EU: Europäisches Zertifizierungssystem für Cybersicherheit auf Grundlage gemeinsamer Kriterien (EUCC)

 

Die Europäische Union hat einen Entwurf einer Durchführungsverordnung der Kommission veröffentlicht, in der die Regeln für die Anwendung der Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates dargelegt sind. Diese Verordnung betrifft die Einrichtung des europäischen, auf gemeinsamen Kriterien basierenden Zertifizierungssystems für Cybersicherheit (EUCC).

Mit diesem Entwurf einer Durchführungsverordnung der Kommission wird das auf gemeinsamen Kriterien basierende Zertifizierungssystem der EU (EUCC) als erstes System im Rahmen der CSA-Zertifizierung eingeführt.

Das übergeordnete Ziel des europäischen Rahmens für die Cybersicherheitszertifizierung besteht darin, die Zuverlässigkeit von IKT-Produkten, IKT-Diensten und IKT-Prozessen durch die Nutzung europäischer Cybersicherheitszertifizierungssysteme zu verbessern. Die Zertifizierung dient als Nachweis dafür, dass die Cybersicherheitsanforderungen des Systems erfüllt wurden. Darüber hinaus soll der Rahmen Redundanzen bei den Cybersicherheitszertifizierungssystemen zwischen den Mitgliedstaaten verhindern, die Kosten für Unternehmen im digitalen Binnenmarkt senken und den Kunden durch Zertifikate, die Zeichen und Etiketten enthalten, klare, vergleichbare Sicherheit bieten.

Der Entwurf des Zertifizierungsschemas befasst sich in erster Linie mit spezialisierten IT- und IKT-Geräten, darunter integrierte Schaltkreise, Chipkarten und verwandte Elemente (wie kryptografische Komponenten, Mikrocontroller, dedizierte Software), Netzwerkgeräte und -systeme (wie Router, Switches, Access Points) und Produkte für digitale Signaturen (wie kryptografische Module, Hardware-Sicherheitsmodule, sichere Server). Der Entwurf des Zertifizierungsschemas ist nicht für Allzweck- oder Verbraucherprodukte vorgesehen.

Indem das EUCC-System skalierbare Zusicherungen in Bezug auf Cybersicherheitsmaßnahmen bietet, selbst gegen die fortschrittlichsten Cyberangriffe, wird es das Vertrauen in den digitalen Binnenmarkt stärken. Die EUCC-Zertifizierung bietet einen zusammenhängenden und einheitlichen Überblick über Cybersicherheitsmerkmale entlang der gesamten Wertschöpfungskette, sodass Kunden fundierte Entscheidungen treffen können. Bei der EUCC-Zertifizierung erstrecken sich die Cybersicherheitsansprüche für ein IKT-Produkt über dessen gesamten Lebenszyklus. Die EUCC-Zertifizierung erhöht die Wahrscheinlichkeit, ungerechtfertigte Risiken wie unbefugte Datenschutzverletzungen zu identifizieren und zu beseitigen, und verhindert so die Einführung unsicherer Produkte auf dem Markt.

Das EUCC basiert auf zwei Normen, die auf der ISO-Website öffentlich verfügbar sind: den Gemeinsamen Kriterien für die Bewertung der Sicherheit von Informationstechnologien (EN ISO/IEC 15408) und der Gemeinsamen Methodik für die Bewertung der Sicherheit von Informationstechnologien (EN ISO/IEC 18045).

Rechtsgrundlage dieser Durchführungsverordnung ist die Verordnung (EU) Nr. 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019. Diese Verordnung betrifft die ENISA (Agentur der Europäischen Union für Cybersicherheit) und die Cybersicherheitszertifizierung für Informations- und Kommunikationstechnologie und hebt die Verordnung (EU) Nr. 526/2013 (Gesetz zur Cybersicherheit) auf. Der vorgeschlagene Termin für die Verabschiedung ist das 4. Quartal 2023.

Die neue Regelung finden Sie HIER.

Um mehr über Cybersicherheit in der EU zu erfahren, wenden Sie sich bitte direkt an das Product Compliance Institute.