Krajowy organ
ds. certyfikacji cyberbezpieczeństwa

Akredytacja jako pierwszy krok

Podmioty zainteresowane prowadzeniem działalności w obszarze certyfikacji cyberbezpieczeństwa muszą spełnić wymagania określone w Akcie o cyberbezpieczeństwie, EUCC oraz ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa.

Warunkiem rozpoczęcia działalności przez jednostkę certyfikującą lub jednostkę oceniającą bezpieczeństwo technologii informacyjnych (ITSEF) jest uzyskanie odpowiedniej akredytacji potwierdzającej kompetencje do wykonywania czynności związanych z oceną zgodności i certyfikacją. Akredytacja stanowi formalne potwierdzenie, że dany podmiot posiada odpowiednie kompetencje techniczne, organizacyjne i kadrowe niezbędne do realizacji zadań określonych w programie certyfikacji.

Postępowanie akredytacyjne rozpoczyna się od określenia zakresu działalności w obszarze oceny zgodności, a następnie złożenia wniosku o udzielenie akredytacji do Polskiego Centrum Akredytacji (PCA). Po złożeniu wniosku PCA przeprowadza jego szczegółową ocenę. Audytorzy analizują dokumentację, obserwują procesy realizowane w jednostce oraz weryfikują kompetencje personelu. Jeśli ocena przebiegnie pomyślnie, PCA wydaje certyfikat akredytacji, który stanowi podstawę do dalszego uczestnictwa w krajowym i europejskim systemie certyfikacji cyberbezpieczeństwa. Szczegółowe informacje w tym zakresie dostępne są na stronie internetowej PCA: https://www.pca.gov.pl.

Zezwolenie na wykonywanie czynności certyfikacyjnych

Samo posiadanie akredytacji nie zawsze jest wystarczające do rozpoczęcia działalności certyfikacyjnej. Artykuł 19 ustawy o krajowym systemie certyfikacji cyberbezpieczeństwa określa procedurę i warunki uzyskiwania zezwolenia na wykonywanie czynności w ramach europejskich programów certyfikacji cyberbezpieczeństwa. Wymóg uzyskania takiego zezwolenia pojawia się w sytuacjach, gdy dany program certyfikacji przewiduje szczególne lub dodatkowe wymagania dotyczące kompetencji technicznych jednostek oceniających zgodność.

EUCC wprowadza dodatkowe wymogi dla jednostek oceniających zgodność. Jednostka certyfikująca lub ITSEF uzyska zezwolenie na wydawanie certyfikatów EUCC o poziomie uzasadnienia zaufania „wysoki”, jeżeli oprócz spełnienia wymogów określonych w Akcie o cyberbezpieczeństwie wykaże, że dysponuje wiedzą fachową i odpowiednimi kompetencjami, a także wprowadziła odpowiednie środki techniczne i operacyjne w celu skutecznej ochrony informacji poufnych i szczególnie chronionych. Szczegółowe wymogi w tym zakresie zostały określone w art. 21 i 22 EUCC.W celu uzyskania zezwolenia zainteresowana jednostka składa wniosek do krajowego organu ds. certyfikacji cyberbezpieczeństwa, wskazując domeny techniczne objęte wnioskiem oraz przedstawiając dokumenty potwierdzające spełnienie wymagań określonych w Akcie o cyberbezpieczeństwie oraz właściwym programie certyfikacji. Dotyczy to w szczególności dokumentacji opisującej procedury funkcjonujące w jednostce czy zasad związanych z postępowaniem w przypadku konfliktu interesów.

Następnie krajowy organ ds. certyfikacji cyberbezpieczeństwa analizuje przesłaną dokumentację, a w razie potrzeby zwraca się o jej uzupełnienie. Zgodnie z wymaganiami programu EUCC organ przeprowadza również ustrukturyzowane wywiady z wybranymi pracownikami jednostki oraz dokonuje przeglądu co najmniej jednej oceny pilotażowej przeprowadzonej przez wnioskodawcę.

Wydane zezwolenie uprawnia podmiot do wykonywania czynności certyfikacyjnych w zakresie określonym w decyzji. Rozwiązanie to ma zapewnić odpowiedni poziom nadzoru nad działalnością podmiotów uczestniczących w systemie certyfikacji cyberbezpieczeństwa, szczególnie w obszarach związanych z certyfikatami o wysokim poziomie zapewnienia.

Co dalej?

Procedura uzyskania uprawnień w obszarze certyfikacji cyberbezpieczeństwa wymaga odpowiedniego przygotowania i spełnienia szeregu wymagań formalnych. Pozytywne przejście procesu akredytacji oraz uzyskanie zezwolenia umożliwia jednostkom certyfikującym i laboratoriom rozpocząć działalność na całym rynku Unii Europejskiej.

Poniżej udostępniamy do zapoznania się wniosek o zezwolenie na wykonywanie czynności w ramach programu EUCC.