Cadrul UE de certificare a securității cibernetice

Certificarea joacă un rol esențial în creșterea încrederii și a securității în produsele și serviciile critice pentru lumea digitală. În prezent, în UE există o serie de sisteme diferite de certificare de securitate pentru produsele TIC. Cu toate acestea, în lipsa unui cadru comun pentru certificatele de securitate cibernetică valabile la nivelul UE, există un risc tot mai mare de fragmentare și bariere între statele membre.

Cadrul de certificare

Cadrul de certificare va oferi sisteme de certificare la nivelul UE sub forma unui set cuprinzător de norme, cerințe tehnice, standarde și proceduri. Cadrul se va baza pe un acord la nivelul UE privind evaluarea proprietăților de securitate ale unui anumit produs sau serviciu bazat pe TIC. Aceasta va atesta că produsele și serviciile TIC care au fost certificate în conformitate cu un astfel de sistem respectă cerințele specificate.

În special, fiecare sistem european ar trebui să specifice:

• categoriile de produse și servicii vizate;
• cerințele de securitate cibernetică, cum ar fi standardele sau specificațiile tehnice;
• tipul de evaluare, cum ar fi autoevaluarea sau partea terță;
• nivelul de asigurare dorit.

Nivelurile de asigurare sunt utilizate pentru a informa utilizatorii cu privire la riscul de securitate cibernetică al unui produs și pot fi de bază, substanțiale și/sau ridicate. Acestea sunt proporționale cu nivelul de risc asociat utilizării preconizate a produsului, serviciului sau procesului, în ceea ce privește probabilitatea și impactul unui accident. Un nivel ridicat de asigurare ar însemna că produsul certificat a trecut cele mai înalte teste de securitate.

Certificatul rezultat

Certificatul rezultat va fi recunoscut în toate statele membre ale UE, facilitând comerțul transfrontalier între întreprinderi și înțelegerea de către cumpărători a caracteristicilor de securitate ale produsului sau serviciului.

Pentru a afla mai multe despre activitatea desfășurată cu privire la certificarea cibernetică a UE, vă rugăm să consultați certificarea de securitate cibernetică a ENISA.

Primul sistem al UE de certificare a securității cibernetice pe baza criteriilor comune (EUCC)

Primul sistem care urmează să fie adoptat în temeiul cadrului de certificare prevăzut de Legea privind securitatea cibernetică se bazează pe renumitul standard internațional Criterii comune, utilizat pentru eliberarea certificatelor în Europa de aproape 30 de ani. Sistemul profită de reputația ridicată a vânzătorilor și a certificatorilor europeni care utilizează certificarea bazată pe criterii comune în întreaga lume. Schema va începe să fie disponibilă pentru vânzători începând cu 27 februarie 2025.

Sistemul se va aplica la nivelul UE, pe bază voluntară, și se axează pe certificarea securității cibernetice a produselor TIC în ciclul lor de viață, inclusiv:

• Sisteme biometrice
• Firewall-uri (atât hardware, cât și software)
• Platforme de detectare și răspuns
• Routere
• Întrerupătoare
• Software specializat (cum ar fi sistemele SIEM și IDS/IDP)
• Diode de date
• Sisteme de operare (inclusiv pentru dispozitive mobile)
• Stocuri criptate
• Baze de date
• Cardurile inteligente și elementele de securitate incluse în tot felul de produse, cum ar fi pașapoartele utilizate zilnic de toți cetățenii. 

Pentru a afla mai multe despre EUCC, vă rugăm să consultați site-ul ENISA dedicat certificării.

Un cadru european reînnoit de certificare a securității cibernetice

La 20 ianuarie 2026, Comisia a propus o revizuire a Regulamentului privind securitatea cibernetică, care reînnoiește Cadrul european de certificare a securității cibernetice (ECCF). Propunerea va garanta că produsele și serviciile care ajung la consumatorii din UE sunt testate din punctul de vedere al securității într-un mod mai eficient. Noul ECCF va aduce mai multă claritate și proceduri mai simple pentru elaborarea schemelor în termen de 12 luni în mod implicit. De asemenea, va introduce o guvernanță mai flexibilă și mai transparentă pentru a implica mai bine părțile interesate prin informarea și consultarea publicului.

Sistemele de certificare, gestionate de ENISA, vor deveni un instrument practic și voluntar pentru întreprinderi. Acestea vor permite întreprinderilor să demonstreze conformitatea cu legislația UE, reducând sarcina și costurile. Pentru cetățenii, întreprinderile și autoritățile publice din UE, aceasta va asigura un nivel ridicat de securitate și încredere în lanțurile complexe de aprovizionare TIC. 

Programul de lucru continuu al Uniunii pentru certificarea europeană de securitate cibernetică (URWP)

Programul de lucru continuu al Uniunii (URWP) privind certificarea europeană de securitate cibernetică a fost publicat în același timp cu primul sistem de certificare de securitate cibernetică la nivelul UE (EUCC). Primul URWP prezintă prioritățile strategice pentru viitoarele sisteme europene de certificare a securității cibernetice, ținând seama de evoluțiile legislative și ale pieței recente, cum ar fi Actul privind reziliența cibernetică (CRA) și Regulamentul privind identitatea digitală europeană. Acest lucru ar putea duce, în cele din urmă, la solicitări de noi sisteme, atunci când este necesar și adecvat. În plus, acesta prezintă prioritățile strategice care trebuie luate în considerare la pregătirea oricărui sistem european de certificare a securității cibernetice. 

URWP subliniază următoarele domenii pentru viitoarea certificare europeană de securitate cibernetică legată de legislația UE:

• Portofele de identitate
• Servicii de securitate gestionate
• Sisteme de automatizare și control industrial
• Dezvoltarea ciclului de viață al securității pe baza cerințelor ARC
• Mecanisme criptografice

Grupul european pentru certificarea securității cibernetice (ECCG)

Grupul european pentru certificarea securității cibernetice (ECCG) a fost instituit pentru a contribui la asigurarea punerii în aplicare coerente a Regulamentului privind securitatea cibernetică. Acesta este alcătuit din reprezentanți ai autorităților naționale de certificare a securității cibernetice sau din reprezentanți ai altor autorități naționale relevante. ECCG este esențial pentru pregătirea propunerii de sistem de certificate și pentru punerea în aplicare generală a cadrului de certificare.

Grupul părților interesate pentru certificarea securității cibernetice (SCCG)

În urma intrării în vigoare a Legii privind securitatea cibernetică în 2019, a fost instituit Grupul părților interesate pentru certificarea securității cibernetice (SCCG). 

SCCG este responsabil de consilierea Comisiei și a ENISA cu privire la aspecte strategice legate de certificarea de securitate cibernetică și de acordarea de asistență Comisiei în pregătirea programului de lucru continuu al Uniunii (URWP). Acesta este primul grup de experți ai părților interesate pentru certificarea securității cibernetice lansat de Comisia Europeană.

Urmăriți activitatea grupului