité.
La loi sur la cybersécurité renforce l’Agence de l’UE pour la cybersécurité (ENISA) et établit un cadre de certification de cybersécurité pour les produits et services.
La directive SRI est le premier texte législatif à l’échelle de l’UE en matière de cybersécurité. Il prévoit des mesures juridiques visant à renforcer le niveau global de cybersécurité dans l’UE.