52 artikla Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien varmuustasot

Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voidaan määritellä tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille sekä tietoturvapalveluille yksi tai useampi seuraavista varmuustasoista: ”perustaso”, ”korotettu” tai ”korkea”. Varmuustason on vastattava tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin taikka tietoturvapalvelun käyttötarkoitukseen liittyvän riskin tasoa, joka perustuu mahdollisen poikkeaman todennäköisyyteen ja vaikutuksiin.

Eurooppalaisissa kyberturvallisuussertifikaateissa ja EU-vaatimustenmukaisuusilmoituksissa on viitattava varmuustasoon, joka määritetään siinä eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä, jonka nojalla kyseinen eurooppalainen kyberturvallisuussertifikaatti tai EU-vaatimustenmukaisuusilmoitus on annettu.

Asiaankuuluvassa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä on täsmennettävä kutakin varmuustasoa vastaavat turvallisuusvaatimukset, mukaan lukien vastaavat turvallisuustoiminnot ja niitä vastaava suoritettavan tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin taikka tietoturvapalvelun arvioinnin tiukkuuden ja kattavuuden taso.

Sertifikaatissa tai EU-vaatimustenmukaisuusilmoituksessa viitataan siihen liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin sekä teknisiin tarkastuksiin, joiden tarkoituksena on vähentää kyberturvallisuuspoikkeamien riskiä tai ehkäistä niitä.

Varmuustasoon ”perustaso” viittaavan eurooppalaisen kyberturvallisuussertifikaatin tai EU-vaatimustenmukaisuusilmoituksen on annettava varmuus siitä, että tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit taikka tietoturvapalvelut, joille kyseinen sertifikaatti on annettu tai joista EU-vaatimustenmukaisuusilmoitus on tehty, täyttävät vastaavat turvallisuusvaatimukset, myös turvallisuustoimintojen osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan poikkeamien ja kyberhyökkäysten tunnetut perustason riskit. Toteutettavissa arviointitoimissa on vähintään arvioitava tekniset asiakirjat. Jos tällainen arviointi ei ole asianmukainen, on käytettävä vaikutukseltaan vastaavia korvaavia arviointitoimia.

Varmuustasoon ”korotettu” viittaava eurooppalainen kyberturvallisuussertifikaatti antaa varmuuden siitä, että tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit taikka tietoturvapalvelut, joille kyseinen sertifikaatti on annettu, täyttävät vastaavat turvallisuusvaatimukset, myös turvallisuustoimintojen osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan tunnetut kyberturvallisuusriskit ja sellaisten poikkeamien ja kyberhyökkäysten riski, joiden tekijöillä on rajalliset kyvyt ja resurssit. Toteutettaviin arviointitoimiin on sisällyttävä vähintään seuraavat toimet: tarkastelu, jolla osoitetaan, että julkisesti tiedossa olevia haavoittuvuuksia ei ole, ja testaus, jolla osoitetaan, että kyseiset tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit taikka tietoturvapalvelut toteuttavat välttämättömät turvallisuustoiminnot oikein. Jos tällaiset arviointitoimet eivät ole asianmukaisia, on toteutettava vaikutukseltaan vastaavia korvaavia arviointitoimia.

Varmuustasoon ”korkea” viittaava eurooppalainen kyberturvallisuussertifikaatti antaa varmuuden siitä, että tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit taikka tietoturvapalvelut, joille kyseinen sertifikaatti on annettu, täyttävät vastaavat turvallisuusvaatimukset, myös turvallisuustoimintojen osalta, ja että ne on arvioitu tasolla, joka on tarkoitettu minimoimaan sellaisten uusinta tekniikkaa hyödyntävien kyberhyökkäysten riski, joiden tekijöillä on merkittävät kyvyt ja resurssit. Toteutettaviin arviointitoimiin on sisällyttävä vähintään seuraavat toimet: tarkastelu, jolla osoitetaan, että julkisesti tiedossa olevia haavoittuvuuksia ei ole; testaus, jolla osoitetaan, että kyseiset tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit taikka tietoturvapalvelut toteuttavat uusimman tekniikan mukaiset välttämättömät turvallisuustoiminnot oikein; ja arviointi tunkeutumistestauksen avulla kyseisten prosessien, tuotteiden tai palvelujen taikka tietoturvapalvelujen kyvystä vastustaa kyvykkäitä hyökkääjiä. Jos tällaiset arviointitoimet eivät ole asianmukaisia, on toteutettava vaikutukseltaan vastaavia korvaavia toimia.

Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voidaan määritellä useita arviointitasoja käytettävien arviointimenetelmien tiukkuuden ja kattavuuden mukaan. Kunkin arviointitason on vastattava yhtä varmuustasoa, ja arviointitasot on määriteltävä varmuuden osatekijöiden asianmukaisen yhdistelmän perusteella.