(1)

In der Durchführungsverordnung (EU) 2024/482 der Kommission (2) werden die Rollen, Vorschriften und Verpflichtungen sowie die Struktur des auf den Gemeinsamen Kriterien beruhenden europäischen Systems für die Cybersicherheitszertifizierung (EUCC) im Einklang mit dem in der Verordnung (EU) 2019/881 genannten europäischen Rahmen für die Cybersicherheitszertifizierung festgelegt.

(2)

Die den Gemeinsamen Kriterien (CC) – einer internationalen Norm für die Evaluierung der Informationssicherheit – beigefügte gemeinsame Evaluierungsmethodik ermöglicht die Evaluierung der Sicherheit von IKT-Produkten für Zertifizierungszwecke. In diesem Zusammenhang können einige IKT-Produkte auf derselben funktionalen Basis beruhen, um ähnliche Sicherheitsfunktionen für verschiedene Plattformen oder Geräte zu bieten; dies wird auch als Produktreihe bezeichnet. Die Konzeption, Hardware, Firmware oder Software kann sich jedoch von einem IKT-Produkt zum anderen unterscheiden. Es ist Sache der Zertifizierungsstelle, im Einzelfall zu entscheiden, ob die Zertifizierung einer Produktreihe durchgeführt werden kann. Die Bedingungen für die Produktreihenzertifizierung könnten in den unterstützenden EUCC-Leitlinien näher erläutert werden.

(3)

Um die Zuverlässigkeit zertifizierter Produkte aufrechtzuerhalten, muss festgelegt werden, was eine erhebliche und was eine geringfügige Änderung des Evaluierungsgegenstands oder seiner Umgebung, einschließlich seiner Betriebs- oder Entwicklungsumgebung, darstellt. Daher müssen diese Begriffe unter Berücksichtigung bestehender und weit verbreiteter technischer Spezifikationen der Gruppe hoher Beamter für Informationssicherheit (SOG-IS) und der Beteiligten der Anerkennungsvereinbarung für die nach den Gemeinsamen Kriterien ausgestellten Zertifikate auf dem Gebiet der IT-Sicherheit (CCRA) präzisiert werden.

(4)

Geringfügige Änderungen sind häufig dadurch gekennzeichnet, dass sie nur begrenzte Auswirkungen auf die Produktvertrauenswürdigkeitserklärung des ausgestellten EUCC-Zertifikats haben. Geringfügige Änderungen sollten daher im Rahmen von Aufrechterhaltungsverfahren verwaltet werden und erfordern keine erneute Evaluierung der Sicherheitsfunktionen des Produkts. Zu geringfügigen Änderungen, die durch Aufrechterhaltung erfolgen sollten, zählen unter anderem redaktionelle Änderungen, Änderungen an der Umgebung des Evaluierungsgegenstands, die den zertifizierten Evaluierungsgegenstand nicht verändern, sowie Änderungen des zertifizierten Evaluierungsgegenstands, die sich nicht auf die Vertrauenswürdigkeitsnachweise auswirken. Änderungen in der Entwicklungsumgebung können ebenfalls als geringfügig angesehen werden, sofern sie keine Folgewirkungen auf bestehende Vertrauenswürdigkeitsmaßnahmen haben. In einigen Fällen können sie jedoch eine Teilevaluierung der einschlägigen Maßnahmen erfordern.

