EU:s ram för cybersäkerhetscertifiering

Certifiering spelar en avgörande roll för att öka förtroendet och säkerheten för kritiska produkter och tjänster för den digitala världen. För närvarande finns det ett antal olika system för säkerhetscertifiering av IKT-produkter i EU. Utan en gemensam ram för EU-omfattande giltiga cybersäkerhetscertifikat finns det dock en ökande risk för fragmentering och hinder mellan medlemsstaterna.

Certifieringsramen

Certifieringsramen kommer att tillhandahålla EU-omfattande certifieringssystem som en omfattande uppsättning regler, tekniska krav, standarder och förfaranden. Ramen kommer att baseras på en överenskommelse på EU-nivå om utvärderingen av säkerhetsegenskaperna hos en viss IKT-baserad produkt eller tjänst. Den ska intyga att IKT-produkter och IKT-tjänster som har certifierats i enlighet med ett sådant system uppfyller de angivna kraven.

I varje europeiskt system bör särskilt följande anges:

• De kategorier av produkter och tjänster som omfattas.
• cybersäkerhetskraven, såsom standarder eller tekniska specifikationer,
• Typen av utvärdering, t.ex. självbedömning eller tredje part.
• Den avsedda säkerhetsnivån.

Assuransnivåerna används för att informera användarna om en produkts cybersäkerhetsrisk och kan vara grundläggande, betydande och/eller hög. De står i proportion till den risknivå som är förknippad med den avsedda användningen av produkten, tjänsten eller processen, när det gäller sannolikheten för och konsekvenserna av en olycka. En hög säkerhetsnivå skulle innebära att den certifierade produkten klarade de högsta säkerhetstesterna.

Det resulterande intyget

Det resulterande certifikatet kommer att erkännas i alla EU-medlemsstater, vilket gör det lättare för företag att handla över gränserna och för köpare att förstå produktens eller tjänstens säkerhetsdetaljer.

Mer information om arbetet med EU:s cybersäkerhetscertifiering finns i Enisas cybersäkerhetscertifiering.

EU:s första system för cybersäkerhetscertifiering enligt gemensamma kriterier (EUCC)

Det första systemet som antogs inom ramen för cybersäkerhetsaktens certifieringsram bygger på den välkända internationella standarden Common Criteria, som används för att utfärda certifikat i Europa i nästan 30 år nu. Systemet drar nytta av det höga anseendet hos europeiska leverantörer och certifierare som använder Common Criteria-baserad certifiering över hela världen. 

Systemet började tillämpas den 27 februari 2025.

Systemet gäller i hela EU, på frivillig basis, och är inriktat på certifiering av IKT-produkters cybersäkerhet under deras livscykel, inbegripet följande:

• Biometriska system
• Brandväggar (både hårdvara och mjukvara)
• Detektions- och svarsplattformar
• Routrar
• Strömställare
• Specialiserad programvara (t.ex. SIEM- och IDS/IDP-system)
• Datadioder
• Operativsystem (även för mobila enheter)
• Krypterade lagringsutrymmen
• Databaser
• Smartkort och säkra element som ingår i alla typer av produkter, t.ex. i pass som dagligen används av alla medborgare. 

Mer information om EUCC finns på Enisas webbplats för certifiering.

En förnyad europeisk ram för cybersäkerhetscertifiering

Den 20 januari 2026 föreslog kommissionen en reviderad cybersäkerhetsakt som förnyar den europeiska ramen för cybersäkerhetscertifiering. Förslaget kommer att säkerställa att produkter och tjänster som når konsumenter i EU testas för säkerhet på ett effektivare sätt. Den nya europeiska kreditfaciliteten kommer automatiskt att skapa större klarhet och enklare förfaranden för att utveckla system inom tolv månader. Det kommer också att införa en smidigare och öppnare styrning för att bättre involvera berörda parter genom information till och samråd med allmänheten.

Certifieringssystem som förvaltas av Enisa kommer att bli ett praktiskt och frivilligt verktyg för företag. De kommer att göra det möjligt för företag att visa att de följer EU-lagstiftningen, vilket minskar bördan och kostnaderna. För EU:s medborgare, företag och offentliga myndigheter kommer det att säkerställa en hög nivå av säkerhet och förtroende för komplexa IKT-leveranskedjor. 

Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering

Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering offentliggjordes samtidigt som det första EU-omfattande systemet för cybersäkerhetscertifiering (EUCC). I det första URWP beskrivs strategiska prioriteringar för framtida europeiska system för cybersäkerhetscertifiering, med beaktande av den senaste lagstiftnings- och marknadsutvecklingen, såsom cyberresiliensakten och förordningen om europeisk digital identitet. Detta kan så småningom leda till att nya system begärs när så är nödvändigt och lämpligt. Dessutom beskrivs de strategiska prioriteringar som ska beaktas vid utarbetandet av ett europeiskt system för cybersäkerhetscertifiering. 

URWP betonar följande områden för framtida europeisk cybersäkerhetscertifiering kopplad till EU-lagstiftningen:

• ID-plånböcker
• Hanterade säkerhetstjänster
• Industriella automations- och styrsystem
• Utveckling av säkerhetslivscykeln med utgångspunkt i kreditvärderingsinstitutens krav
• Kryptografiska mekanismer

Begäranden om europeiska ordningar för cybersäkerhetscertifiering

Kommissionen får begära att Enisa utarbetar ett förslag till system eller ser över ett befintligt europeiskt system för cybersäkerhetscertifiering. Efter en sådan begäran utarbetar Enisa ett förslag till system och samråder med berörda parter genom ett öppet och transparent förfarande. Enisa har också ett nära samarbete med medlemsstaterna genom den europeiska gruppen för cybersäkerhetscertifiering och bygger på expertråd innan det föreslagna systemet lämnas in till kommissionen.

Kommissionen har uppmanat Enisa att utarbeta följande förslag till system:

Europeiskt certifieringssystem baserat på gemensamma kriterier  

Europeiskt system för cybersäkerhetscertifiering av molntjänster 

Europeiskt system för cybersäkerhetscertifiering av europeiska e-identitetsplånböcker 

Europeiskt system för cybersäkerhetscertifiering av hanterade säkerhetstjänster 

Europeiskt system för cybersäkerhetscertifiering för 5G-nät 

Europeiska gruppen för cybersäkerhetscertifiering (ECCG)

Europeiska gruppen för cybersäkerhetscertifiering (ECCG) inrättades för att bidra till att säkerställa ett konsekvent genomförande och en konsekvent tillämpning av cybersäkerhetsakten. Den består av företrädare för nationella myndigheter för cybersäkerhetscertifiering eller företrädare för andra relevanta nationella myndigheter. ECCG är avgörande för utarbetandet av det föreslagna certifieringssystemet och det allmänna genomförandet av certifieringsramen.

Intressentgruppen för cybersäkerhetscertifiering (SCCG)

Efter ikraftträdandet av cybersäkerhetsakten 2019 inrättades intressentgruppen för cybersäkerhetscertifiering. 

Samordningsgruppen för cybersäkerhet ansvarar för att ge kommissionen och Enisa råd i strategiska frågor som rör cybersäkerhetscertifiering och bistå kommissionen vid utarbetandet av unionens löpande arbetsprogram. Detta är den första expertgruppen för cybersäkerhetscertifiering som lanserats av EU-kommissionen.

Följ gruppens arbete