EUCC-Zertifizierung

Was ist die EUCC-Zertifizierung?

EUCCist das neue Common Criteria-basierte Schema, das unter der Durchführungsverordnung der Europäischen Kommission (EU) 2024/482 eingerichtet wurde. Alle IKT-Produkte können gemäß den Regeln des neuen Zertifizierungsschemas zertifiziert werden.

Applus+ Laboratories haben mehr als 20 Jahre Erfahrung in der Bewertung von Common Criteria und Cybersicherheit, können als Evaluierungslabor (ITSEF)* für Anbieter und Hersteller von IKT-Produkten fungieren, die die Konformität ihrer Produkte mit den von dem EUCC-Schema betriebenen 'substanziellen' oder 'hohen' Sicherheitsniveaus nachweisen. Dies erleichtert nicht nur den Zugang zum Binnenmarkt der EU, sondern stärkt auch das Vertrauen der Verbraucher in die Sicherheit von IKT-Produkten.

Vorteile der EUCC-Zertifizierung

Hier sind einige der Vorteile der EUCC-Zertifizierung:

• Vertrauen: Die EUCC-Zertifizierung fungiert als Qualitäts- und Sicherheitszertifikat, das das Vertrauen der Nutzer und Kunden in IKT-Produkte stärkt.
• Regulatorische Konformität: Sie erleichtert die Konformität von IKT-Produkten mit den EU-Cybersicherheitsvorschriften und -standards, die für den Betrieb im europäischen Markt unerlässlich sind.
• Marktwettbewerbsfähigkeit: Zertifizierte Produkte unter dem EUCC-Schema heben sich auf dem Markt hervor und bieten einen erheblichen Wettbewerbsvorteil.
• Risikoreduzierung: Bewertung und Zertifizierung helfen, Sicherheitsrisiken zu identifizieren und zu mindern, wodurch sowohl Anbieter als auch Endnutzer vor potenziellen Cyberbedrohungen geschützt werden.

EUCC Bewertungsumfang: Produkte und Sicherheitsniveaus

Das EUCC-Schema ist auf ein breites Spektrum von IKT-Produkten oder Schutzprofilen anwendbar, die für den Binnenmarkt der Europäischen Union bestimmt sind. Diese IKT-Produkte müssen im Wesentlichen die unter dem EUCC-Schema durch das Cybersicherheitsgesetz (CSA) festgelegten 'substanziellen' oder 'hohen' Sicherheitsniveaus erfüllen, indem sie Sicherheitsanforderungen aus Teil 2 der Common Criteria integrieren.

Einige Beispiele für IKT-Produkte:

• Netzwerkgeräte wie Zugangspunkte, Firewalls, Lastenausgleicher usw.,
• Betriebssysteme und Anwendungen wie Linux, mobile Anwendungen usw.,
• Hardware-Sicherheitsboxen wie Punkte der (Zahlungs-)Interaktion und Zahlungsterminals, digitale Tachographen usw.,
• Smartcards und ähnliche Geräte, wie maschinenlesbare Reisedokumente, Identifikationen, sichere Elemente, Javacard/Multos-Plattformen usw.

Wie erhält man die EUCC-Zertifizierung?

Wenn Sie einen Bewertungsprozess starten möchten, beachten Sie die folgenden Punkte:

1. Wählen Sie das Sicherheits niveau für Ihr Produkt entsprechend Ihren Produktsicherheitsanforderungen.
2. Erstellen Sie Ihr Sicherheitsziel basierend auf einem Schutzprofil (Anhang II), falls vorhanden.
3. Bei hohem Sicherheitsniveau berücksichtigen Sie die neuesten Stand der Technik-Dokumente zu den Technischen Bereichen.
4. Bereiten Sie die technische Dokumentation vor, die bewertet werden soll (Artikel 7).
5. Bereiten Sie die Informationen zu Schwachstellenüberwachung und dem Umgangsprozess sowie Patch-Management vor. (Artikel 27 und Anhang IV.3).
6. Setzen Sie Ihre Verfahren für Abhilfemaßnahmen bei Nichtkonformitäten fest (Artikel 29).
7. Engagieren Sie Ihr ITSEF und CB und starten Sie den Zertifizierungsprozess. Applus+ Laboratories kann Ihnen helfen, kontaktieren Sie uns!

Hier finden Sie den Bewertungsprozess:

Ist Applus+ Laboratories akkreditiert und autorisiert, EUCC-Bewertungen durchzuführen?

Applus+ Laboratories ist ein akkreditiertes EUCC ITSEF für die CSA-Stufen Substantial (AVA_VAN.1 und AVA_VAN.2) und High (ab AVA_VAN.3). Applus+ Laboratories befindet sich im Prozess der Autorisierung. 

Applus+ Laboratories führt erfolgreich Bewertungen nach Common Criteria unter den aktuellen nationalen Common Criteria-Schemata und SOGI-S durch und kann Ihnen dank seiner breiten und anerkannten Erfahrung im Bereich Common Criteria die besten Bewertungsdienste anbieten, darunter:

• Bewertungen basierend auf EAL.
• Bewertungen basierend auf PP.
• Technische Domänen (für hohe Sicherheitsanforderungen).

Wichtige Termine und Richtlinien für die EUCC-Implementierung

Das EUCC-Schema trat offiziell am 27. Februar 2024 in Kraft, mit einer Frist für die Fertigstellung von Projekten unter den nationalen Common Criteria-Schemata, die auf den 27. Februar 2026 festgelegt ist. Derzeit funktioniert das EUCC als freiwilliges Schema, sodass es den Herstellern überlassen bleibt—oder als Reaktion auf die Anforderungen des Endkunden—, eine Sicherheitsbewertung nach den Common Criteria (jetzt EUCC) durchzuführen.

Jedoch können Vorschriften wie der Cyber Resilience Act (CRA) eine obligatorische Einhaltung des EUCC für bestimmte Produkte vorschreiben. Obwohl Bewertungen unter den nationalen Schemata weiterhin möglich sind, müssen diese vor Februar 2026 abgeschlossen werden. Dieser Ansatz wird jedoch nicht empfohlen, da das Risiko besteht, die Frist nicht einzuhalten.