Krajowy organ
ds. certyfikacji cyberbezpieczeństwa

Wprowadzenie

Cyberbezpieczeństwo jest obecnie jednym z kluczowych elementów funkcjonowania współczesnej gospodarki cyfrowej. Organizacje coraz częściej poszukują wiarygodnych metod potwierdzania bezpieczeństwa wykorzystywanych produktów ICT. Odpowiedzią na takie zapotrzebowanie jest EUCC, czyli pierwszy europejski program certyfikacji cyberbezpieczeństwa przyjęty w ramach europejskich ram certyfikacji określonych w rozporządzeniu UE 2019/881 (Cybersecurity Act).

Program został formalnie ustanowiony przez Rozporządzenie Wykonawcze Komisji (UE) 2024/482 z dnia 31 stycznia 2024 r. i obecnie pozostaje jedynym obowiązującym europejskim programem certyfikacji cyberbezpieczeństwa przyjętym na poziomie całej Unii Europejskiej.

EUCC stanowi przełomowy krok w kierunku harmonizacji wymagań bezpieczeństwa produktów ICT w całej Wspólnocie. System certyfikacji cyberbezpieczeństwa dzięki jasnym kryteriom oceny i wspólnym standardom wprowadza porządek na rynku dla producentów, dostawców oraz odbiorców. Dzięki niemu producenci mogą uzyskać certyfikat uznawany automatycznie we wszystkich państwach członkowskich, a użytkownicy otrzymują wiarygodne potwierdzenie poziomu bezpieczeństwa nabywanych rozwiązań.

Czym jest EUCC?

EUCC jest to europejski program certyfikacji cyberbezpieczeństwa przeznaczony dla produktów ICT, takich jak komponenty technologiczne (chipy, karty inteligentne), sprzęt oraz oprogramowanie. Program opiera się na metodologii Common Criteria (CC), opisanej w normie ISO/IEC 15408, oraz na metodologii oceny zawartej w normie ISO/IEC 18045.

Common Criteria są obecnie najbardziej powszechnym standardem oceny bezpieczeństwa produktów ICT, wykorzystywanym przez administrację publiczną i sektor prywatny w wielu krajach na świecie. Posiadanie takiego certyfikatu jest powszechnie uznawane za dowód, że produkt przeszedł niezależną i szczegółową ocenę bezpieczeństwa przeprowadzoną przez wyspecjalizowane laboratorium. EUCC wprowadził jednolite zasady certyfikacji obowiązujące na terenie całej Unii Europejskiej.

Wśród podstawowych celów programu można wymienić:

• harmonizację wymagań w zakresie bezpieczeństwa,
• zwiększenie zaufania do produktów ICT,
• ułatwienie handlu na jednolitym rynku europejskim,
• wyłączenie konieczności wielokrotnej certyfikacji tego samego produktu w różnych państwach,
• podniesienie poziomu cyberbezpieczeństwa w całej UE.

Dla kogo przeznaczony jest EUCC?

Program został opracowany przede wszystkim z myślą o producentach i dostawcach produktów ICT, którzy chcą potwierdzić wysoki poziom cyberbezpieczeństwa oferowanych rozwiązań. Jednak jej beneficjentami są również użytkownicy produktów ICT, podmioty administracji publicznej, operatorzy usług kluczowych, instytucje sektora finansowego i ochrony zdrowia oraz wszystkie organizacje wymagające wysokiego poziomu bezpieczeństwa wykorzystywanych technologii. Certyfikacja podnosi poziom zaufania do produktów ICT oraz zwiększa bezpieczeństwo w cyberprzestrzeni.

Jakie produkty podlegają certyfikacji?

EUCC koncentruje się na certyfikacji cyberbezpieczeństwa produktów ICT, takich jak: systemy biometryczne, zapory sieciowe, routery, przełączniki, specjalistyczne oprogramowanie, systemy operacyjne, zaszyfrowane pamięci masowe, bazy danych czy inteligentne karty.

W przypadku certyfikacji na najwyższych poziomach tj. AVA_VAN.4 i AVA_VAN.5 stosuje się powszechnie dwie domeny techniczne. Pierwszą domeną techniczną jest domena „Karty elektroniczne i podobne urządzenia”, w której znaczna część wymaganych funkcji bezpieczeństwa zależy od konkretnych elementów sprzętu, które często można rozdzielić, np. sprzęt do kart elektronicznych czy układy scalone. Drugą domeną techniczną jest domena „Urządzenie sprzętowe ze skrzynkami bezpieczeństwa”, w której znaczna część wymaganych funkcji bezpieczeństwa zależy od fizycznej obudowy sprzętu zaprojektowanej tak, aby była odporna na bezpośrednie ataki, np. terminale płatnicze.