(5)

Eine erhebliche Änderung ist jede Änderung des zertifizierten Evaluierungsgegenstands oder seiner Umgebung, die die im EUCC-Zertifikat ausgedrückte Vertrauenswürdigkeit beeinträchtigen kann und daher eine erneute Evaluierung nach sich ziehen sollte. Beispiele für wesentliche Änderungen sind unter anderem Änderungen der beanspruchten Anforderungen an die Vertrauenswürdigkeit, mit Ausnahme der Anforderungen an die Vertrauenswürdigkeit der CC ALC_FLR-Familie (Mängelbeseitigung), sowie Änderungen der Vertraulichkeits- oder Integritätskontrollen der Entwicklungsumgebung, wenn solche Änderungen die sichere Entwicklung oder Herstellung des Evaluierungsgegenstands beeinträchtigen könnten oder Änderungen des Evaluierungsgegenstands eine ausnutzbare Schwachstelle beseitigen. Darüber hinaus kann auch eine Reihe geringfügiger Änderungen, die zusammen erhebliche Auswirkungen auf die Sicherheit haben, als erhebliche Änderung eingestuft werden. Es ist auch wichtig anzuerkennen, dass sich eine Fehlerbehebung zwar möglicherweise nur auf einen bestimmten Aspekt des Evaluierungsgegenstands auswirkt, ihre Unvorhersehbarkeit und mögliche Auswirkungen auf die Vertrauenswürdigkeit sie jedoch zu einer erheblichen Änderung machen kann, wenn sie die mit der Zertifizierung gebotene sicherheitsbezogene Vertrauenswürdigkeit beeinträchtigt.

(6)

Änderungen im Bedrohungsumfeld eines unveränderten zertifizierten IKT-Produkts könnten eine Neubewertung erforderlich machen. Die möglichen Ergebnisse eines solchen Neubewertungsverfahrens sollten eindeutig festgelegt werden, insbesondere seine Auswirkungen auf das EUCC-Zertifikat. Bei erfolgreichem Abschluss einer Neubewertung sollte die Zertifizierungsstelle das Zertifikat bestätigen oder ein neues Zertifikat mit verlängerter Geltungsdauer ausstellen. Ist das Neubewertungsverfahren nicht erfolgreich, sollte die Zertifizierungsstelle das Zertifikat widerrufen oder ein neues Zertifikat mit verändertem Anwendungsbereich ausstellen. Diese Bestimmungen sollten für die Neubewertung von Schutzprofilen entsprechend gelten.

(7)

In Anhang I der Durchführungsverordnung (EU) 2024/482 sind die für die Evaluierung von IKT-Produkten und Schutzprofilen geltenden Sachstandsdokumente aufgeführt. Diese Sachstandsdokumente sollten aktualisiert werden, um den jüngsten Entwicklungen Rechnung zu tragen, z. B. im Zusammenhang mit technologischen Entwicklungen, der Cyberbedrohungslandschaft, Branchenpraktiken oder internationalen Normen. Eine solche Aktualisierung ist angebracht bei den Sachstandsdokumenten in Bezug auf Mindestsicherheitsanforderungen an den Standort, die Anwendung des Angriffspotenzials auf Chipkarten, die Anwendung des Angriffspotenzials auf Hardware-Geräte mit Sicherheitsboxen, die Anwendung der Gemeinsamen Kriterien auf integrierte Schaltungen und die Evaluierung von Chipkarten und ähnlichen Geräten als zusammengesetzte Produkte. Sachstandsdokumente in Bezug auf die Evaluierung und Zertifizierung zusammengesetzter Produkte unter Verwendung der neuesten Version der Gemeinsamen Kriterien, die Weiterverwendung der Evaluierungsergebnisse von Standortprüfungen und Klarstellungen zur Auslegung von Schutzprofilen in Bezug auf qualifizierte elektronische Signaturerstellungseinheiten, Fahrtenschreiber und Hardware-Sicherheitsmodule sind nicht eingeschlossen. Zur Gewährleistung einer einheitlichen Evaluierung von IKT-Produkten im Rahmen des EUCC sollte Anhang I geändert werden, um diese aktualisierten und neuen Sachstandsdokumente nach ihrer Billigung durch die Europäische Gruppe für die Cybersicherheitszertifizierung (ECCG) aufzunehmen.

