Certifikacijski okvir EU za kibernetsko varnost

Certificiranje ima ključno vlogo pri povečevanju zaupanja v kritične izdelke in storitve za digitalni svet ter njihove varnosti. Trenutno v EU obstaja več različnih varnostnih certifikacijskih shem za proizvode IKT. Vendar brez skupnega okvira za veljavne certifikate kibernetske varnosti na ravni EU obstaja vse večje tveganje razdrobljenosti in ovir med državami članicami.

Okvir za certificiranje

Okvir za certificiranje bo zagotovil sheme certificiranja na ravni EU kot celovit sklop pravil, tehničnih zahtev, standardov in postopkov. Okvir bo temeljil na dogovoru na ravni EU o oceni varnostnih lastnosti določenega proizvoda ali storitve, ki temelji na IKT. Potrdilo bo, da proizvodi in storitve IKT, ki so bili certificirani v skladu s tako shemo, izpolnjujejo določene zahteve.

V vsaki evropski shemi bi bilo treba zlasti navesti:

• kategorije zajetih proizvodov in storitev;
• zahteve glede kibernetske varnosti, kot so standardi ali tehnične specifikacije;
• vrsta vrednotenja, kot je samoocenjevanje ali tretja oseba;
• Načrtovana raven zanesljivosti.

Stopnje zanesljivosti se uporabljajo za obveščanje uporabnikov o tveganju za kibernetsko varnost izdelka ter so lahko osnovne, znatne in/ali visoke. Sorazmerni so s stopnjo tveganja, povezanega s predvideno uporabo proizvoda, storitve ali postopka, v smislu verjetnosti in vpliva nesreče. Visoka stopnja zanesljivosti bi pomenila, da certificirani izdelek opravi najvišje varnostne preskuse.

Nastalo potrdilo

Nastalo potrdilo bo priznano v vseh državah članicah EU, kar bo podjetjem olajšalo čezmejno trgovanje, kupcem pa razumevanje varnostnih značilnosti izdelka ali storitve.

Če želite izvedeti več o opravljenem delu v zvezi s certificiranjem kibernetske varnosti EU, si oglejte certificiranje kibernetske varnosti agencije ENISA.

Prva certifikacijska shema EU za kibernetsko varnost na podlagi skupnih meril (EUCC)

Prva shema, ki bo sprejeta na podlagi certifikacijskega okvira iz akta o kibernetski varnosti, temelji na priznanih mednarodnih standardih skupnih meril, ki se v Evropi že skoraj 30 let uporabljajo za izdajanje potrdil. Shema izkorišča velik ugled evropskih prodajalcev in izdajateljev certifikatov po vsem svetu, ki uporabljajo certificiranje na podlagi skupnih meril. Shema bo prodajalcem na voljo od 27. februarja 2025.

Shema se bo uporabljala po vsej EU na prostovoljni podlagi in se osredotoča na certificiranje kibernetske varnosti izdelkov IKT v njihovem življenjskem ciklu, vključno z:

• Biometrični sistemi
• Požarni zidovi (strojna in programska oprema)
• Platforme za odkrivanje in odzivanje
• Usmerjevalniki
• Stikala
• Specializirana programska oprema (kot so sistemi SIEM in IDS/IDP)
• Podatkovne diode
• Operacijski sistemi (tudi za mobilne naprave)
• Šifrirani pomnilniki
• Podatkovne zbirke
• Pametne kartice in varnostni elementi, vključeni v vse vrste izdelkov, kot so potni listi, ki jih vsak dan uporabljajo vsi državljani. 

Več informacij o EUCC je na voljo na spletišču agencije ENISA o certificiranju.

Prenovljeni evropski certifikacijski okvir za kibernetsko varnost

Komisija je 20. januarja 2026 predlagala revidirani akt o kibernetski varnosti, s katerim je obnovila evropski certifikacijski okvir za kibernetsko varnost. Predlog bo zagotovil, da bodo proizvodi in storitve, ki dosežejo potrošnike EU, učinkoviteje testirani glede varnosti. Novi ECCF bo zagotovil večjo jasnost in enostavnejše postopke za razvoj shem v 12 mesecih. Uvedla bo tudi prožnejše in preglednejše upravljanje za boljše vključevanje deležnikov prek javnega obveščanja in posvetovanja.

Certifikacijske sheme, ki jih upravlja agencija ENISA, bodo postale praktično in prostovoljno orodje za podjetja. Podjetjem bodo omogočile, da dokažejo skladnost z zakonodajo EU, s čimer se bodo zmanjšali breme in stroški. Državljanom, podjetjem in javnim organom EU bo zagotovil visoko raven varnosti in zaupanja v kompleksne dobavne verige IKT. 

Tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti (URWP)

Tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti je bil objavljen hkrati s prvo vseevropsko certifikacijsko shemo za kibernetsko varnost. V prvi delovni skupini za kibernetsko varnost so opredeljene strateške prednostne naloge za prihodnje evropske certifikacijske sheme za kibernetsko varnost ob upoštevanju nedavnega razvoja zakonodaje in trga, kot sta akt o kibernetski odpornosti in uredba o evropski digitalni identiteti. To lahko sčasoma privede do zahtev po novih shemah, kadar je to potrebno in primerno. Poleg tega so v njem opisane strateške prednostne naloge, ki jih je treba upoštevati pri pripravi katere koli evropske certifikacijske sheme za kibernetsko varnost. 

V delovni skupini URWP so poudarjena naslednja področja za prihodnje evropsko certificiranje kibernetske varnosti, povezana z zakonodajo EU:

• Denarnice za osebne izkaznice
• Upravljane varnostne storitve
• Sistemi za industrijsko avtomatizacijo in nadzor
• Razvoj varnostnega življenjskega cikla na podlagi zahtev bonitetnih agencij
• Kriptografski mehanizmi

Evropska certifikacijska skupina za kibernetsko varnost (ECCG)

Evropska certifikacijska skupina za kibernetsko varnost (ECCG) je bila ustanovljena, da bi pomagala zagotoviti dosledno izvajanje in uporabo akta o kibernetski varnosti. Sestavljajo ga predstavniki nacionalnih certifikacijskih organov za kibernetsko varnost ali predstavniki drugih ustreznih nacionalnih organov. Evropska certifikacijska skupina za kibernetsko varnost je ključna za pripravo predlagane certifikacijske sheme in splošno izvajanje certifikacijskega okvira.

Certifikacijska skupina deležnikov za kibernetsko varnost (SCCG)

Po začetku veljavnosti akta o kibernetski varnosti leta 2019 je bila ustanovljena certifikacijska skupina deležnikov za kibernetsko varnost. 

Skupina SCCG je odgovorna za svetovanje Komisiji in agenciji ENISA o strateških vprašanjih v zvezi s certificiranjem kibernetske varnosti ter za pomoč Komisiji pri pripravi tekočega delovnega programa Unije. To je prva strokovna skupina deležnikov za certificiranje kibernetske varnosti, ki jo je ustanovila Evropska komisija.

Spremljajte delo skupine