(1)

I Kommissionens gennemførelsesforordning (EU) 2024/482 (2) præciseres roller, regler og forpligtelser samt strukturen for den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) i overensstemmelse med den europæiske ramme for cybersikkerhedscertificering, der er fastsat i forordning (EU) 2019/881.

(2)

Den fælles evalueringsmetode, der ledsager de fælles kriterier (CC), som er en international standard for evaluering af informationssikkerhed, gør det muligt at evaluere sikkerheden af IKT-produkter med henblik på certificering. I denne sammenhæng kan nogle IKT-produkter være baseret på samme funktionsgrundlag for at tilbyde lignende sikkerhedsfunktioner på forskellige platforme eller apparater, hvilket også kaldes en produktserie. Dog kan design, hardware, firmware eller software variere fra det ene IKT-produkt til det andet. Det er certificeringsorganet, der fra sag til sag afgør, om certificering af en produktserie kan gennemføres. Betingelserne for certificering af produktserier kan yderligere illustreres i supplerende EUCC-retningslinjer.

(3)

For at opretholde pålideligheden af certificerede produkter er det afgørende at definere, hvad der udgør en væsentlig henholdsvis mindre ændring af evalueringsmålet eller dets miljø, herunder dets drifts- eller udviklingsmiljøer. Det er derfor nødvendigt at præcisere disse begreber under hensyntagen til eksisterende og udbredte tekniske specifikationer fra Gruppen af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerhed (SOG-IS) og deltagerne i ordningerne for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed (CCRA).

(4)

Mindre ændringer er ofte kendetegnet ved deres begrænsede indvirkning på den erklæring om produkttillid, som den udstedte EUCC-attest indeholder. Mindre ændringer bør derfor håndteres under vedligeholdelsesprocedurer og kræver ikke en fornyet evaluering af produktets sikkerhedsfunktioner. Eksempler på mindre ændringer, der bør håndteres gennem vedligeholdelse, omfatter, men er ikke begrænset til, redaktionelle ændringer, ændringer af evalueringsmiljøets mål, der ikke ændrer det certificerede evalueringsmål, og ændringer af det certificerede evalueringsmål, der ikke påvirker beviserne for opfyldelse af tillidssikkerheden. Ændringer i udviklingsmiljøet kan også betragtes som mindre, forudsat at de ikke har nogen indvirkning på eksisterende tillidsforanstaltninger. De kan dog i nogle tilfælde kræve en delvis evaluering af de relevante foranstaltninger.

(5)

En væsentlig ændring er enhver ændring af det certificerede evalueringsmål eller dets miljø, der kan have en negativ indvirkning på det tillidsniveau, der er anført i EUCC-attesten, og den bør derfor kræve en fornyet evaluering. Eksempler på væsentlige ændringer omfatter, men er ikke begrænset til, ændringer af det anmeldte sæt af tillidskrav, bortset fra tillidskravene i CC ALC_FLR-familien (afhjælpning af mangler), ændringer af fortroligheds- eller integritetskontrollerne i udviklingsmiljøet, hvis sådanne ændringer kan påvirke den sikre udvikling eller produktion af evalueringsmålet, eller ændringer af evalueringsmålet for at afhjælpe en sårbarhed, der kan udnyttes. Desuden kan en samling af mindre ændringer, der tilsammen har en betydelig indvirkning på sikkerheden, også kvalificeres som en væsentlig ændring. Det er også vigtigt at erkende, at selv om en fejlrettelse kun kan påvirke et specifikt aspekt af evalueringsmålet, kan dens uforudsigelighed og potentielle indvirkning på tillidsniveauet gøre den til en væsentlig ændring, hvis den bringer de sikkerhedsgarantier, som certificeringen giver, i fare.

(6)

Ændringer i trusselsmiljøet for et uændret certificeret IKT-produkt kan kræve en revurdering. De mulige resultater af en sådan revurderingsproces bør fastlægges klart, navnlig dens indvirkning på EUCC-attesten. Hvis en fornyet vurdering afsluttes med et positivt resultat, bør certificeringsorganet bekræfte attesten eller udstede en ny attest med en forlænget udløbsdato. I tilfælde, hvor en fornyet vurdering ikke medfører et positivt resultat, bør certificeringsorganet trække attesten tilbage og eventuelt udstede en ny attest med et andet anvendelsesområde. Sådanne bestemmelser bør med de fornødne ændringer finde anvendelse på fornyet vurdering af beskyttelsesprofiler.

(7)

Bilag I til gennemførelsesforordning (EU) 2024/482 indeholder en liste over de gældende statusdokumenter til evaluering af IKT-produkter og beskyttelsesprofiler. Disse statusdokumenter bør opdateres for at afspejle den seneste udvikling, såsom den teknologiske udvikling, cybertrusselsbilledet, branchepraksis eller internationale standarder. En sådan opdatering er hensigtsmæssig for statusdokumenterne vedrørende minimumssikkerhedskrav til sikkerhed på stedet, anvendelse af angrebspotentiale på smartcards, anvendelse af angrebspotentiale på hardwareenheder med sikkerhedsbokse, anvendelse af fælles kriterier på integrerede kredsløb samt evaluering af sammensatte produkter til smartcards og lignende enheder. Desuden er statusdokumenter vedrørende evaluering og certificering af sammensatte produkter ved brug af den seneste version af standarderne for fælles kriterier, genanvendelse af evalueringsresultater fra revisioner på stedet og præciseringer vedrørende fortolkningen af beskyttelsesprofiler for kvalificerede elektroniske signaturgenereringssystemer, takografer og hardwaresikkerhedsmoduler ikke medtaget. For at sikre en ensartet evaluering af IKT-produkter under EUCC bør bilag I ændres, så det omfatter disse opdaterede og nye statusdokumenter efter deres godkendelse af Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG).