(8)

Darüber hinaus sollte das Sachstandsdokument „ADV_SPM.1 Interpretation for CC:2022 transition“ (ADV__SPM.1 Auslegung für den CC:2022-Übergang) in das System aufgenommen werden, damit für Zertifizierungsverfahren, die auf spezifischen Schutzprofilen beruhen, weiterhin die formale Modellierung (ADV_SPM.1) eingesetzt werden kann, bis die entsprechenden Schutzprofile aktualisiert werden, z. B. durch Hinzufügung einer CC:2022-konformen Schutzprofilkonfiguration für mehrfache Vertrauenswürdigkeit, die ADV_SPM.1 unterstützt. Um dem Markt ausreichend Zeit für den Übergang zu den aktualisierten Gemeinsamen Kriterien zu geben, müssen besondere Übergangsvorschriften für die Schutzprofile „Security IC Platform PP with Augmentation Packages“ (Schutzprofil für Sicherheitsplattform mit Erweiterungspaketen) (v1.0), BSI-CC-PP-0084-2014, „Java Card System – Closed Configuration“ (Java-Kartensystem – geschlossene Konfiguration) (v3.1), BSI-CC-PP-0101-V2-2020, oder „Java Card System – Open Configuration“ (Java-Kartensystem – offene Konfiguration) (v3.1), BSI-CC-0099-V2-2020, vorgesehen werden. Zur Vermeidung von Marktstörungen sollte festgelegt werden, dass das Sachstandsdokument „ADV_SPM.1 interpretation for CC:2022 transition“ (ADV__SPM.1 Auslegung für den CC:2022-Übergang) für Zertifizierungsverfahren gilt, die vor der Annahme dieser Verordnung eingeleitet wurden. Die Anwendung dieses Dokuments sollte jedoch angesichts der Zeit, die für die endgültige Aktualisierung der entsprechenden Schutzprofile erforderlich ist, strikt auf das notwendige Maß beschränkt werden. Genauer gesagt sollte bei Zertifizierungsverfahren unter Verwendung der Schutzprofile „Security IC Platform PP with Augmentation Packages“ (Schutzprofil für Sicherheitsplattform mit Erweiterungspaketen) (v1.0), BSI-CC-PP-0084-2014, oder „Java Card System – Closed Configuration“ (Java-Kartensystem – geschlossene Konfiguration) (v3.1), BSI-CC-PP-0101-V2-2020, das Sachstandsdokument für diejenigen Verfahren, die vor dem 1. Oktober 2026 eingeleitet wurden, gelten. Bei Zertifizierungsverfahren unter Verwendung des Schutzprofils „Java Card System – Open Configuration“ (Java-Kartensystem – offene Konfiguration) (v3.1), BSI-CC-PP-0099-V2-2020, sollte das Sachstandsdokument nur für die Verfahren gelten, die vor dem Inkrafttreten dieser Verordnung eingeleitet wurden, da bereits eine neue Version des Schutzprofils „Java Card System – Open Configuration“ (Java-Kartensystem – offene Konfiguration) verfügbar ist.

(9)

Eine Änderung der Sachstandsdokumente während eines Zertifizierungsverfahrens könnte die Evaluierung des Produkts stören und die Ausstellung des Zertifikats verzögern. Daher müssen für neue oder aktualisierte Sachstandsdokumente geeignete Übergangsbestimmungen festgelegt werden, damit Anbieter, ITSEFs, Zertifizierungsstellen und andere Beteiligte die erforderlichen Anpassungen vornehmen können. Die geltenden aktualisierten und neuen Sachstandsdokumente sollten bei neuen Zertifizierungsanträgen zugrunde gelegt werden, auch bei Anträgen auf Neubewertung und erneute Evaluierung, wogegen es bei laufenden Zertifizierungsverfahren möglich sein sollte, weiterhin frühere Versionen der Sachstandsdokumente zu verwenden.