Jakie są korzyści z uzyskania certyfikatu EUCC?

Najważniejszą zaletą programu jest to, że certyfikat wydany zgodnie z EUCC jest automatycznie uznawany we wszystkich państwach członkowskich Unii Europejskiej. Oznacza to, że producent nie musi przechodzić ponownie odrębnych procesów certyfikacyjnych dla każdego rynku krajowego. Obecnie do państw, które za pośrednictwem krajowych regulacji prawnych nakładają pośredni obowiązek certyfikacji (np. w sektorze publicznym), należą m.in. Hiszpania i Francja. Biorąc pod uwagę kierunek zmian legislacyjnych na poziomie unijnym, można spodziewać się rozszerzania zakresu obowiązkowej certyfikacji EUCC w perspektywie najbliższych lat.

Po drugie, certyfikat stanowi niezależne potwierdzenie, że produkt został poddany szczegółowej analizie pod kątem cyberbezpieczeństwa, w związku z czym zastosowano odpowiednie mechanizmy ochrony.

Certyfikacja może również poprawić konkurencyjność podmiotu na rynku i stanowić istotny argument podczas negocjacji biznesowych, postępowań przetargowych czy wyboru dostawców technologii. Posiadanie certyfikatu umożliwia przedsiębiorcom potwierdzenie wysokiego poziomu bezpieczeństwa w przestrzeni cyfrowej, a także zwiększa ich konkurencyjność na europejskim rynku. Ponieważ coraz więcej organizacji wymaga udokumentowanego poziomu bezpieczeństwa produktów, certyfikat EUCC może stanowić obiektywny dowód spełnienia określonych wymagań.

Ponadto certyfikacja ułatwia jej posiadaczowi wykazanie zachowania należytej staranności w ramach prowadzonej działalności oraz ogranicza poziom ryzyka związanego z cyberzagrożeniami.

Należy również wspomnieć, że już samo przejście procesu oceny często prowadzi do wykrycia istniejących podatności, poprawy dokumentacji czy wdrożenia bezpiecznych procesów rozwoju produktu, a tym samym ogólnego podniesienia jakości oferowanego produktu.

Kto bierze udział w procesie certyfikacji?

W procesie biorą udział dwa podstawowe rodzaje podmiotów:

• Laboratoria oceniające bezpieczeństwo technologii informacyjnych (ITSEF) które są odpowiedzialne za przeprowadzenie ewaluacji i badania produktu od strony technicznej.
• Jednostki certyfikujące, które analizują wyniki ocen przeprowadzonych przez ITSEF i na ich podstawie podejmują decyzję o wydaniu certyfikatu.

Wszystkie te jednostki takie muszą posiadać odpowiednią akredytację, kompetentny personel, a także odpowiednie procedury.

Kto wydaje certyfikat?

Jak wspomniano powyżej, certyfikat EUCC wydawany jest przez jednostki oceniające zgodność posiadające odpowiednią akredytację, a także zezwolenie Ministra Cyfryzacji.

Ważność i nadzór nad certyfikatem

Certyfikaty EUCC są wydawane na okres do 5 lat i podlegają okresowym przeglądom. Co ważne, certyfikaty mogą zostać przedłużone, jak również zawieszone lub wycofane w przypadku stwierdzenia niezgodności.

Jednostki certyfikujące, laboratoria oraz posiadacze certyfikatów pozostają pod nadzorem krajowych organów ds. certyfikacji cyberbezpieczeństwa.

Podsumowanie

EUCC stanowi najważniejszy obecnie europejski program certyfikacji cyberbezpieczeństwa produktów ICT.

Dla producentów oznacza możliwość uzyskania jednego, uznawanego na całym obszarze UE certyfikatu potwierdzającego cyberbezpieczeństwo produktu. Natomiast dla klientów i użytkowników certyfikat taki jest wiarygodnym źródłem informacji o poziomie ochrony oferowanym przez wykorzystywane technologie.

W obliczu stale rosnących wymagań regulacyjnych i coraz bardziej zaawansowanych cyberzagrożeń certyfikacja EUCC stanowi nie tylko element budowania przewagi konkurencyjnej dla produktu, ale jest również ważnym narzędziem zwiększania zaufania do europejskiego rynku cyfrowego.