La certificació proporciona un reconeixement formal que es pot confiar que els productes TIC protegiran tant el maquinari com el programari que els ciutadans utilitzen diàriament.
La Comisión Europea adoptó el reglamento de aplicación relativo al sistema de certificación de ciberseguridad de la UE sobre criterios comunes (EUCC). El resultado está totalmente en línea con el esquema candidato de certificación de ciberseguridad en EUCC que ENISA redactó en respuesta a una solicitud emitida por la Comisión Europea. En la redacción del esquema candidato, ENISA contó con el apoyo de un grupo de trabajo ad hoc (AHWG) compuesto por expertos del área de toda la industria y autoridades nacionales de certificación de ciberseguridad (NCCA) de los Estados miembros de la UE.
Como primer esquema de certificación de ciberseguridad de la UE que se adopta, se espera que el EUCC allane el camino para los próximos esquemas que están actualmente en preparación. Si bien un acto de ejecución forma parte del “acervo comunitario”, la legislación de la UE, el marco de certificación de la ciberseguridad es voluntario. Con el tiempo, EUCC reemplazará los esquemas de certificación nacionales que anteriormente estaban bajo el acuerdo SOG-IS.
El pla voluntari complementarà la Llei de Resiliència Cibernètica que introduïx requisits vinculants de ciberseguretat per a tots els productes de maquinari i programari en la UE. Este important pas contribuïx a fomentar el lideratge digital global d'Europa. A més, el pla també impulsarà la implementació de la Directiva NIS2 .
El pla es publicarà en breu en el Diari Oficial de la UE i entrarà en vigor 20 dies després de la seua publicació. Juntament amb la publicació del sistema de certificació en el Diari Oficial, la Comissió també publicarà el primer programa de treball continu de la Unió per a la certificació europea de ciberseguretat. Este document establix una visió estratègica i reflexions sobre possibles àrees per a futurs esquemes europeus de certificació de ciberseguretat considerant els recents desenvolupaments legislatius i de mercat.
Què és l'EUCC?
Segons el que es disposa en la Llei de Ciberseguretat de 2019, el nou sistema s'enquadra en el marc de certificació de ciberseguretat de la UE. L'objectiu d'este marc era elevar el nivell de ciberseguretat dels productes, servicis i processos de TIC en el mercat de la UE. Per a açò, establix un conjunt complet de normes, requisits de normes tècniques, normes i procediments que s'aplicaran en tota la Unió.
El nou esquema EUCC, de caràcter voluntari, permet als proveïdors de TIC que desitgen presentar proves de garantia passar per un procés d'avaluació comunament entés en la UE per a certificar productes de TIC, com a components tecnològics (xips, targetes intel·ligents), maquinari i programari.
El pla es basa en el marc d'avaluació de Criteris Comuns SOG-IS, d'eficàcia provada, que ja s'utilitza en 17 Estats membres de la UE. Proposa dos nivells d'assegurament basats en el nivell de risc associat a l'ús previst del producte, servici o procés, en termes de probabilitat i impacte d'un accident.
Sobre la base de amplias investigaciones y consultas, el plan integral se ha adaptado a las necesidades de los Estados miembros de la UE. Por tanto, los mecanismos de certificación a escala de la Unión permiten a las empresas europeas competir a nivel nacional, de la Unión y mundial.
En otras palabras, se espera que los esquemas de certificación de la UE, como el EUCC, también sirvan de incentivo para que los proveedores cumplan con los requisitos de certificación de ciberseguridad. La EUCC entra en el vibrante mercado de las cibercertificaciones estudiadas en el nuevo informe publicado por ENISA siguiendo la evolución del número de metodologías y organismos de evaluación dedicados a productos y servicios TIC.
Procés d'adopció i pròxims passos
Juntament amb el grup de treball ad hoc, ENISA va compilar l'esquema candidat amb els requisits de seguretat i els mètodes d'avaluació comunament acceptats, definits i acordats.
ENISA va transmetre el projecte de pla a la Comissió Europea després que l'ECCG emetera el seu dictamen. L'acte d'execució emès per la Comissió Europea com a resultat d'açò va ser adoptat posteriorment mitjançant el procediment pertinent conegut com a procediment de comitología.
L'acte adoptat preveu un període de transició durant el qual les organitzacions encara podran beneficiar-se de les certificacions existents en el marc de sistemes nacionals en determinats Estats membres. Els organismes d'avaluació de la conformitat (CAB) interessats a realitzar avaluacions segons EUCC poden ser acreditats i notificats. Els proveïdors podran convertir els seus certificats SOG-IS existents en certificats EUCC després d'avaluar les seues solucions respecte dels requisits agregats o actualitzats segons l'especificat en l'EUCC.
Els certificats emesos baix EUCC seran publicats per ENISA. ENISA també publica la Llei d'Execució i els documents de respatler, com a annexos, documents d'última generació i orientació, en el lloc web dedicat a la certificació. L'Agència de Ciberseguretat de la Unió Europea també proposa material de suport, inclòs un vídeo sobre els últims avanços del pla i en suport de la seua implementació.
Altres sistemes de certificació de ciberseguretat de la UE
ENISA està treballant actualment en dos esquemes de certificació de ciberseguretat més, EUCS sobre servicis en el núvol i EU5G sobre seguretat 5G. L'Agència també ha emprès un estudi de viabilitat sobre els requisits de certificació de ciberseguretat de la UE per a la IA i està recolzant a la Comissió Europea i als Estats membres per a establir una estratègia de certificació per a eIDAS/billetera . Més recentment, la Comissió Europea va proposar una esmena a la Llei de Ciberseguretat que preveu un esquema per a servicis de seguretat gestionats (MSSP).
Més informació
- Acte d'execució de la UE
- Tema ENISA: Certificació
- Lloc web de certificació ENISA
- Informe sobre avaluacions del mercat de ciberseguretat
- Consulta pública sobre el sistema europeu de certificació de ciberseguretat basat en criteris comuns (EUCC)
- Llei de ciberseguretat i marc de certificació de ciberseguretat
Font original de la notícia (Comissió Europea)
Font original de la notícia (ENISA)