(1)

Izvedbena uredba Komisije (EU) 2024/482 (2) določa vloge, pravila in obveznosti ter strukturo evropske certifikacijske sheme za kibernetsko varnost, ki temelji na skupnih merilih (v nadaljnjem besedilu: EUCC) v skladu z evropskim certifikacijskim okvirom za kibernetsko varnost iz Uredbe (EU) 2019/881.

(2)

Skupna metodologija ocenjevanja, ki spremlja skupna merila, mednarodni standard za ocenjevanje informacijske varnosti, omogoča ocenjevanje varnosti proizvodov IKT za namene certificiranja. V tem okviru se lahko nekateri proizvodi IKT, imenovani tudi serija proizvodov, oblikujejo na enaki funkcionalni osnovi, da bi nudili podobne varnostne funkcionalnosti na različnih platformah ali napravah. Vendar se lahko zasnova, strojna oprema, strojna programska oprema ali programska oprema posameznih proizvodov IKT razlikujejo. Certifikacijski organ mora za vsak primer posebej odločiti, ali se serija proizvodov lahko certificira. Pogoje za certificiranje serij proizvodov bi lahko dodatno ponazorile podporne smernice o EUCC.

(3)

Za ohranitev zanesljivosti certificiranih proizvodov je bistveno opredeliti, kaj predstavlja večjo in kaj manjšo spremembo cilja ocenjevanja ali njegovega okolja, vključno z operativnim ali razvojnim okoljem. Zato je treba navedene pojme opredeliti ob upoštevanju obstoječih in splošno uporabljanih tehničnih specifikacij skupine visokih uradnikov za varnost informacijskih sistemov in udeležencev dogovorov o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT.

(4)

Za manjše spremembe je pogosto značilen omejen učinek na izjavo o zanesljivosti proizvoda, ki jo zagotavlja izdani certifikat EUCC. Zato bi bilo treba manjše spremembe upravljati v okviru postopkov vzdrževanja in zanje ni potrebno ponovno ocenjevanje varnostnih funkcionalnosti proizvoda. Primeri manjših sprememb, ki bi jih bilo treba obravnavati z vzdrževanjem, med drugim vključujejo redakcijske spremembe, spremembe cilja ocenjevalnega okolja, ki ne spreminjajo certificiranega cilja ocenjevanja, in spremembe certificiranega cilja ocenjevanja, ki ne vplivajo na dokaze o zanesljivosti. Tudi spremembe razvojnega okolja se lahko štejejo za manjše, če nimajo nadaljnjega učinka na obstoječe ukrepe glede zanesljivosti. Vendar lahko v nekaterih primerih zahtevajo delno ocenjevanje ustreznih ukrepov.

(5)

Večja sprememba je vsaka sprememba certificiranega cilja ocenjevanja ali njegovega okolja, ki bi lahko negativno vplivala na zanesljivost, izraženo v certifikatu EUCC, in bi zato moralo biti potrebno ponovno ocenjevanje. Primeri večjih sprememb med drugim vključujejo spremembe sklopa zahtevanih zahtev glede zanesljivosti, razen zahtev glede zanesljivosti iz družine CC ALC_FLR (odprava napak); spremembe kontrol zaupnosti ali celovitosti razvojnega okolja, kadar bi take spremembe lahko vplivale na varen razvoj ali proizvodnjo cilja ocenjevanja, ali spremembe cilja ocenjevanja za odpravo šibke točke, ki jo je mogoče izkoristiti. Poleg tega se lahko kot večja sprememba opredeli tudi nabor manjših sprememb, ki skupaj pomembno vplivajo na varnost. Pomembno je tudi priznati, da lahko odprava programske napake sicer vpliva le na določen vidik cilja ocenjevanja, vendar lahko zaradi nepredvidljivosti in morebitnega vpliva na zanesljivost postane velika sprememba, če ogroža zagotavljanje varnosti, ki jo zagotavlja certificiranje.

