Uniós kiberbiztonsági tanúsítási keret

A tanúsítás döntő szerepet játszik a digitális világ számára kritikus termékek és szolgáltatások iránti bizalom és biztonság növelésében. Jelenleg az EU-ban számos különböző biztonsági tanúsítási rendszer létezik az IKT-termékekre vonatkozóan. Az egész EU-ra kiterjedő érvényes kiberbiztonsági tanúsítványok közös kerete nélkül azonban egyre nagyobb a széttagoltság és a tagállamok közötti akadályok kockázata.

A tanúsítási keretrendszer

A tanúsítási keretrendszer átfogó szabály-, műszaki követelmény-, szabvány- és eljárásrendszerként az egész EU-ra kiterjedő tanúsítási rendszereket fog biztosítani. A keret egy adott IKT-alapú termék vagy szolgáltatás biztonsági tulajdonságainak értékeléséről szóló uniós szintű megállapodáson fog alapulni. Tanúsítja, hogy az ilyen rendszerrel összhangban tanúsított IKT-termékek és -szolgáltatások megfelelnek a meghatározott követelményeknek.

Az egyes európai rendszereknek különösen a következőket kell meghatározniuk:

• az érintett termék- és szolgáltatáskategóriák;
• kiberbiztonsági követelmények, például szabványok vagy műszaki előírások;
• az értékelés típusa, például önértékelés vagy harmadik fél;
• A tervezett megbízhatósági szint.

A megbízhatósági szintek arra szolgálnak, hogy tájékoztassák a felhasználókat a termék kiberbiztonsági kockázatairól, és lehetnek alapvetőek, jelentősek és/vagy magasak. Összeegyeztethetők a termék, szolgáltatás vagy folyamat rendeltetésszerű használatához kapcsolódó kockázat szintjével a baleset valószínűsége és hatása tekintetében. A magas biztonsági szint azt jelentené, hogy a tanúsított termék megfelelt a legmagasabb biztonsági teszteken.

Az eredményül kapott tanúsítvány

Az így létrejövő tanúsítványt valamennyi uniós tagállamban elismerik, ami megkönnyíti a vállalkozások számára a határokon átnyúló kereskedelmet, a vásárlók számára pedig a termék vagy szolgáltatás biztonsági jellemzőinek megértését.

Ha többet szeretne megtudni az uniós kiberbiztonsági tanúsítással kapcsolatban végzett munkáról, kérjük, olvassa el az ENISA kiberbiztonsági tanúsítását.

Az első közös kritériumokon alapuló uniós kiberbiztonsági tanúsítási rendszer (EUCC)

A kiberbiztonsági jogszabály tanúsítási keretrendszere keretében elfogadandó első rendszer a híres nemzetközi szabványon, a Common Criteria-n alapul, amelyet Európában már közel 30 éve használnak a tanúsítványok kiállítására. A rendszer kihasználja a közös kritériumokon alapuló tanúsítást alkalmazó európai forgalmazók és tanúsítók jó hírnevét az egész világon. A rendszer 2025. február 27-től lesz elérhető az értékesítők számára.

A rendszer önkéntes alapon az egész EU-ban alkalmazandó lesz, és az IKT-termékek kiberbiztonsági tanúsítására összpontosít azok életciklusa során, beleértve a következőket:

• Biometrikus rendszerek
• Tűzfalak (hardver és szoftver)
• Detektálási és reagálási platformok
• Útválasztók
• Kapcsolók
• Speciális szoftverek (például SIEM és IDS/IDP rendszerek)
• Adatdiódák
• Operációs rendszerek (mobileszközökhöz is)
• Titkosított tárolók
• Adatbázisok
• Intelligens kártyák és biztonságos elemek mindenféle termékben, például a polgárok által naponta használt útlevelekben. 

Ha többet szeretne megtudni az EUCC-ről, kérjük, látogasson el az ENISA tanúsítási weboldalára.

