Krajowy organ
ds. certyfikacji cyberbezpieczeństwa

Certyfikacja krok po kroku

1. Złożenie wniosku oraz zawarcie umowy

W procesie certyfikacji bierze udział jednostka certyfikująca oraz laboratorium oceniające bezpieczeństwo technologii informacyjnych (ITSEF). Produkt ICT może być poddany ocenie zgodności zgodnie z europejskim programem certyfikacji cyberbezpieczeństwa na podstawie umowy zawartej przez dostawcę i akredytowaną jednostkę oceniającą zgodność. Pierwszym krokiem w procesie certyfikacji EUCC jest złożenie wniosku do takiej jednostki, uzyskanie wyceny i podpisanie umowy. Na tym etapie warto również zawrzeć umowę z laboratorium i współpracować z obiema jednostkami równolegle. W przypadku certyfikatów EUCC poza odpowiednią akredytacją, w określonych przypadkach jednostki muszą również spełniać dodatkowe wymagania przewidziane przez przepisy krajowe.

W procesie przygotowania oceny ma zastosowanie pojęcie „przedmiotu oceny” (TOE – Target of Evaluation), który jest definiowany jako zbiór oprogramowania lub sprzętu, zwykle z wytycznymi do stosowania. TOE nie musi być tożsamy z produktem ICT, jednakże jego cechą charakterystyczną jest to, że ocena przedmiotu musi być jednoznacznie interpretowalna i wyrażona w odniesieniu do jednoznacznych kryteriów. To rozróżnienie umożliwia np. certyfikowanie produktu tylko w określonych konfiguracjach.

Jednostka certyfikująca dokona przeglądu wniosku w celu potwierdzenia gotowości i zgodności z zakresem. Po złożeniu wniosku dostawcy muszą dostarczyć odpowiednią dokumentację.

2. Poddanie się ocenie przez akredytowane laboratorium

Laboratorium jest odpowiedzialne za przeprowadzenie ewaluacji i badania produktu od strony technicznej. W praktyce ITSEF bada dany produkt ICT, przeprowadza analizę jego dokumentacji, testy bezpieczeństwa oraz testy penetracyjne dostosowane do wybranego poziomu zapewnienia bezpieczeństwa. W trakcie oceny laboratorium przekazuje informacje zwrotne do dostawcy oraz raporty częściowe do jednostki certyfikującej. Jednostka certyfikująca nie uczestniczy bezpośrednio w testach, ale nadzoruje poprawność działań ITSEF i na każdym etapie procesu może zgłaszać swoje uwagi do przebiegu oceny. Pozytywnie zakończona ocena potwierdza, że ​​produkt spełnia wszystkie zdefiniowane wymagania bezpieczeństwa i funkcjonalne. Po zakończeniu oceny laboratorium przygotowuje wyniki badań w formie raportu końcowego, który stanowi podstawę do przeprowadzenia procesu certyfikacji przez jednostkę certyfikującą.

3. Otrzymanie decyzji certyfikacyjnej

Po zakończonym procesie oceny, jednostka certyfikująca dokonuje jego przeglądu i wydaje formalną decyzję. Zatwierdzone produkty, które otrzymały otrzymują certyfikat EUCC są publikowane w rejestrze prowadzonym przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa, zapewniając przejrzystość i publiczny dowód zgodności z europejskimi standardami cyberbezpieczeństwa.

4. Utrzymanie zgodności

Certyfikacja nie kończy się na otrzymaniu pozytywnej decyzji. Jednostki certyfikujące, laboratoria oraz posiadacze certyfikatów pozostają pod nadzorem krajowych organów ds. certyfikacji cyberbezpieczeństwa. Certyfikaty EUCC są wydawane na okres do 5 lat i podlegają okresowym przeglądom. Posiadacze certyfikatu muszą aktywnie monitorować swoje produkty pod kątem luk w zabezpieczeniach, zgłaszać je odpowiednim organom i stosować środki zaradcze w określonych ramach czasowych. Nieprzestrzeganie tych standardów może prowadzić do zawieszenia lub cofnięcia certyfikatu.

Certyfikaty EUCC na poziomie „wysoki” a zgoda Ministra Cyfryzacji

W przypadku certyfikatów EUCC odwołujących się do poziomu zaufania „wysoki”, przepisy przewidują dodatkowy mechanizm nadzoru krajowego.

Ustawa z dnia 25 czerwca 2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa przewiduje wymóg uzyskania zgody Ministra Cyfryzacji na wydanie europejskiego certyfikatu, jeżeli dany certyfikat odwołuje się do poziomu uzasadnienia zaufania „wysoki”. W związku z tym po pozytywnym zakończeniu certyfikacji jednostka oceniająca zgodność, nie później niż w terminie 14 dni od dnia zakończenia certyfikacji, przesyła do Ministra Cyfryzacji wniosek o zgodę na wydanie certyfikatu.

Minister Cyfryzacji odmawia wydania takiej zgody, jeżeli w ramach certyfikacji zostały naruszone przepisy Aktu o Cyberbezpieczeństwie, ustawy lub danego europejskiego programu certyfikacji cyberbezpieczeństwa. Zgoda lub odmowa wydawana jest w drodze decyzji.

W praktyce oznacza to, że dla certyfikatów EUCC na poziomie „wysoki” konieczne jest jeszcze uzyskanie dodatkowego zezwolenia Ministra Cyfryzacji jako krajowego organu ds. certyfikacji cyberbezpieczeństwa.

Celem takiego rozwiązania jest zapewnienie szczególnego nadzoru nad certyfikatami dotyczącymi produktów o najwyższym poziomie zaufania, które często wykorzystywane są w administracji publicznej, sektorze obronnym, infrastrukturze krytycznej lub innych obszarach poważnie narażonych na cyberzagrożenia. Nadzór krajowego organu ds. certyfikacji cyberbezpieczeństwa ma gwarantować jednolite stosowanie wymagań oraz odpowiednią jakość procesu certyfikacji.

Co z tego wynika?

Jak widać proces uzyskania certyfikatu EUCC nie jest przesadnie skomplikowany, a odpowiednie przygotowanie organizacji pozwala sprawnie przejść przez wszystkie jego etapy oraz skutecznie potwierdzić zgodność z wymaganymi standardami. Certyfikat EUCC stanowi potwierdzenie, że dany produkt spełnia określone wymagania bezpieczeństwa i został oceniony zgodnie z jednolitymi zasadami obowiązującymi w całej Unii Europejskiej.