Članak 52. Jamstvene razine europskih programa kibersigurnosne certifikacije

Europskim programom kibersigurnosne certifikacije može se za IKT proizvode, IKT usluge, IKT procese i upravljane sigurnosne usluge utvrditi jedna od sljedećih jamstvenih razina ili više njih: „osnovna”, „znatna” ili „visoka”. Jamstvena razina razmjerna je razini rizika povezanog s predviđenom uporabom IKT proizvoda, IKT usluge, IKT procesa ili upravljane sigurnosne usluge, u smislu vjerojatnosti i učinka incidenta.

U europskim kibersigurnosnim certifikatima i EU izjavama o sukladnosti navodi se jamstvena razina određena u europskom programu kibersigurnosne certifikacije u okviru kojeg je izdan Europski kibersigurnosni certifikat lii EU izjava o sukladnosti.

Sigurnosni zahtjevi koji odgovaraju svakoj jamstvenoj razini moraju biti predviđeni u relevantnom europskom programu kibersigurnosne certifikacije uključujući odgovarajuće sigurnosne funkcionalnosti i odgovarajuću razinu strogoće i opsežnosti evaluacije kojoj IKT proizvod, IKT usluga, IKT proces ili upravljana sigurnosna usluga moraju biti podvrgnuti.

Certifikat ili EU izjava o sukladnosti mora upućivati na odgovarajuće, s njime povezane, tehničke specifikacije, norme i procedure, uključujući tehničke kontrole, čija je svrha smanjiti rizik od kibersigurnosnih incidenata ili ih spriječiti.

Europskim kibersigurnosnim certifikatom ili EU izjavom o sukladnosti koji se odnose na „osnovnu” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge za koje su taj certifikat ili ta EU izjava o sukladnosti izdani ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih osnovnih rizika za incidente i kibernapade. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem preispitivanje tehničke dokumentacije. Ako takvo preispitivanje nije odgovarajuće, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

Europskim kibersigurnosnim certifikatom koji se odnosi na „znatnu” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru poznatih kibersigurnosnih rizika te rizika od incidenata i kibernapada koje provode subjekti ograničenih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti i testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge na ispravan način primjenjuju potrebne sigurnosne funkcionalnosti. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti evaluacije s istovjetnim učinkom.

Europskim kibersigurnosnim certifikatom koji se odnosi na „visoku” jamstvenu razinu pruža se jamstvo da IKT proizvodi, IKT usluge, IKT procesi i upravljane sigurnosne usluge za koje je taj certifikat izdan ispunjavaju odgovarajuće sigurnosne zahtjeve, uključujući sigurnosne funkcionalnosti, te da su bili podvrgnuti evaluaciji na razini čija je svrha svođenje na najmanju moguću mjeru rizika od najsuvremenijih kibernapada koje provode subjekti znatnih vještina i resursa. Aktivnosti evaluacije koje treba poduzeti obuhvaćaju barem sljedeće: preispitivanje radi dokazivanja nepostojanja javno poznatih ranjivosti; testiranje radi dokazivanja da IKT proizvodi, IKT usluge, IKT procesi ili upravljane sigurnosne usluge na ispravan način i na najsuvremenijoj razini primjenjuju potrebne sigurnosne funkcionalnosti; procjenu njihove otpornosti na napad vještih napadača, za koju se koristi penetracijsko testiranje. Ako bilo koja od tih aktivnosti evaluacije nije odgovarajuća, poduzimaju se zamjenske aktivnosti s istovjetnim učinkom.

U okviru europskog programa kibersigurnosne certifikacije može se utvrditi nekoliko razina evaluacije ovisno o strogoći i opsežnosti upotrijebljene metodologije evaluacije. Svaka od razina evaluacije odgovara jednoj od jamstvenih razina i definira se odgovarajućom kombinacijom sastavnica jamstva.