Член 52 Нива на увереност на европейските схеми за сертифициране на киберсигурността

Европейските схеми за сертифициране на киберсигурността могат да предвиждат едно или повече от следните нива на увереност за ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност: „базово“, „съществено“ или „високо“. Нивото на увереност следва да е съизмеримо със степента на риска, свързан с предвидената употреба на ИКТ продукта, ИКТ услугата, ИКТ процеса или управляваната услуга за сигурност, с оглед на вероятността от инцидент и неговото въздействие.

Европейските сертификати за киберсигурност и ЕС декларациите за съответствие посочват всяко ниво на увереност, предвидено в европейска схема за сертифициране на киберсигурността, в рамките на която е издаден европейският сертификат за киберсигурност или ЕС декларацията за съответствие.

Изискванията за сигурност, които отговарят на всяко ниво на увереност се посочват в съответната европейска схема за сертифициране на киберсигурността включително съответните функционалности за сигурност и съответното ниво на стриктност и задълбоченост на оценката, през която трябва да премине даден ИКТ продукт, ИКТ услуга или ИКТ процес и управлявана услуга за сигурност.

Сертификатът или ЕС декларацията за съответствие се характеризират с препратка към съответните технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се намали рискът от киберинциденти или те да бъдат предотвратени.

Европейският сертификат за киберсигурност или ЕС декларацията за съответствие, посочващи ниво на увереност „базово“, дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които този сертификат или тази ЕС декларация за съответствие са издадени, отговарят на съответните изисквания за сигурност, включително функционалности за сигурност, и че са били оценени на ниво, което има за цел да се сведат до минимум известните основни рискове от инциденти и кибератаки. Дейностите по оценка, които трябва да се предприемат, включват най-малко преглед на техническата документация. Когато такъв преглед не е подходящ, се предприемат заместващи дейности с равностоен ефект.

Европейският сертификат за киберсигурност, посочващ ниво на увереност „съществено“, дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които този сертификат е издаден, отговарят на съответните изисквания за сигурност, включително функционалности за сигурността, и че са били оценени на ниво, което има за цел да се сведат до минимум известните киберрискове, рискове от инциденти и кибератаки, извършвани от субекти с ограничени умения и ресурси. Дейностите по оценка, които трябва да се предприемат, включват най-малко следното: преглед за доказване отсъствие на общоизвестни уязвимости, и изпитване за доказване, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност правилно внедряват необходимите функции за сигурност. Когато такива дейности по оценка не са подходящи, се предприемат заместващи дейности с равностоен ефект.

Европейският сертификат за киберсигурност, посочващ ниво на увереност „високо“ дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които сертификатът е издаден, отговарят на съответните изисквания за сигурност, включително функционалности за сигурност, и че са били оценени на ниво, което има за цел да се сведе до минимум рискът от най-висш тип кибератаки, извършвани от субекти със значителни умения и ресурси. Дейностите по оценка, които трябва да се предприемат, включват най-малко следното: преглед за доказване отсъствие на общоизвестни уязвимости; изпитване за доказване, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност правилно внедряват необходимите най-съвременни функции за сигурност; и оценяване на устойчивостта им на атаки на умели извършители посредством тестване за проникване. Когато такива дейности по оценка не са подходящи, се предприемат заместващи дейности с равностоен ефект.

В дадена европейска схема за сертифициране на киберсигурността може да бъдат посочени няколко нива на оценка в зависимост от взискателността и задълбочеността на използваната методика за оценка. Всяко от нивата на оценка съответства на едно от нивата на увереност на сигурността и се определя от подходяща комбинация компоненти на увереността.