ES kiberdrošības sertifikācijas satvars

Sertifikācijai ir izšķiroša nozīme, lai palielinātu uzticēšanos digitālajai pasaulei kritiski svarīgiem produktiem un pakalpojumiem un to drošību. Pašlaik ES pastāv vairākas atšķirīgas IKT produktu drošības sertifikācijas shēmas. Tomēr bez vienota ES mēroga derīgu kiberdrošības sertifikātu satvara pastāv arvien lielāks sadrumstalotības un šķēršļu risks starp dalībvalstīm.

Sertifikācijas satvars

Sertifikācijas satvars nodrošinās ES mēroga sertifikācijas shēmas kā visaptverošu noteikumu, tehnisko prasību, standartu un procedūru kopumu. Satvara pamatā būs ES līmeņa vienošanās par konkrēta uz IKT balstīta produkta vai pakalpojuma drošības īpašību novērtējumu. Tā apliecinās, ka IKT produkti un pakalpojumi, kas ir sertificēti saskaņā ar šādu shēmu, atbilst konkrētām prasībām.

Jo īpaši katrā Eiropas shēmā būtu jānorāda:

• aptverto produktu un pakalpojumu kategorijas;
• kiberdrošības prasības, piemēram, standarti vai tehniskās specifikācijas;
• novērtēšanas veids, piemēram, pašnovērtējums vai trešā persona;
• Paredzētais pārliecības līmenis.

Apliecinājuma līmeņus izmanto, lai informētu lietotājus par produkta kiberdrošības risku, un tie var būt pamata, būtiski un/vai augsti. Tie ir samērīgi ar riska līmeni, kas saistīts ar produkta, pakalpojuma vai procesa paredzēto lietojumu negadījuma varbūtības un ietekmes ziņā. Augsts garantijas līmenis nozīmētu, ka sertificētais produkts izturēja visaugstākos drošības testus.

Iegūtais sertifikāts

Iegūtais sertifikāts tiks atzīts visās ES dalībvalstīs, tādējādi uzņēmumiem būs vieglāk tirgoties pāri robežām un pircējiem būs vieglāk saprast produkta vai pakalpojuma drošības elementus.

Lai uzzinātu vairāk par darbu, kas paveikts saistībā ar ES kiberdrošības sertifikāciju, skatiet ENISA kiberdrošības sertifikāciju.

ES kiberdrošības sertifikācijas shēma par kopīgiem kritērijiem (EUCC)

Pirmā shēma, kas jāpieņem saskaņā ar Kiberdrošības akta sertifikācijas satvaru, ir balstīta uz atzītajiem starptautiskajiem standarta kopējiem kritērijiem, ko izmanto sertifikātu izdošanai Eiropā jau gandrīz 30 gadus. Shēma izmanto Eiropas pārdevēju un sertificētāju augsto reputāciju, izmantojot uz kopējiem kritērijiem balstītu sertifikāciju visā pasaulē. Shēma būs pieejama pārdevējiem no 2025. gada 27. februāra.

Shēmu piemēros ES mērogā, pamatojoties uz brīvprātības principu, un tā būs vērsta uz IKT produktu kiberdrošības sertifikāciju to aprites ciklā, tostarp:

• Biometriskās sistēmas
• Ugunsmūri (gan aparatūra, gan programmatūra)
• Atklāšanas un reaģēšanas platformas
• Maršrutētāji
• Slēdži
• Specializēta programmatūra (piemēram, SIEM un IDS/IDP sistēmas)
• Datu diodes
• Operētājsistēmas (tostarp mobilajām ierīcēm)
• Šifrētas atmiņas
• Datubāzes
• Viedkartes un droši elementi, kas iekļauti visu veidu produktos, piemēram, pasēs, ko katru dienu izmanto visi iedzīvotāji. 

Lai uzzinātu vairāk par EUCC, skatiet ENISA sertifikācijas tīmekļa vietni.

Savienības mainīgā darba programma Eiropas kiberdrošības sertifikācijai (URWP)

Vienlaikus ar pirmo ES mēroga kiberdrošības sertifikācijas shēmu (EUCC) tika publicēta Savienības mainīgā darba programma (URWP) par Eiropas kiberdrošības sertifikāciju. Pirmajā URWP ir izklāstītas stratēģiskās prioritātes turpmākajām Eiropas kiberdrošības sertifikācijas shēmām, ņemot vērā jaunākās likumdošanas un tirgus norises, piemēram, Kibernoturības aktu (KRA) un Eiropas digitālās identitātes regulu. Tas galu galā varētu izraisīt pieprasījumus pēc jaunām shēmām, ja tas ir nepieciešami un lietderīgi. Turklāt tajā ir izklāstītas stratēģiskās prioritātes, kas jāņem vērā, sagatavojot jebkuru Eiropas kiberdrošības sertifikācijas shēmu. 

URWP uzsver šādas jomas turpmākai Eiropas kiberdrošības sertifikācijai, kas saistīta ar ES tiesību aktiem:

• ID maki
• Pārvaldīti drošības pakalpojumi
• Rūpnieciskās automatizācijas un vadības sistēmas
• Drošības dzīves cikla izstrāde, pamatojoties uz kredītreitingu aģentūru prasībām
• Kriptogrāfiskie mehānismi

Eiropas Kiberdrošības sertifikācijas grupa (ECCG)

Lai palīdzētu nodrošināt Kiberdrošības akta konsekventu īstenošanu un piemērošanu, tika izveidota Eiropas Kiberdrošības sertifikācijas grupa (ECCG). To veido valstu kiberdrošības sertifikācijas iestāžu pārstāvji vai citu attiecīgo valsts iestāžu pārstāvji. ECCG ir būtiska nozīme kandidātsertifikātu shēmas sagatavošanā un sertifikācijas satvara vispārējā īstenošanā.

Ieinteresēto personu kiberdrošības sertifikācijas grupa (SCCG)

Pēc Kiberdrošības akta stāšanās spēkā 2019. gadā tika izveidota Ieinteresēto personu kiberdrošības sertifikācijas grupa (SCCG). 

SCCG uzdevums ir konsultēt Komisiju un ENISA par stratēģiskiem jautājumiem saistībā ar kiberdrošības sertifikāciju un palīdzēt Komisijai sagatavot Savienības mainīgo darba programmu (URWP). Šī ir pirmā ieinteresēto personu ekspertu grupa kiberdrošības sertifikācijas jautājumos, ko izveidojusi Eiropas Komisija.

Sekojiet līdzi grupas darbam