EU:s ram för cybersäkerhetscertifiering

Certifiering spelar en avgörande roll för att öka förtroendet och säkerheten för viktiga produkter och tjänster för den digitala världen. För närvarande finns det ett antal olika säkerhetscertifieringssystem för IKT-produkter i EU. Men utan en gemensam ram för EU-omfattande giltiga cybersäkerhetscertifikat finns det en ökande risk för fragmentering och hinder mellan medlemsstaterna.

Certifieringsramen kommer att tillhandahålla EU-omfattande certifieringssystem som en omfattande uppsättning regler, tekniska krav, standarder och förfaranden. Ramen kommer att baseras på en överenskommelse på EU-nivå om utvärdering av säkerhetsegenskaperna hos en viss IKT-baserad produkt eller tjänst. Den kommer att intyga att IKT-produkter och IKT-tjänster som har certifierats i enlighet med ett sådant system uppfyller specificerade krav.

I varje EU-system bör framför allt följande anges:

• de kategorier av produkter och tjänster som omfattas,
• cybersäkerhetskraven, t.ex. standarder eller tekniska specifikationer,
• typ av utvärdering, t.ex. självbedömning eller tredje part.
• den avsedda säkerhetsnivån.

Säkerhetsnivåerna används för att informera användarna om en produkts cybersäkerhetsrisk och kan vara grundläggande, betydande och/eller höga. De står i proportion till den risknivå som är förknippad med den avsedda användningen av produkten, tjänsten eller processen, i fråga om sannolikheten för och konsekvenserna av en olycka. En hög säkerhetsnivå skulle innebära att den certifierade produkten klarade de högsta säkerhetstesterna.

Certifikatet kommer att erkännas i alla EU:s medlemsstater, vilket gör det lättare för företag att handla över gränserna och för köparna att förstå produktens eller tjänstens säkerhetsdetaljer.

System för cybersäkerhetscertifiering av gemensamma kriterier

Det första systemet som ska antas inom ramen för cybersäkerhetsakten bygger på den välkända internationella standarden Common Criteria, som används för att utfärda certifikat i Europa i nästan 30 år. Systemet drar nytta av det höga anseendet hos europeiska leverantörer och certifierare som använder de gemensamma kriterierna-baserade certifieringar över hela världen. 

Systemet kommer att tillämpas på frivillig basis i hela EU och inriktas på att certifiera it-säkerhet för IKT-produkter under deras livscykel: biometriska system, brandväggar (både hårdvara och programvara), plattformar för upptäckt och reaktion, routrar, switchar, specialiserad programvara (såsom SIEM- och IDS/IDP-system), datadioder, operativsystem (även för mobila enheter), krypterade lagringar, databaser samt smarta kort och säkra element som ingår i alla typer av produkter, t.ex. i pass som dagligen används av alla medborgare. 

Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering

Enligt EU:s cybersäkerhetsakt ska kommissionen offentliggöra unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering, ett dokument med en strategisk vision och reflektioner om möjliga områden för framtida europeiska system för cybersäkerhetscertifiering med beaktande av den senaste tidens lagstiftnings- och marknadsutveckling. 

Med beaktande av rättsakten om it-resiliens och annan lagstiftningsutveckling, såsom förordningen om europeisk digital identitet, pekar det första URWP på områden för framtida europeiska system för cybersäkerhetscertifiering som är kopplade till lagstiftningsutvecklingen samt områden för framtida reflektioner när det gäller cybersäkerhetscertifiering, vilket i slutändan kan leda till begäranden om nya system när så är nödvändigt och lämpligt. Dessutom beskrivs de strategiska prioriteringar som ska beaktas vid utarbetandet av ett europeiskt system för cybersäkerhetscertifiering. 

URWP betonar som områden för framtida europeisk cybersäkerhetscertifiering kopplad till EU-lagstiftningen, särskilt ID-plånböcker och förvaltade säkerhetstjänster.  Andra områden kan vara Industrial Automation and Control Systems och säkerhetslivscykelutveckling som bygger på kraven på kreditvärderingsinstitut och kryptografiska mekanismer.  

Europeiska gruppen för cybersäkerhetscertifiering 

Den europeiska gruppen för cybersäkerhetscertifiering inrättades för att bidra till ett konsekvent genomförande och tillämpning av cybersäkerhetsakten. Den består av företrädare för nationella myndigheter för cybersäkerhetscertifiering eller företrädare för andra relevanta nationella myndigheter. ECCG är avgörande för utarbetandet av systemet med kandidatcertifikat och det allmänna genomförandet av certifieringsramen.

Intressentgruppen för cybersäkerhetscertifiering

Efter det att cybersäkerhetslagen trädde i kraft 2019 inrättades intressentgruppen för cybersäkerhetscertifiering (SCCG). 

Samordningsgruppen ansvarar för att ge kommissionen och Enisa råd i strategiska frågor som rör cybersäkerhetscertifiering och bistå kommissionen vid utarbetandet av unionens löpande arbetsprogram. Detta är den första expertgruppen för cybersäkerhetscertifiering som lanserades av Europeiska kommissionen.

Följ gruppens arbete