(6)

Spremembe okolja groženj nespremenjenega certificiranega proizvoda IKT bi lahko zahtevale ponovno oceno. Jasno bi bilo treba določiti možne rezultate takega postopka ponovne ocene, zlasti njegov vpliv na certifikat EUCC. Če je ponovna ocena uspešno zaključena, mora certifikacijski organ potrditi certifikat ali izdati nov certifikat s podaljšanim datumom poteka veljavnosti. Če postopek ponovne ocene ni uspešen, bi moral certifikacijski organ preklicati certifikat in po možnosti izdati nov certifikat z drugačnim področjem uporabe. Take določbe bi se morale smiselno uporabljati za ponovno oceno profilov zaščite.

(7)

V Prilogi I k Izvedbeni uredbi (EU) 2024/482 so navedeni veljavni najsodobnejši dokumenti za ocenjevanje proizvodov IKT in profilov zaščite. Te najsodobnejše dokumente bi bilo treba posodobiti, da bi odražali najnovejši razvoj, kot je tisti, povezan s tehnološkim razvojem, okoljem kibernetskih groženj, industrijskimi praksami ali mednarodnimi standardi. Taka posodobitev je primerna za najsodobnejše dokumente v zvezi z minimalnimi varnostnimi zahtevami za lokacijo, uporabo potenciala napada na pametne kartice, uporabo potenciala napada na naprave strojne opreme z varnostnimi napravami, uporabo skupnih meril za integrirana vezja in ocenjevanje sestavljenih proizvodov za pametne kartice in podobne naprave. Poleg tega niso vključeni najsodobnejši dokumenti v zvezi z vrednotenjem in certificiranjem sestavljenih proizvodov z uporabo najnovejše različice standardov skupnih meril, ponovna uporaba rezultatov revizij na kraju samem in pojasnila o razlagi profilov zaščite v zvezi z napravami za ustvarjanje kvalificiranega elektronskega podpisa, tahografi in varnostnimi moduli strojne opreme. Za zagotovitev enotnega ocenjevanja proizvodov IKT v okviru EUCC bi bilo treba spremeniti Prilogo I, da se vključijo ti posodobljeni in novi najsodobnejši dokumenti po njihovi potrditvi s strani evropske certifikacijske skupine za kibernetsko varnost.

(8)

Poleg tega bi bilo treba shemi dodati najsodobnejši dokument „Razlaga ADV_SPM.1 za prehod na CC:2022“, da se zagotovi, da se lahko postopki certificiranja, ki temeljijo na posebnih profilih zaščite, še naprej uporabljajo z uradnim modeliranjem (ADV_SPM.1), dokler se ne posodobijo ustrezni profili zaščite, na primer z dodatkom konfiguracije profila več ravni zanesljivosti v skladu s CC:2022, ki podpira ADV_SPM.1. Da bi trgu zagotovili dovolj časa za prehod na posodobljene standarde skupnih meril, je treba predvideti posebna pravila o prehodu za profile zaščite za platformo z varnostnim integriranim vezjem z dopolnilnimi paketi (v1.0), BSI-CC-PP-0084-2014, sistem Java kartice – zaprta konfiguracija (v3.1), BSI-CC-PP-0101-V2-2020, ali sistem Java kartice – odprta konfiguracija (v3.1), BSI-CC-PP-0099-V2-2020. Da bi se izognili motnjam na trgu, je primerno določiti, da se najsodobnejši dokument o razlagi ADV_SPM.1 za prehod na CC:2022 uporablja za postopke certificiranja, ki so se začeli pred sprejetjem te uredbe. Vendar bi morala biti uporaba tega dokumenta strogo omejena na to, kar je potrebno, ob upoštevanju časa, ki je potreben za dokončanje posodobitve ustreznih profilov zaščite. Natančneje, za postopke certificiranja, pri katerih se uporabljajo profili zaščite za platformo z varnostnim integriranim vezjem z dopolnilnimi paketi (v1.0), BSI-CC-PP-0084-2014, ali sistem Java kartice – zaprta konfiguracija (v3.1), BSI-CC-PP-0101-V2-2020, bi se moral najsodobnejši dokument uporabljati za tiste postopke, ki so se začeli pred 1. oktobrom 2026. Za postopke certificiranja, pri katerih se uporablja profil zaščite za sistem Java kartice – odprta konfiguracija (v3.1), BSI-CC-PP-0099-V2-2020, bi se moral najsodobnejši dokument uporabljati le za postopke, ki so se začeli pred datumom začetka veljavnosti te uredbe, saj je nova različica profila zaščite sistem Java kartice – odprta konfiguracija že na voljo.