(8)

Desuden bør det nyeste dokument »ADV_SPM.1 interpretation for CC:2022 transition« føjes til ordningen for at sikre, at certificeringsprocesser, der er afhængige af specifikke beskyttelsesprofiler, fortsat kan anvende formel modellering (ADV_SPM.1), indtil de tilsvarende beskyttelsesprofiler er opdateret, f.eks. med tilføjelsen af en CC:2022-konform multisikringsbeskyttelsesprofilkonfiguration, der understøtter ADV_SPM.1. For at give markedet tilstrækkelig tid til at overgå til de opdaterede standarder for fælles kriterier skal der fastsættes specifikke overgangsregler for beskyttelsesprofilerne Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020 eller Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020. For at undgå markedsforstyrrelser bør det fastsættes, at statusdokumentet om fortolkning af ADV_SPM.1 for CC:2022-overgangen finder anvendelse på certificeringsprocesser, der er indledt før vedtagelsen af denne forordning. Anvendelsen af dette dokument bør dog være strengt begrænset til, hvad der er nødvendigt, under hensyntagen til det tidsrum, der er påkrævet for at færdiggøre opdateringen af de tilsvarende beskyttelsesprofiler. Mere præcist bør statusdokumentet for så vidt angår certificeringsprocesser, der anvender beskyttelsesprofilerne Security IC Platform PP med Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 eller Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, finde anvendelse på de processer, der er indledt inden den 1. oktober 2026. For certificeringsprocesser, der anvender beskyttelsesprofilen Java Card System — Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, bør statusdokumentet kun finde anvendelse på de processer, der er indledt inden datoen for denne forordnings ikrafttræden, da en ny version af beskyttelsesprofilen Java Card System — Open Configuration allerede er tilgængelig.

(9)

En ændring i statusdokumenterne under en certificeringsproces kan forstyrre evalueringen af produktet og forsinke udstedelsen af attesten. Der er derfor behov for passende overgangsregler for nye eller ajourførte statusdokumenter for at gøre det muligt for leverandører, ITSEF'er, certificeringsorganer og andre interessenter at foretage de nødvendige tilpasninger. Gældende ajourførte og nye statusdokumenter bør vedrøre ansøgninger om certificering, herunder ansøgninger om fornyet vurdering og fornyet evaluering, mens det bør være muligt for igangværende certificeringsprocesser fortsat at anvende tidligere versioner af statusdokumenterne.

(10)

Bilag II og III til gennemførelsesforordning (EU) 2024/482 opregner henholdsvis de beskyttelsesprofiler, der er certificeret på AVA_VAN-niveau 4 eller 5, og de anbefalede beskyttelsesprofiler. Flere referencer er ufuldstændige eller forældede på grund af opdateringer af beskyttelsesprofilerne. Disse referencer bør suppleres, og der bør desuden tilføjes nye referencer for at sikre en mere omfattende dækning af sikre integrerede kredsløb, smartcards og relaterede enheder samt sikre computersystemer.

(11)

Det er nødvendigt at ændre artikel 19 i gennemførelsesforordning (EU) 2024/482 for at præcisere, at bilag IV med de nødvendige ændringer finder anvendelse på revisionen af EUCC-attester for beskyttelsesprofiler.

(12)

I betragtning af, at sikkerhedsmålet er et centralt element for at forstå omfanget af en certificeringsproces, er det også nødvendigt, at ENISA offentliggør det sikkerhedsmål, der svarer til hver enkelt EUCC-attest, på sit websted.

(13)

Certificeringsorganerne bør desuden give ENISA en engelsk udgave af sikkerhedsmålet og certificeringsrapporten, således at agenturet kan stille disse oplysninger til rådighed på engelsk på det relevante websted i henhold til artikel 42, stk. 2, i gennemførelsesforordning (EU) 2024/482. Derfor bør ansøgere om certificering på anmodning forsyne certificeringsorganerne med en engelsk udgave af sikkerhedsmålet.

(14)

Det er ikke nødvendigt, at certificeringsorganets navn fremgår af attestens entydige identifikation, da certificeringsorganets identifikationsnummer er tilstrækkeligt til entydigt at identificere dette organ. Udstedelsesmåneden behøver heller ikke at fremgå, da optællingen af attesterne sker på årsbasis. Af forenklingshensyn bør dette krav derfor udgå. Da udstedelsesåret for attesten svarer til udstedelsen af den første attest, bør samme dato fremgå af den entydige identifikation på attester, der udstedes efter en revision, således at sporbarheden kan sikres.

(15)

Gennemførelsesforordning (EU) 2024/482 bør derfor ændres.

(16)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 66 i forordning (EU) 2019/881 —

1)

I artikel 2 indsættes som nr. 16), 17) og 18):

2)

I artikel 5 tilføjes følgende som stk. 3:

3)

Artikel 9, stk. 2, litra a), affattes således:

4)

Artikel 11, stk. 3, litra b), affattes således:

5)

Artikel 19, stk. 1, affattes således:

6)

I artikel 42 foretages følgende ændringer:

7)

Artikel 48, stk. 4, affattes således:

8)

Bilag I erstattes af teksten i bilag I til nærværende forordning.

9)

Bilag II erstattes af teksten i bilag II til nærværende forordning.

10)

Bilag III erstattes af teksten i bilag III til nærværende forordning.

11)

Bilag IV ændres som angivet i bilag IV til nærværende forordning.

12)

Bilag V ændres som angivet i bilag V til nærværende forordning.

13)

Bilag IX erstattes af teksten i bilag VI til nærværende forordning.