Reglamento IA CRA
Reglamento de IA y CRA
Un sistema de IA que además es un producto con elementos digitales queda sujeto a ambos. El artículo 12 del CRA establece que los sistemas de IA de alto riesgo que cumplen los requisitos esenciales del CRA se consideran conformes con los requisitos de ciberseguridad del artículo 15 del Reglamento de IA, en la medida en que la declaración UE de conformidad los cubra. Para los requisitos de ciberseguridad, un mismo trabajo de ingeniería de seguridad sirve para los dos; la precisión y la solidez siguen siendo materia del Reglamento de IA, y la evaluación de la conformidad sigue, por regla general, su artículo 43 (artículo 12, apartado 2, del CRA), con excepciones para determinados productos importantes y críticos (apartado 3).
EUCC CRA
EUCC y CRA
Según el artículo 27 del CRA, un certificado o una declaración UE de conformidad expedidos en el marco de un esquema europeo de certificación de la ciberseguridad otorgan presunción de conformidad con los requisitos esenciales del CRA que cubran, y la Comisión puede especificar, mediante actos delegados, qué esquemas sirven para demostrar la conformidad. Cuando los alcances coinciden, la evidencia de EUCC, como la declaración de seguridad y los resultados de la evaluación, puede reutilizarse en la documentación técnica del CRA.
EUCS NIS2
EUCS y NIS2
El artículo 24 de NIS2 permite a los Estados miembros exigir a las entidades el uso de productos, servicios y procesos TIC certificados con esquemas europeos. La certificación de la nube da a las entidades NIS2 evidencias comparables para seleccionar y supervisar a sus proveedores, y aclara quién responde de cada medida de seguridad.
EUMSS NIS2
EUMSS y NIS2
Los proveedores de servicios de seguridad gestionados medianos y grandes están en el ámbito de NIS2 por sí mismos (anexo I, gestión de servicios TIC) y forman parte de la cadena de suministro de sus clientes. Cuando el esquema se adopte, la certificación EUMSS dará a los clientes evidencias para las medidas de seguridad de la cadena de suministro que exige NIS2.
EUMSS DORA
EUMSS y DORA
Para una entidad financiera, un proveedor de seguridad gestionada es un proveedor tercero de servicios TIC. Cuando el esquema se adopte, la certificación EUMSS respaldará la diligencia debida y el seguimiento continuo que DORA exige para el riesgo de terceros TIC.
Reglamento IA EUMSS
Reglamento de IA y EUMSS
Los servicios de seguridad gestionados usan cada vez más IA para la detección y la respuesta. EUMSS se ocupa de la seguridad del servicio. El Reglamento de IA se aplica a los componentes de IA según su clasificación de riesgo; obligaciones como la transparencia o la supervisión humana solo se aplican si el componente entra en la categoría correspondiente.
Reglamento IA EUCC
Reglamento de IA y EUCC
Según el artículo 42, apartado 2, del Reglamento de IA, se presume que los sistemas de IA de alto riesgo que cuenten con un certificado o una declaración de conformidad en virtud de un esquema de ciberseguridad con arreglo al Reglamento (UE) 2019/881, cuyas referencias estén publicadas en el Diario Oficial de la Unión Europea, cumplen los requisitos de ciberseguridad del artículo 15, en la medida en que el certificado o la declaración contemplen dichos requisitos. Un certificado EUCC puede, por tanto, aportar parte de la evidencia del artículo 15. La presunción llega hasta donde llega el certificado: las amenazas específicas de la IA que cita el artículo 15, apartado 5, como el envenenamiento de datos, el envenenamiento de modelos o los ejemplos adversarios, requieren evidencia propia salvo que la evaluación las haya cubierto.
CRA NIS2
CRA y NIS2
Las entidades NIS2 compran los productos que regula el CRA. Las medidas del artículo 21, apartado 2, de NIS2 incluyen la seguridad de la cadena de suministro y la seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información, incluida la gestión y divulgación de las vulnerabilidades, y el artículo 21, apartado 3, exige a las entidades tener en cuenta la calidad general de los productos de sus proveedores y sus procedimientos de desarrollo seguro. La conformidad con el CRA aporta al comprador evidencias para esa valoración, y el considerando 13 del CRA confirma que los Estados miembros pueden seguir imponiendo requisitos más estrictos al uso de productos TIC por parte de entidades esenciales e importantes. La notificación también está conectada: según el artículo 14 del CRA, los fabricantes notifican las vulnerabilidades aprovechadas activamente y los incidentes graves al CSIRT designado como coordinador en virtud del artículo 12, apartado 1, de NIS2, a través de la plataforma única de notificación creada por la ENISA.
