Certifikacijski okvir EU za kibernetsko varnost

Certificiranje ima ključno vlogo pri povečanju zaupanja v kritične izdelke in storitve za digitalni svet ter njihove varnosti. Trenutno v EU obstaja več različnih varnostnih certifikacijskih shem za izdelke IKT. Vendar brez skupnega okvira za vseevropske veljavne certifikate kibernetske varnosti obstaja vse večje tveganje razdrobljenosti in ovir med državami članicami.

Okvir za certificiranje

Certifikacijski okvir bo zagotovil vseevropske certifikacijske sheme kot celovit sklop pravil, tehničnih zahtev, standardov in postopkov. Okvir bo temeljil na dogovoru na ravni EU o oceni varnostnih lastnosti določenega proizvoda ali storitve, ki temelji na IKT. Potrdila bo, da izdelki in storitve IKT, ki so bili certificirani v skladu s tako shemo, izpolnjujejo določene zahteve.

Vsaka evropska shema bi morala zlasti določati:

• kategorije zajetih proizvodov in storitev;
• zahteve glede kibernetske varnosti, kot so standardi ali tehnične specifikacije;
• vrsta vrednotenja, kot je samoocenjevanje ali tretja oseba;
• Predvidena raven zagotovila.

Stopnje zagotovila se uporabljajo za obveščanje uporabnikov o tveganju za kibernetsko varnost izdelka in so lahko osnovne, znatne in/ali visoke. Sorazmerni so s stopnjo tveganja, povezanega s predvideno uporabo proizvoda, storitve ali postopka, v smislu verjetnosti in vpliva nesreče. Visoka stopnja zagotovila bi pomenila, da je certificirani izdelek opravil najvišje varnostne teste.

Nastalo potrdilo

Certifikat bo priznan v vseh državah članicah EU, kar bo podjetjem olajšalo čezmejno trgovanje, kupcem pa razumevanje varnostnih elementov izdelka ali storitve.

Več informacij o delu, opravljenem v zvezi s kibernetskim certificiranjem EU, je na voljo v certifikatu kibernetske varnosti agencije ENISA.

Certifikacijska shema EU za kibernetsko varnost na podlagi skupnih meril (EUCC)

Prva shema, ki bo sprejeta v okviru certifikacijskega okvira akta o kibernetski varnosti, temelji na priznanih mednarodnih standardih skupnih meril, ki se v Evropi uporabljajo za izdajanje certifikatov že skoraj 30 let. Shema izkorišča velik ugled evropskih prodajalcev in izdajateljev certifikatov, ki po vsem svetu uporabljajo certificiranje na podlagi skupnih meril. Shema bo za prodajalce na voljo od 27. februarja 2025.

Shema se bo prostovoljno uporabljala po vsej EU in se osredotoča na certificiranje kibernetske varnosti izdelkov IKT v njihovem življenjskem ciklu, vključno z:

• Biometrični sistemi
• Požarni zidovi (strojna in programska oprema)
• Platforme za odkrivanje in odzivanje
• Usmerjevalniki
• Stikala
• Specializirana programska oprema (kot so sistemi SIEM in IDS/IDP)
• Podatkovne diode
• Operacijski sistemi (tudi za mobilne naprave)
• Šifrirani pomnilniki
• Podatkovne zbirke
• Pametne kartice in varni elementi, vključeni v vse vrste izdelkov, kot so potni listi, ki jih vsak dan uporabljajo vsi državljani. 

Več informacij o EUCC je na voljo na spletišču agencije ENISA za certificiranje.

Tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti

Tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti je bil objavljen hkrati s prvo vseevropsko certifikacijsko shemo za kibernetsko varnost (EUCC). V prvem delovnem programu Unije za kibernetsko varnost so opisane strateške prednostne naloge za prihodnje evropske certifikacijske sheme za kibernetsko varnost, pri čemer so upoštevane nedavne zakonodajne spremembe in spremembe na trgu, kot sta akt o kibernetski odpornosti in uredba o evropski digitalni identiteti. To bi lahko sčasoma privedlo do zahtev za nove sheme, kjer je to potrebno in primerno. Poleg tega so v njem opisane strateške prednostne naloge, ki jih je treba upoštevati pri pripravi katere koli evropske certifikacijske sheme za kibernetsko varnost. 

Delovna skupina poudarja naslednja področja za prihodnje evropsko certificiranje kibernetske varnosti, povezana z zakonodajo EU:

• Denarnice za osebne izkaznice
• Upravljane varnostne storitve
• Industrijska avtomatizacija in nadzorni sistemi
• Razvoj življenjskega cikla varnosti na podlagi zahtev bonitetnih agencij
• Kriptografski mehanizmi

Evropska certifikacijska skupina za kibernetsko varnost (ECCG)

Evropska certifikacijska skupina za kibernetsko varnost (ECCG) je bila ustanovljena, da bi pomagala zagotoviti dosledno izvajanje in uporabo akta o kibernetski varnosti. Sestavljajo ga predstavniki nacionalnih certifikacijskih organov za kibernetsko varnost ali predstavniki drugih ustreznih nacionalnih organov. Evropska certifikacijska skupina za kibernetsko varnost je ključna za pripravo sheme kandidatnih certifikatov in splošno izvajanje okvira za certificiranje.

Certifikacijska skupina deležnikov za kibernetsko varnost

Po začetku veljavnosti akta o kibernetski varnosti leta 2019 je bila ustanovljena certifikacijska skupina deležnikov za kibernetsko varnost. 

Usklajevalna skupina za kibernetsko varnost je odgovorna za svetovanje Komisiji in agenciji ENISA o strateških vprašanjih v zvezi s certificiranjem kibernetske varnosti ter za pomoč Komisiji pri pripravi tekočega delovnega programa Unije. To je prva strokovna skupina deležnikov za certificiranje kibernetske varnosti, ki jo je ustanovila Evropska komisija.

Spremljanje dela skupine