ES kibernetinio saugumo sertifikavimo sistema

Sertifikavimas atlieka labai svarbų vaidmenį didinant pasitikėjimą skaitmeniniam pasauliui itin svarbiais produktais ir paslaugomis ir jų saugumą. Šiuo metu ES taikomos įvairios IRT produktų saugumo sertifikavimo sistemos. Tačiau nesant bendros visoje ES galiojančių kibernetinio saugumo sertifikatų sistemos, didėja susiskaidymo ir kliūčių tarp valstybių narių rizika.

Sertifikavimo sistema

Sertifikavimo sistema užtikrins ES masto sertifikavimo schemas kaip išsamų taisyklių, techninių reikalavimų, standartų ir procedūrų rinkinį. Sistema bus grindžiama ES lygmens susitarimu dėl konkretaus IRT grindžiamo produkto ar paslaugos saugumo savybių vertinimo. Juo patvirtinama, kad pagal tokią schemą sertifikuoti IRT produktai ir paslaugos atitinka nustatytus reikalavimus.

Visų pirma kiekvienoje Europos schemoje turėtų būti nurodyta:

• produktų ir paslaugų, kuriems taikoma ši direktyva, kategorijos;
• kibernetinio saugumo reikalavimus, pavyzdžiui, standartus ar technines specifikacijas;
• vertinimo rūšis, pvz., savęs vertinimas arba trečioji šalis;
• Numatomas patikinimo lygis.

Saugumo užtikrinimo lygiai naudojami naudotojams informuoti apie produkto kibernetinio saugumo riziką ir gali būti baziniai, pakankami ir (arba) dideli. Jie yra proporcingi rizikos, susijusios su numatoma gaminio, paslaugos ar proceso paskirtimi, lygiui pagal nelaimingo atsitikimo tikimybę ir poveikį. Aukštas saugumo užtikrinimo lygis reikštų, kad sertifikuotas produktas išlaikė aukščiausius saugumo bandymus.

Gautas sertifikatas

Gautas sertifikatas bus pripažįstamas visose ES valstybėse narėse, todėl įmonėms bus lengviau prekiauti tarpvalstybiniu mastu, o pirkėjams – suprasti produkto ar paslaugos apsaugos priemones.

Norėdami sužinoti daugiau apie darbą, atliktą ES kibernetinio saugumo sertifikavimo srityje, žr. ENISA kibernetinio saugumo sertifikavimą.

ES kibernetinio saugumo sertifikavimo schema pagal bendruosius kriterijus (EUCC)

Pirmoji schema, kuri turi būti priimta pagal Kibernetinio saugumo akto sertifikavimo sistemą, grindžiama žinomais tarptautiniais standartiniais bendraisiais kriterijais, kurie jau beveik 30 metų naudojami išduodant sertifikatus Europoje. Taikant šią sistemą pasinaudojama aukšta Europos pardavėjų ir sertifikuotojų, visame pasaulyje naudojančių bendrais kriterijais grindžiamą sertifikavimą, reputacija. Šia schema pardavėjai galės naudotis nuo 2025 m. vasario 27 d.

Schema bus taikoma visoje ES savanoriškai ir daugiausia dėmesio bus skiriama IRT produktų kibernetinio saugumo sertifikavimui per jų gyvavimo ciklą, įskaitant:

• Biometrinės sistemos
• Užkardos (techninė ir programinė įranga)
• Aptikimo ir reagavimo platformos
• Maršruto parinktuvai
• Jungikliai
• Specializuota programinė įranga (pvz., SIEM ir IDS/IDP sistemos)
• Duomenų diodai
• Operacinės sistemos (įskaitant mobiliuosius įrenginius)
• Šifruotos saugyklos
• Duomenų bazės
• Išmaniosios kortelės ir saugūs elementai, įtraukti į visų rūšių produktus, pavyzdžiui, į visų piliečių kasdien naudojamus pasus. 

Daugiau informacijos apie EUCC rasite ENISA sertifikavimo svetainėje.

Tęstinė Sąjungos Europos kibernetinio saugumo sertifikavimo darbo programa (URWP)

Tęstinė Sąjungos darbo programa (TDP) dėl Europos kibernetinio saugumo sertifikavimo buvo paskelbta tuo pačiu metu kaip ir pirmoji ES masto kibernetinio saugumo sertifikavimo schema (EUCC). Pirmojoje TDP išdėstyti strateginiai būsimų Europos kibernetinio saugumo sertifikavimo schemų prioritetai, atsižvelgiant į naujausius teisėkūros ir rinkos pokyčius, pavyzdžiui, Kibernetinio atsparumo aktą (KRA) ir Europos skaitmeninės tapatybės reglamentą. Dėl to prireikus ir tinkamais atvejais gali būti prašoma taikyti naujas schemas. Be to, jame išdėstomi strateginiai prioritetai, į kuriuos reikia atsižvelgti rengiant bet kurią Europos kibernetinio saugumo sertifikavimo schemą. 

URWP pabrėžia šias būsimo Europos kibernetinio saugumo sertifikavimo, susijusio su ES teisės aktais, sritis:

• Tapatybės dėklai
• Tvarkomos apsaugos paslaugos
• Pramoninės automatikos ir valdymo sistemos
• Saugumo gyvavimo ciklo plėtojimas remiantis KRA reikalavimais
• Kriptografiniai mechanizmai

Europos kibernetinio saugumo sertifikavimo grupė (ECCG)

Europos kibernetinio saugumo sertifikavimo grupė (ECCG) buvo įsteigta siekiant padėti užtikrinti nuoseklų Kibernetinio saugumo akto įgyvendinimą ir taikymą. Ją sudaro nacionalinių kibernetinio saugumo sertifikavimo institucijų atstovai arba kitų atitinkamų nacionalinių institucijų atstovai. EKSSG padeda parengti potencialią sertifikatų sistemą ir bendrai įgyvendinti sertifikavimo sistemą.

Suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupė (SCCG)

2019 m. įsigaliojus Kibernetinio saugumo aktui, buvo įsteigta Suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupė (SCCG). 

SCCG yra atsakinga už Komisijos ir ENISA konsultavimą strateginiais kibernetinio saugumo sertifikavimo klausimais ir pagalbą Komisijai rengiant tęstinę Sąjungos darbo programą. Tai pirmoji Europos Komisijos įsteigta suinteresuotųjų subjektų ekspertų grupė kibernetinio saugumo sertifikavimo klausimais.

Stebėkite grupės darbą