Rámec certifikácie kybernetickej bezpečnosti EÚ

Certifikácia zohráva kľúčovú úlohu pri zvyšovaní dôvery a bezpečnosti v oblasti kritických produktov a služieb pre digitálny svet. V súčasnosti existuje v EÚ niekoľko rôznych systémov bezpečnostnej certifikácie produktov IKT. Bez spoločného rámca pre certifikáty kybernetickej bezpečnosti platné v celej EÚ však existuje rastúce riziko fragmentácie a prekážok medzi členskými štátmi.

Certifikačný rámec

Certifikačný rámec poskytne celoúnijné certifikačné systémy ako komplexný súbor pravidiel, technických požiadaviek, noriem a postupov. Rámec bude založený na dohode na úrovni EÚ o hodnotení bezpečnostných vlastností konkrétneho produktu alebo služby založených na IKT. Potvrdí sa ním, že produkty a služby IKT, ktoré boli certifikované v súlade s takýmto systémom, spĺňajú stanovené požiadavky.

Každý európsky systém by mal predovšetkým špecifikovať:

• kategórie výrobkov a služieb, na ktoré sa vzťahuje;
• požiadavky kybernetickej bezpečnosti, ako sú normy alebo technické špecifikácie;
• druh hodnotenia, ako napríklad sebahodnotenie alebo hodnotenie treťou stranou;
• plánovaný stupeň uistenia.

Stupne dôveryhodnosti sa používajú na informovanie používateľov o kybernetickobezpečnostnom riziku produktu a môžu byť základné, podstatné a/alebo vysoké. Sú úmerné úrovni rizika spojeného s plánovaným použitím výrobku, služby alebo procesu z hľadiska pravdepodobnosti a vplyvu nehody. Vysoká úroveň zabezpečenia by znamenala, že certifikovaný výrobok prešiel najvyššími bezpečnostnými testami.

Výsledný certifikát

Výsledný certifikát sa bude uznávať vo všetkých členských štátoch EÚ, čím sa podnikom uľahčí cezhraničné obchodovanie a kupujúcim pochopenie bezpečnostných prvkov výrobku alebo služby.

Ak sa chcete dozvedieť viac o práci vykonanej v oblasti kybernetickej certifikácie EÚ, pozrite si certifikáciu kybernetickej bezpečnosti agentúry ENISA.

Systém certifikácie kybernetickej bezpečnosti EÚ podľa spoločných kritérií (EUCC)

Prvý systém, ktorý sa má prijať v rámci certifikačného rámca aktu o kybernetickej bezpečnosti, je založený na uznávanej medzinárodnej norme Common Criteria, ktorá sa používa na vydávanie certifikátov v Európe už takmer 30 rokov. Systém využíva vysokú reputáciu európskych predajcov a certifikačných orgánov, ktorí využívajú certifikáciu založenú na spoločných kritériách na celom svete. Schéma bude pre predajcov k dispozícii od 27. februára 2025.

Systém sa bude uplatňovať v celej EÚ na dobrovoľnom základe a bude sa zameriavať na certifikáciu kybernetickej bezpečnosti produktov IKT počas ich životného cyklu vrátane:

• Biometrické systémy
• Firewally (hardvérové aj softvérové)
• Detekčné a reakčné platformy
• Smerovače
• Prepínače
• Špecializovaný softvér (ako sú systémy SIEM a IDS/IDP)
• Dátové diódy
• Operačné systémy (aj pre mobilné zariadenia)
• Šifrované úložiská
• Databázy
• Inteligentné karty a zabezpečené prvky zahrnuté vo všetkých druhoch výrobkov, napríklad v pasoch, ktoré každý deň používajú všetci občania. 

Viac informácií o EUCC nájdete na webovom sídle agentúry ENISA venovanom certifikácii.

Priebežný pracovný program Únie pre európsku certifikáciu kybernetickej bezpečnosti (URWP)

Priebežný pracovný program Únie pre európsku certifikáciu kybernetickej bezpečnosti bol uverejnený v rovnakom čase ako prvý celoeurópsky systém certifikácie kybernetickej bezpečnosti (EUCC). V prvom URWP sa uvádzajú strategické priority pre budúce európske systémy certifikácie kybernetickej bezpečnosti, pričom sa zohľadňuje najnovší legislatívny vývoj a vývoj na trhu, ako je akt o kybernetickej odolnosti a nariadenie o európskej digitálnej identite. To môže nakoniec viesť k žiadostiam o nové systémy tam, kde je to potrebné a vhodné. Okrem toho sa v ňom uvádzajú strategické priority, ktoré treba zohľadniť pri príprave akéhokoľvek európskeho systému certifikácie kybernetickej bezpečnosti. 

V URWP sa zdôrazňujú tieto oblasti budúcej európskej certifikácie kybernetickej bezpečnosti spojenej s právnymi predpismi EÚ:

• Identifikačné peňaženky
• Manažované bezpečnostné služby
• Priemyselná automatizácia a riadiace systémy
• Rozvoj životného cyklu bezpečnosti na základe požiadaviek ratingových agentúr
• Kryptografické mechanizmy

Európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG)

Európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG) bola zriadená s cieľom pomôcť zabezpečiť konzistentné vykonávanie a uplatňovanie aktu o kybernetickej bezpečnosti. Skladá sa zo zástupcov vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti alebo zástupcov iných príslušných vnútroštátnych orgánov. ECCG má zásadný význam pre prípravu kandidátskej certifikačnej schémy a všeobecné vykonávanie certifikačného rámca.

Skupina zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti (SCCG)

Po nadobudnutí účinnosti aktu o kybernetickej bezpečnosti v roku 2019 bola zriadená skupina zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti. 

SCCG je zodpovedná za poskytovanie poradenstva Komisii a agentúre ENISA v strategických otázkach týkajúcich sa certifikácie kybernetickej bezpečnosti a za pomoc Komisii pri príprave priebežného pracovného programu Únie. Ide o prvú expertnú skupinu zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti, ktorú zriadila Európska komisia.

Sledujte prácu skupiny