Un Premier ministre européen ! L’UE adopte le premier système de certification de cybersécurité

La Commission européenne a adopté le règlement d’application concernant le système européen de certification de cybersécurité selon des critères communs (EUCC). Le résultat est tout à fait conforme au programme candidat de certification de cybersécurité sur l’EUCC que l’ENISA a rédigé en réponse à une demande émise par la Commission européenne. Lors de l’élaboration du programme candidat, l’ENISA a été soutenue par un groupe de travail ad hoc (AHWG) composé d’experts du secteur issus de l’ensemble du secteur et des autorités nationales de certification de cybersécurité (NCCA) des États membres de l’UE.

L’ENISA est reconnaissante pour les conseils et le soutien reçus par les États membres via le groupe européen de certification de cybersécurité (ECCG), ainsi que pour les contributions du groupe de certification des parties prenantes en matière de cybersécurité (SCCG).

En tant que premier système européen de certification de cybersécurité à être adopté, l’EUCC devrait ouvrir la voie aux prochains systèmes actuellement en préparation. Bien qu’un acte d’exécution fasse partie de « l’acquis communautaire », la loi de l’UE, le cadre de certification de cybersécurité est volontaire. À terme, l’EUCC remplacera les systèmes de certification nationaux précédemment prévus dans le cadre de l’accord SOG-IS.

Le directeur exécutif de l’Agence européenne pour la cybersécurité, Juhan Lepassaar, a souligné que « l’adoption du premier système de certification de cybersécurité marque une étape importante vers un marché unique numérique européen fiable et constitue une pièce du puzzle du cadre de certification de cybersécurité de l’UE actuellement en cours d’élaboration. .»

Qu’est-ce que l’EUCC ?
Comme le prévoit la loi sur la cybersécurité de 2019, le nouveau système s’inscrit dans le cadre de certification de cybersécurité de l’UE. L’objectif de ce cadre était d’élever le niveau de cybersécurité des produits, services et processus TIC sur le marché de l’UE. Pour ce faire, il établit un ensemble complet de règles, d’exigences, de normes et de procédures techniques à appliquer dans toute l’Union.

Basé sur une base volontaire, le nouveau système EUCC permet aux fournisseurs de TIC qui souhaitent présenter une preuve d’assurance de passer par un processus d’évaluation communément compris au sein de l’UE pour certifier les produits TIC tels que les composants technologiques (puces, cartes à puce), le matériel et les logiciels.
Le programme est basé sur le cadre d’évaluation éprouvé des critères communs SOG-IS, déjà utilisé dans 17 États membres de l’UE. Elle propose deux niveaux d’assurance basés sur le niveau de risque associé à l’utilisation prévue du produit, du service ou du procédé, en termes de probabilité et d’impact d’un accident.

Basé sur des recherches et des consultations approfondies, le programme global a été adapté aux besoins des États membres de l’UE. Les mécanismes de certification à l’échelle de l’Union permettent donc aux entreprises européennes d’être compétitives au niveau national, européen et mondial.

En d’autres termes, les systèmes de certification de l’UE tels que l’EUCC devraient également inciter les fournisseurs à adhérer aux exigences de certification en matière de cybersécurité. L’EUCC entre sur le marché dynamique des cybercertifications étudiées dans le nouveau rapport publié par l’ENISA qui poursuit l’évolution du nombre de méthodologies et d’organismes d’évaluation dédiés aux produits et services TIC.

Processus d’adoption et prochaines étapes
En collaboration avec le groupe de travail ad hoc, l’ENISA a élaboré le programme candidat avec les exigences de sécurité et les méthodes d’évaluation communément acceptées, définies et convenues.

L’ENISA a transmis le projet de projet à la Commission européenne après que le GCEC a rendu son avis. L’acte d’exécution publié par la Commission européenne a ensuite été adopté selon la procédure pertinente connue sous le nom de procédure de comitologie.

L’acte adopté prévoit une période de transition pendant laquelle les organisations pourront toujours bénéficier des certifications existantes dans le cadre des programmes nationaux dans certains États membres. Les organismes d’évaluation de la conformité (OEC) intéressés à effectuer une évaluation par rapport à l’EUCC peuvent être accrédités et notifiés. Les fournisseurs pourront convertir leurs certificats SOG-IS existants en certificats EUCC après avoir évalué leurs solutions par rapport aux exigences ajoutées ou mises à jour, comme spécifié dans l’EUCC.

Les certificats délivrés dans le cadre de l’EUCC seront publiés par l’ENISA. L’ENISA publie également l’acte d’exécution et les documents justificatifs tels que les annexes, les documents d’état de l’art et les lignes directrices sur le site Internet dédié à la certification. L’Agence de l’Union européenne pour la cybersécurité propose également du matériel de support, notamment une vidéo sur les derniers développements du programme et pour soutenir sa mise en œuvre.

Autres systèmes de certification de cybersécurité de l’UE

L’ENISA travaille actuellement sur deux autres programmes de certification en matière de cybersécurité, EUCS sur les services cloud et EU5G sur la sécurité 5G. L’Agence a également entrepris une étude de faisabilité sur les exigences de l’UE en matière de certification de cybersécurité pour l’IA. et aide la Commission européenne et les États membres à établir une stratégie de certification pour l’eIDAS/wallet. Plus récemment le La Commission européenne a proposé un amendement à la loi sur la cybersécurité qui prévoit un système de services de sécurité gérés (MSSP).

Informations complémentaires

Acte d’exécution de l’UE

Sujet ENISA : Attestation

Site Web de certification ENISA

Rapport sur les évaluations du marché de la cybersécurité

Consultation publique sur le système européen de certification de cybersécurité basé sur des critères communs (EUCC)

Loi sur la cybersécurité et cadre de certification en cybersécurité

Contact

Pour les questions de presse et les interviews, veuillez contacter presse (at) enisa.europa.eu

Restez informé – abonnez-vous aux flux RSS des actualités et des communiqués de presse de l’ENISA !

Informations:

http://www.enisa.europa.eu/media/news-items/news-wires/RSS

PR :

http://www.enisa.europa.eu/media/press-releases/press-releases/RSS