Certifikacijski okvir EU za kibernetsko varnost

Certificiranje ima ključno vlogo pri povečevanju zaupanja in varnosti v pomembne izdelke in storitve za digitalni svet. Trenutno v EU obstajajo številne različne sheme varnostnega certificiranja za proizvode IKT. Vendar brez skupnega okvira za vseevropske veljavne certifikate kibernetske varnosti obstaja vse večje tveganje razdrobljenosti in ovir med državami članicami.

Certifikacijski okvir bo zagotovil vseevropske certifikacijske sheme kot celovit sklop pravil, tehničnih zahtev, standardov in postopkov. Okvir bo temeljil na sporazumu na ravni EU o oceni varnostnih lastnosti določenega izdelka ali storitve, ki temelji na IKT. Potrdilo bo, da proizvodi in storitve IKT, ki so bili certificirani v skladu s tako shemo, izpolnjujejo določene zahteve.

Vsaka evropska shema bi morala zlasti določati:

• kategorije zajetih proizvodov in storitev;
• zahteve glede kibernetske varnosti, kot so standardi ali tehnične specifikacije;
• vrsto ocenjevanja, kot je samoocena ali tretja oseba;
• predvideno raven zanesljivosti.

Stopnje zanesljivosti se uporabljajo za obveščanje uporabnikov o tveganju za kibernetsko varnost proizvoda in so lahko osnovne, znatne in/ali visoke. So sorazmerni s stopnjo tveganja, povezano s predvideno uporabo proizvoda, storitve ali postopka, v smislu verjetnosti in vpliva nesreče. Visoka stopnja zanesljivosti bi pomenila, da je certificirani izdelek opravil najvišje varnostne teste.

Pridobljeno potrdilo bo priznano v vseh državah članicah EU, kar bo podjetjem olajšalo čezmejno trgovanje in kupcem olajšalo razumevanje varnostnih značilnosti izdelka ali storitve.

Skupna certifikacijska shema za kibernetsko varnost, ki temelji na merilih

Prva shema, ki bo sprejeta v okviru certifikacijskega okvira Akta o kibernetski varnosti, temelji na priznanih mednarodnih standardih skupnih meril, ki se že skoraj 30 let uporabljajo za izdajanje potrdil v Evropi. Shema izkorišča velik ugled evropskih prodajalcev in izdajateljev certifikatov, ki uporabljajo certifikate na podlagi skupnih meril po vsem svetu. 

Shema se bo uporabljala na prostovoljni podlagi po vsej EU in bo osredotočena na potrjevanje kibernetske varnosti izdelkov IKT v njihovem življenjskem ciklu: biometrični sistemi, požarni zidovi (strojna in programska oprema), platforme za odkrivanje in odzivanje, usmerjevalniki, stikala, specializirana programska oprema (kot so sistemi SIEM in IDS/IDP), podatkovne diode, operacijski sistemi (tudi za mobilne naprave), šifrirani pomnilniki, podatkovne zbirke ter pametne kartice in varni elementi, vključeni v vse vrste izdelkov, kot so potni listi, ki jih dnevno uporabljajo vsi državljani. 

Tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti (URWP)

V aktu EU o kibernetski varnosti je predvideno, da Komisija objavi tekoči delovni program Unije za evropsko certificiranje kibernetske varnosti, dokument, ki določa strateško vizijo in razmisleke o morebitnih področjih za prihodnje evropske certifikacijske sheme za kibernetsko varnost ob upoštevanju nedavnega razvoja zakonodaje in trga. 

Ob upoštevanju akta o kibernetski odpornosti in drugega zakonodajnega razvoja, kot je uredba o evropski digitalni identiteti, prvi delovni program za enotni trg opozarja na področja za prihodnje evropske certifikacijske sheme za kibernetsko varnost, povezane z zakonodajnim razvojem, ter področja za prihodnji razmislek v zvezi s certificiranjem kibernetske varnosti, kar bi lahko po potrebi in ustrezno privedlo do zahtev za nove sheme. Poleg tega opisuje strateške prednostne naloge, ki jih je treba upoštevati pri pripravi katere koli evropske certifikacijske sheme za kibernetsko varnost. 

Delovna skupina URWP poudarja, da so področja prihodnjega evropskega certificiranja kibernetske varnosti, povezana z zakonodajo EU, zlasti ID denarnice in upravljane varnostne storitve.  Druga področja lahko vključujejo sisteme za industrijsko avtomatizacijo in nadzor ter razvoj varnostnega življenjskega cikla na podlagi zahtev bonitetnih agencij in kriptografskih mehanizmov.  

Evropska certifikacijska skupina za kibernetsko varnost 

Evropska certifikacijska skupina za kibernetsko varnost (ECCG) je bila ustanovljena za pomoč pri zagotavljanju doslednega izvajanja in uporabe akta o kibernetski varnosti. Sestavljajo ga predstavniki nacionalnih certifikacijskih organov za kibernetsko varnost ali predstavniki drugih ustreznih nacionalnih organov. ECCG je ključnega pomena za pripravo predlagane sheme potrdil in splošno izvajanje certifikacijskega okvira.

Certifikacijska skupina deležnikov za kibernetsko varnost

Po začetku veljavnosti akta o kibernetski varnosti leta 2019 je bila ustanovljena certifikacijska skupina deležnikov za kibernetsko varnost. 

SCCG je odgovorna za svetovanje Komisiji in agenciji ENISA o strateških vprašanjih v zvezi s certificiranjem kibernetske varnosti ter za pomoč Komisiji pri pripravi tekočega delovnega programa Unije. To je prva strokovna skupina deležnikov za certificiranje kibernetske varnosti, ki jo je ustanovila Evropska komisija.

Spremljajte delo skupine