Certifikačný rámec kybernetickej bezpečnosti EÚ

Certifikácia zohráva kľúčovú úlohu pri zvyšovaní dôvery a bezpečnosti v kritické produkty a služby pre digitálny svet. V súčasnosti existuje v EÚ niekoľko rôznych systémov bezpečnostnej certifikácie produktov IKT. Bez spoločného rámca pre certifikáty kybernetickej bezpečnosti platné v celej EÚ však rastie riziko fragmentácie a prekážok medzi členskými štátmi.

Certifikačný rámec

Certifikačný rámec poskytne celoeurópske certifikačné systémy ako komplexný súbor pravidiel, technických požiadaviek, noriem a postupov. Rámec bude založený na dohode na úrovni EÚ o hodnotení bezpečnostných vlastností konkrétneho produktu alebo služby založených na IKT. Potvrdí, že produkty a služby IKT, ktoré boli certifikované v súlade s takýmto systémom, spĺňajú stanovené požiadavky.

Každý európsky systém by mal najmä špecifikovať:

• kategórie výrobkov a služieb, na ktoré sa vzťahuje;
• požiadavky kybernetickej bezpečnosti, ako sú normy alebo technické špecifikácie;
• druh hodnotenia, ako je sebahodnotenie alebo tretia strana;
• Zamýšľaný stupeň uistenia.

Stupne dôveryhodnosti sa používajú na informovanie používateľov o kybernetickobezpečnostnom riziku produktu a môžu byť základné, podstatné a/alebo vysoké. Sú úmerné úrovni rizika spojeného so zamýšľaným použitím výrobku, služby alebo procesu, pokiaľ ide o pravdepodobnosť a vplyv nehody. Vysoká úroveň zabezpečenia by znamenala, že certifikovaný výrobok by prešiel najvyššími bezpečnostnými testami.

Výsledný certifikát

Výsledný certifikát sa bude uznávať vo všetkých členských štátoch EÚ, čo podnikom uľahčí cezhraničný obchod a kupujúcim pochopenie bezpečnostných prvkov výrobku alebo služby.

Viac informácií o práci vykonanej v oblasti kybernetickej certifikácie EÚ nájdete v certifikácii kybernetickej bezpečnosti agentúry ENISA.

Prvý systém certifikácie kybernetickej bezpečnosti EÚ pre spoločné kritériá (EUCC)

Prvý systém, ktorý sa má prijať v rámci certifikačného rámca aktu o kybernetickej bezpečnosti, je založený na renomovaných medzinárodných štandardných spoločných kritériách, ktoré sa používajú na vydávanie certifikátov v Európe už takmer 30 rokov. Systém využíva vysokú reputáciu európskych predajcov a certifikačných orgánov, ktorí používajú certifikáciu založenú na spoločných kritériách na celom svete. Schéma bude pre predajcov k dispozícii od 27. februára 2025.

Systém sa bude uplatňovať v celej EÚ na dobrovoľnom základe a bude sa zameriavať na certifikáciu kybernetickej bezpečnosti produktov IKT počas ich životného cyklu vrátane:

• Biometrické systémy
• Firewally (hardvér aj softvér)
• Detekčné a reakčné platformy
• Smerovače
• Prepínače
• Špecializovaný softvér (napr. systémy SIEM a IDS/IDP)
• Dátové diódy
• Operačné systémy (vrátane mobilných zariadení)
• Šifrované úložiská
• databázy
• Inteligentné karty a bezpečné prvky zahrnuté vo všetkých druhoch výrobkov, napríklad v cestovných pasoch, ktoré denne používajú všetci občania. 

Ďalšie informácie o EUCC nájdete na webovom sídle agentúry ENISA venovanom certifikácii.

Obnovený európsky rámec certifikácie kybernetickej bezpečnosti

Komisia 20. januára 2026 navrhla revidovaný akt o kybernetickej bezpečnosti, ktorým sa obnovuje európsky rámec certifikácie kybernetickej bezpečnosti (ECCF). Návrhom sa zabezpečí, aby sa výrobky a služby, ktoré sa dostanú k spotrebiteľom v EÚ, účinnejšie testovali z hľadiska bezpečnosti. Nový ECCF prinesie jasnejšie a jednoduchšie postupy na štandardnú tvorbu systémov do 12 mesiacov. Zavedie sa ním aj pružnejšie a transparentnejšie riadenie s cieľom lepšie zapojiť zainteresované strany prostredníctvom informovania verejnosti a konzultácií s ňou.

Systémy certifikácie riadené agentúrou ENISA sa stanú praktickým a dobrovoľným nástrojom pre podniky. Umožnia podnikom preukázať súlad s právnymi predpismi EÚ, čím sa zníži zaťaženie a náklady. Pre občanov, podniky a verejné orgány EÚ zabezpečí vysokú úroveň bezpečnosti a dôvery v komplexné dodávateľské reťazce IKT. 

Priebežný pracovný program Únie pre európsku certifikáciu kybernetickej bezpečnosti (URWP)

Priebežný pracovný program Únie týkajúci sa európskej certifikácie kybernetickej bezpečnosti bol uverejnený v rovnakom čase ako prvý celoúnijný systém certifikácie kybernetickej bezpečnosti (EUCC). V prvom pracovnom programe Únie v oblasti kybernetickej bezpečnosti sa načrtávajú strategické priority budúcich európskych systémov certifikácie kybernetickej bezpečnosti, pričom sa zohľadňuje nedávny legislatívny vývoj a vývoj na trhu, ako je akt o kybernetickej odolnosti a nariadenie o európskej digitálnej identite. V prípade potreby a vhodnosti by to mohlo v konečnom dôsledku viesť k žiadostiam o nové systémy. Okrem toho sa v ňom uvádzajú strategické priority, ktoré sa majú zohľadniť pri príprave akéhokoľvek európskeho systému certifikácie kybernetickej bezpečnosti. 

URWP zdôrazňuje tieto oblasti budúcej európskej certifikácie kybernetickej bezpečnosti spojenej s právnymi predpismi EÚ:

• ID peňaženky
• Riadené bezpečnostné služby
• Priemyselné automatizačné a riadiace systémy
• Rozvoj životného cyklu bezpečnosti na základe požiadaviek ratingovej agentúry
• Kryptografické mechanizmy

Európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG)

Európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG) bola zriadená s cieľom pomôcť zabezpečiť konzistentné vykonávanie a uplatňovanie aktu o kybernetickej bezpečnosti. Skladá sa zo zástupcov vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti alebo zástupcov iných príslušných vnútroštátnych orgánov. ECCG má zásadný význam pre prípravu kandidátskej certifikačnej schémy a všeobecné vykonávanie certifikačného rámca.

Skupina zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti (SCCG)

Po nadobudnutí účinnosti aktu o kybernetickej bezpečnosti v roku 2019 bola zriadená skupina zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti (SCCG). 

Koordinačná skupina pre kybernetickú bezpečnosť je zodpovedná za poskytovanie poradenstva Komisii a agentúre ENISA v strategických otázkach týkajúcich sa certifikácie kybernetickej bezpečnosti a za pomoc Komisii pri príprave priebežného pracovného programu Únie. Ide o prvú expertnú skupinu zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti, ktorú zriadila Európska komisia.

Sledujte prácu skupiny