(9)

Sprememba najsodobnejših dokumentov med postopkom certificiranja bi lahko ovirala ocenjevanje proizvoda in odložila izdajo certifikata. Zato so potrebna ustrezna prehodna pravila za nove ali posodobljene najsodobnejše dokumente, da bi lahko prodajalci, centri za ocenjevanje varnosti informacijske tehnologije, certifikacijski organi in drugi deležniki izvedli potrebne prilagoditve. Veljavni posodobljeni in novi najsodobnejši dokumenti bi se morali nanašati na vloge za certificiranje, vključno z vlogami za ponovno oceno in ponovno vrednotenje, medtem ko bi moralo biti omogočeno, da se za tekoče postopke certificiranja uporabljajo prejšnje različice najsodobnejših dokumentov.

(10)

V Prilogi II in Prilogi III k Izvedbeni uredbi (EU) 2024/482 so navedeni profili zaščite, certificirani na ravneh 4 ali 5 AVA_VAN, in priporočeni profili zaščite. Več sklicev je zaradi posodobitve profilov zaščite nepopolnih ali zastarelih. Navedena sklicevanja bi bilo treba dopolniti, poleg tega pa vključiti nova, da se zagotovi celovitejša pokritost varnih integriranih vezij, pametnih kartic in sorodnih naprav ter zaupanja vrednega računalništva.

(11)

Treba je spremeniti člen 19 Izvedbene uredbe (EU) 2024/482, da se pojasni, da se Priloga IV s potrebnimi spremembami uporablja za pregled certifikatov EUCC za profile zaščite.

(12)

Ker je varnostni cilj ključni element za razumevanje obsega postopka certificiranja, mora Agencija ENISA na svojem spletišču objaviti tudi varnostni cilj, ki ustreza vsakemu certifikatu EUCC.

(13)

Poleg tega bi morali certifikacijski organi Agenciji ENISA zagotoviti angleško različico varnostnega cilja in poročilo o certificiranju, da bi lahko te informacije v skladu s členom 42(2) Izvedbene uredbe (EU) 2024/482 dala na voljo v angleščini na ustreznem spletišču. Zato bi morali vložniki vloge za certificiranje certifikacijskim organom, kadar koli se to zahteva, zagotoviti angleško različico varnostnega cilja.

(14)

Ni nujno, da se sklic na ime certifikacijskega organa pojavi v edinstvenem identifikatorju certifikata, saj identifikacijska številka certifikacijskega organa zadostuje za edinstveno identifikacijo tega organa. Prav tako ni treba navesti meseca izdaje, saj se certifikati štejejo vsako leto posebej. Zato bi bilo treba to zahtevo zaradi poenostavitve črtati. Ker leto izdaje certifikata ustreza izdaji prvega certifikata, bi moral biti isti datum naveden v edinstveni identifikaciji na certifikatih, izdanih po pregledu, da se zagotovi sledljivost.

(15)

Izvedbeno uredbo (EU) 2024/482 bi bilo zato treba ustrezno spremeniti.

(16)

Ukrepi iz te uredbe so v skladu z mnenjem odbora, ustanovljenega s členom 66 Uredbe (EU) 2019/881 –

(1)

v členu 2 se dodajo naslednje točke (16), (17) in (18):

(2)

v členu 5 se doda naslednji odstavek 3:

(3)

v členu 9, odstavek (2), se točka (a) nadomesti z naslednjim:

(4)

v členu 11, odstavek 3, se točka (b) nadomesti z naslednjim:

(5)

v členu 19 se odstavek 1 nadomesti z naslednjim:

(6)

člen 42 se spremeni:

(7)

v členu 48 se odstavek 4 nadomesti z naslednjim:

(8)

Priloga I se nadomesti z besedilom iz Priloge I k tej uredbi;

(9)

Priloga II se nadomesti z besedilom iz Priloge II k tej uredbi;

(10)

Priloga III se nadomesti z besedilom iz Priloge III k tej uredbi;

(11)

Priloga IV se spremeni v skladu s Prilogo IV k tej uredbi;

(12)

Priloga V se spremeni v skladu s Prilogo V k tej uredbi;

(13)

Priloga IX se nadomesti z besedilom iz Priloge VI k tej uredbi.