52. pants Eiropas kiberdrošības sertifikācijas shēmu apliecinājuma līmeņi

Eiropas kiberdrošības sertifikācijas shēmā var norādīt vienu vai vairākus šādus IKT produktu, IKT pakalpojumu, IKT procesu un pārvaldītu drošības pakalpojumu apliecinājuma līmeņus: “pamata”, “būtisks” vai “augsts”. Apliecinājuma līmenis incidenta varbūtības un ietekmes ziņā atbilst riska līmenim, kas saistīts ar IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma paredzamo lietojumu.

Eiropas kiberdrošības sertifikātos un ES atbilstības apliecinājumos jāatsaucas uz jebkuru apliecinājuma līmeni, kas norādīts Eiropas kiberdrošības sertifikācijas shēmā, saskaņā ar kuru izdots Eiropas kiberdrošības sertifikāts vai ES atbilstības apliecinājums.

Attiecīgajā Eiropas kiberdrošības sertifikācijas shēmā jānorāda katram apliecinājuma līmenim atbilstošās drošības prasības, tostarp atbilstošās drošības funkcijas un IKT produktam, IKT pakalpojumam, IKT procesam vai pārvaldītam drošības pakalpojumam veicamā izvērtējuma atbilstošā stingrības un detalizācijas pakāpe.

Sertifikātam vai ES atbilstības apliecinājumam ir norāde uz tehniskajām specifikācijām, standartiem un saistītajām procedūrām, tostarp uz tehniskajām kontrolēm, kuru nolūks ir samazināt vai novērst kiberdrošības incidentu risku.

Ar Eiropas kiberdrošības sertifikātu vai ES atbilstības apliecinājumu, kam ir norāde uz apliecinājuma līmeni “pamata”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts vai minētais ES atbilstības apliecinājums, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu zināmos incidentu un kiberuzbrukumu pamata riskus. Veicamās izvērtēšanas darbības ietver vismaz tehniskās dokumentācijas pārskatīšanu. Ja šāda pārskatīšana nav pienācīga, ir jāveic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.

Ar Eiropas kiberdrošības sertifikātu, kam ir norāde uz apliecinājuma līmeni “būtisks”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvaldīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu zināmos kiberdrošības riskus un tādu incidentu un kiberuzbrukumu risku, ko rada aktori ar ierobežotām prasmēm un resursiem. Veicamās izvērtēšanas darbības ietver vismaz: pārskatīšanu nolūkā apliecināt publiski zināmu ievainojamību neesamību un testēšanu nolūkā apliecināt to, ka ar IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem ir pareizi īstenotas vajadzīgās drošības funkcijas. Ja neviena šāda izvērtēšanas darbība nav pienācīga, veic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.

Ar Eiropas kiberdrošības sertifikātu, kam ir norāde uz apliecinājuma līmeni “augsts”, sniedz apliecinājumu, ka IKT produkti, IKT pakalpojumi, IKT procesi vai pārvadīti drošības pakalpojumi, par kuriem izdots minētais sertifikāts, atbilst attiecīgajām drošības prasībām, tostarp drošības funkciju ziņā, un ka tie ir izvērtēti tādā līmenī, lai līdz minimumam ierobežotu sarežģītu kiberuzbrukumu risku, ko rada aktori ar attīstītām prasmēm un nozīmīgiem resursiem. Veicamās izvērtēšanas darbības ietver vismaz: pārskatīšanu nolūkā apliecināt publiski zināmu ievainojamību neesamību; testēšanu nolūkā apliecināt to, ka ar IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem ir augstākajā līmenī pareizi īstenotas vajadzīgās drošības funkcijas; un ar ielaušanās testēšanu veiktu izvērtējumu par to, ka tie ir noturīgi prasmīgi veiktu uzbrukumu gadījumā. Ja neviena šāda izvērtēšanas darbība nav pienācīga, veic alternatīvas izvērtēšanas darbības ar līdzvērtīgu ietekmi.

Eiropas kiberdrošības sertifikācijas shēmā var noteikt vairākus izvērtējuma līmeņus atkarībā no tā, cik stingra un dziļa ir izmantotā izvērtēšanas metodika. Katrs no izvērtējuma līmeņiem atbilst vienam no apliecinājuma līmeņiem un tiek definēts ar uzticamības komponentu atbilstošu kombināciju.