(10)

In Anhang II bzw. Anhang III der Durchführungsverordnung (EU) 2024/482 sind die auf AVA_VAN-Stufe 4 oder 5 zertifizierten Schutzprofile bzw. die empfohlenen Schutzprofile aufgeführt. Infolge einer Aktualisierung der Schutzprofile sind mehrere Verweise unvollständig oder überholt. Diese Verweise sollten ergänzt werden und außerdem sollten neue Verweise aufgenommen werden, um eine umfassendere Abdeckung sicherer integrierter Schaltungen, Chipkarten und zugehöriger Geräte sowie von Trusted Computing zu gewährleisten.

(11)

Artikel 19 der Durchführungsverordnung (EU) 2024/482 muss geändert werden, um klarzustellen, dass Anhang IV – mit den erforderlichen Änderungen – für die Überprüfung von EUCC-Zertifikaten für Schutzprofile gilt.

(12)

Da das Sicherheitsziel ein Schlüsselelement für das Verständnis des Anwendungsbereichs eines Zertifizierungsverfahrens ist, muss die ENISA ferner das Sicherheitsziel für jedes EUCC-Zertifikat auf ihrer Website veröffentlichen.

(13)

Darüber hinaus sollten die Zertifizierungsstellen der ENISA gemäß Artikel 42 Absatz 2 der Durchführungsverordnung (EU) 2024/482 eine Fassung des Sicherheitsziels und des Zertifizierungsberichts in englischer Sprache bereitstellen, damit die Agentur diese Informationen in englischer Sprache auf der entsprechenden Website zur Verfügung stellen kann. Aus diesem Grund sollten die Zertifizierungsantragsteller den Zertifizierungsstellen auf Anfrage eine Fassung des Sicherheitsziels in englischer Sprache übermitteln.

(14)

Es ist nicht erforderlich, dass der Name der Zertifizierungsstelle in der eindeutigen Kennung des Zertifikats erscheint, da die Kennnummer der Zertifizierungsstelle ausreicht, um diese Stelle eindeutig zu identifizieren. Auch der Monat der Ausstellung muss nicht erscheinen, da die Zertifikate jährlich gezählt werden. Daher sollte diese Anforderung zur Vereinfachung gestrichen werden. Da das Jahr der Ausstellung des Zertifikats der Ausstellung des ersten Zertifikats entspricht, sollte dieses Datum in der eindeutigen Kennung der nach einer Überprüfung ausgestellten Zertifikate angegeben werden, um die Rückverfolgbarkeit zu gewährleisten.

(15)

Die Durchführungsverordnung (EU) 2024/482 sollte daher entsprechend geändert werden.

(16)

Die in dieser Verordnung vorgesehenen Maßnahmen entsprechen der Stellungnahme des nach Artikel 66 der Verordnung (EU) 2019/881 eingesetzten Ausschusses —

1.

In Artikel 2 werden die folgenden Nummern 16, 17 und 18 angefügt:

2.

In Artikel 5 wird folgender Absatz 3 angefügt:

3.

Artikel 9 Absatz 2 Buchstabe a erhält folgende Fassung:

4.

Artikel 11 Absatz 3 Buchstabe b erhält folgende Fassung:

5.

Artikel 19 Absatz 1 erhält folgende Fassung:

6.

Artikel 42 wird wie folgt geändert:

7.

Artikel 48 Absatz 4 erhält folgende Fassung:

8.

Anhang I erhält die Fassung des Anhangs I der vorliegenden Verordnung.

9.

Anhang II erhält die Fassung des Anhangs II der vorliegenden Verordnung.

10.

Anhang III erhält die Fassung des Anhangs III der vorliegenden Verordnung.

11.

Anhang IV wird gemäß Anhang IV der vorliegenden Verordnung geändert.

12.

Anhang V wird gemäß Anhang V der vorliegenden Verordnung geändert.

13.

Anhang IX erhält die Fassung des Anhangs VI der vorliegenden Verordnung.