Cadrul UE de certificare a securității cibernetice

Certificarea joacă un rol esențial în creșterea încrederii și a securității în produsele și serviciile critice pentru lumea digitală. În prezent, în UE există o serie de sisteme diferite de certificare a securității pentru produsele TIC. Cu toate acestea, în lipsa unui cadru comun pentru certificatele de securitate cibernetică valabile la nivelul UE, există un risc tot mai mare de fragmentare și de bariere între statele membre.

Cadrul de certificare

Cadrul de certificare va oferi sisteme de certificare la nivelul UE sub forma unui set cuprinzător de norme, cerințe tehnice, standarde și proceduri. Cadrul se va baza pe un acord la nivelul UE privind evaluarea proprietăților de securitate ale unui anumit produs sau serviciu bazat pe TIC. Aceasta va atesta că produsele și serviciile TIC care au fost certificate în conformitate cu un astfel de sistem respectă cerințele specificate.

În special, fiecare sistem european ar trebui să specifice:

• categoriile de produse și servicii acoperite;
• cerințele în materie de securitate cibernetică, cum ar fi standardele sau specificațiile tehnice;
• tipul de evaluare, cum ar fi autoevaluarea sau partea terță;
• Nivelul de asigurare preconizat.

Nivelurile de asigurare sunt utilizate pentru a informa utilizatorii cu privire la riscul de securitate cibernetică al unui produs și pot fi de bază, substanțiale și/sau ridicate. Acestea sunt proporționale cu nivelul de risc asociat utilizării preconizate a produsului, a serviciului sau a procesului, în ceea ce privește probabilitatea și impactul unui accident. Un nivel ridicat de asigurare ar însemna că produsul certificat a trecut cele mai înalte teste de securitate.

Certificatul rezultat

Certificatul rezultat va fi recunoscut în toate statele membre ale UE, facilitând comerțul transfrontalier pentru întreprinderi și înțelegerea de către cumpărători a elementelor de securitate ale produsului sau serviciului.

Pentru a afla mai multe despre activitatea desfășurată cu privire la certificarea cibernetică a UE, vă rugăm să consultați certificarea de securitate cibernetică a ENISA.

Sistemul UE de certificare de securitate cibernetică privind criteriile comune (EUCC)

Primul sistem care urmează să fie adoptat în temeiul cadrului de certificare prevăzut de Legea privind securitatea cibernetică se bazează pe renumitul standard internațional privind criteriile comune, utilizat pentru eliberarea certificatelor în Europa de aproape 30 de ani. Sistemul profită de reputația ridicată a furnizorilor și a organismelor de certificare europene care utilizează certificarea bazată pe criterii comune în întreaga lume. Sistemul va începe să fie disponibil pentru vânzători începând cu 27 februarie 2025.

Sistemul se va aplica la nivelul UE, pe bază voluntară, și se axează pe certificarea securității cibernetice a produselor TIC pe durata ciclului lor de viață, inclusiv:

• Sisteme biometrice
• Firewall-uri (atât hardware, cât și software)
• Platforme de detectare și răspuns
• Routere
• Întrerupătoare
• Software specializat (cum ar fi sistemele SIEM și IDS/IDP)
• Diode de date
• Sisteme de operare (inclusiv pentru dispozitive mobile)
• Stocări criptate
• Baze de date
• Carduri inteligente și elemente de securitate incluse în tot felul de produse, cum ar fi pașapoartele utilizate zilnic de toți cetățenii. 

Pentru a afla mai multe despre EUCC, vă rugăm să consultați site-ul de certificare al ENISA.

Programul de lucru etapizat al Uniunii pentru certificarea europeană de securitate cibernetică (URWP)

Programul de lucru continuu al Uniunii privind certificarea europeană de securitate cibernetică a fost publicat în același timp cu primul sistem de certificare de securitate cibernetică la nivelul UE (EUCC). Primul URWP prezintă prioritățile strategice pentru viitoarele sisteme europene de certificare a securității cibernetice, ținând seama de evoluțiile legislative și ale pieței recente, cum ar fi Actul legislativ privind reziliența cibernetică (CRA) și Regulamentul privind identitatea digitală europeană. Acest lucru ar putea duce, în cele din urmă, la cereri de noi sisteme, dacă este necesar și adecvat. În plus, acesta prezintă prioritățile strategice care trebuie luate în considerare la pregătirea oricărui sistem european de certificare a securității cibernetice. 

Grupul de lucru subliniază următoarele domenii pentru viitoarea certificare europeană de securitate cibernetică legată de legislația UE:

• Portofele de identitate
• Servicii de securitate gestionate
• Sisteme industriale de automatizare și control
• Dezvoltarea ciclului de viață al securității pe baza cerințelor ARC
• Mecanisme criptografice

Grupul european pentru certificarea securității cibernetice (ECCG)

Grupul european pentru certificarea securității cibernetice (ECCG) a fost instituit pentru a contribui la asigurarea punerii în aplicare și a aplicării consecvente a Regulamentului privind securitatea cibernetică. Acesta este alcătuit din reprezentanți ai autorităților naționale de certificare a securității cibernetice sau din reprezentanți ai altor autorități naționale relevante. ECCG este esențial pentru pregătirea sistemului de certificate candidate și pentru punerea în aplicare generală a cadrului de certificare.

Grupul părților interesate pentru certificarea securității cibernetice (SCCG)

În urma intrării în vigoare a Legii privind securitatea cibernetică în 2019, a fost înființat Grupul părților interesate pentru certificarea securității cibernetice (SCCG). 

SCCG este responsabil de consilierea Comisiei și a ENISA cu privire la aspecte strategice legate de certificarea securității cibernetice și de acordarea de asistență Comisiei în pregătirea programului de lucru continuu al Uniunii (URWP). Acesta este primul grup de experți al părților interesate pentru certificarea securității cibernetice lansat de Comisia Europeană.

Urmăriți activitatea grupului