Megújított európai kiberbiztonsági tanúsítási keretrendszer

A Bizottság 2026. január 20-án javaslatot tett az európai kiberbiztonsági tanúsítási keretrendszer megújításáról szóló felülvizsgált kiberbiztonsági jogszabályra. A javaslat biztosítani fogja, hogy az uniós fogyasztókhoz eljutó termékeket és szolgáltatásokat hatékonyabban teszteljék a biztonság szempontjából. Az új ECCF alapértelmezés szerint 12 hónapon belül egyértelműbbé és egyszerűbbé teszi a rendszerek kifejlesztésére vonatkozó eljárásokat. Emellett agilisabb és átláthatóbb irányítást vezet be annak érdekében, hogy a nyilvánosság tájékoztatása és a nyilvános konzultáció révén jobban bevonja az érdekelt feleket.

Az ENISA által kezelt tanúsítási rendszerek gyakorlati, önkéntes eszközzé válnak a vállalkozások számára. Lehetővé teszik a vállalkozások számára, hogy bizonyítsák az uniós jogszabályoknak való megfelelést, csökkentve a terheket és a költségeket. Az uniós polgárok, vállalkozások és hatóságok számára magas szintű biztonságot és bizalmat biztosít az összetett IKT-ellátási láncokban. 

Az európai kiberbiztonsági tanúsításra vonatkozó uniós gördülő munkaprogram

Az európai kiberbiztonsági tanúsításra vonatkozó uniós gördülő munkaprogramot az első uniós szintű kiberbiztonsági tanúsítási rendszerrel (EUCC) egyidejűleg tették közzé. Az első uniós megújulóenergia-munkacsoport stratégiai prioritásokat vázol fel a jövőbeli európai kiberbiztonsági tanúsítási rendszerekre vonatkozóan, figyelembe véve a közelmúltbeli jogalkotási és piaci fejleményeket, például a kiberrezilienciáról szóló jogszabályt és az európai digitális személyazonosságról szóló rendeletet. Ez szükség esetén és adott esetben új rendszerek iránti kérelmekhez vezethet. Emellett felvázolja az európai kiberbiztonsági tanúsítási rendszerek kidolgozása során figyelembe veendő stratégiai prioritásokat. 

Az uniós kiberbiztonsági munkacsoport az uniós jogszabályokhoz kapcsolódó jövőbeli európai kiberbiztonsági tanúsítás következő területeit hangsúlyozza:

• ID Pénztárcák
• Menedzselt biztonsági szolgáltatások
• Ipari automatizálási és vezérlőrendszerek
• A biztonsági életciklus fejlesztése a hitelminősítő intézetekre vonatkozó követelmények alapján
• Kriptográfiai mechanizmusok

Az Európai Kiberbiztonsági Tanúsítási Csoport (ECCG)

Az Európai Kiberbiztonsági Tanúsítási Csoportot (ECCG) azért hozták létre, hogy segítse a kiberbiztonsági jogszabály következetes végrehajtását és alkalmazását. A nemzeti kiberbiztonsági tanúsító hatóságok képviselőiből vagy más érintett nemzeti hatóságok képviselőiből áll. Az európai kiberbiztonsági tanúsítási csoport fontos szerepet játszik a tanúsítványra irányuló javaslat rendszerének előkészítésében és a tanúsítási keretrendszer általános végrehajtásában.

Az érdekelt felek kiberbiztonsági tanúsítási csoportja (SCCG)

A kiberbiztonsági jogszabály 2019. évi hatálybalépését követően létrehozták az érdekelt felek kiberbiztonsági tanúsítási csoportját (SCCG). 

Az SCCG feladata, hogy tanácsot adjon a Bizottságnak és az ENISA-nak a kiberbiztonsági tanúsítással kapcsolatos stratégiai kérdésekben, és segítse a Bizottságot az uniós gördülő munkaprogram előkészítésében. Ez az első kiberbiztonsági tanúsítással foglalkozó szakértői csoport, amelyet az Európai Bizottság hozott létre.

A csoport munkájának nyomon követése