Ayudamos a autoridades nacionales, propietarios de esquemas, asociaciones sectoriales y organismos de certificación a construir esquemas de certificación que los evaluadores puedan aplicar de forma coherente y que encajen en el marco europeo. No evaluamos productos ni emitimos certificados, así que no tenemos interés en quién aplique el esquema.
Para
Recibe
El Reglamento sobre la Ciberseguridad (Reglamento (UE) 2019/881) crea el marco europeo de certificación de la ciberseguridad. ENISA prepara los esquemas europeos candidatos con un grupo de trabajo ad hoc para cada uno, y la Comisión los adopta mediante acto de ejecución (artículo 49). El artículo 54 enumera lo que debe contener un esquema europeo, desde el ámbito y los niveles de garantía hasta los criterios y métodos de evaluación, el seguimiento del cumplimiento, el tratamiento de las vulnerabilidades no detectadas previamente y la validez de los certificados. El artículo 52 define tres niveles de garantía, «básico», «sustancial» y «elevado», cada uno con unas actividades de evaluación mínimas, y permite que un esquema defina niveles de evaluación dentro de ellos. EUCC (Reglamento de Ejecución (UE) 2024/482) es el esquema adoptado para productos de TIC: se basa en los criterios comunes y la metodología de evaluación común (ISO/IEC 15408 e ISO/IEC 18045), emite certificados de nivel «sustancial» y «elevado» y permite certificar perfiles de protección para una categoría de productos. Para un esquema nacional o privado, el artículo 54 es también una buena lista de comprobación de lo que deben resolver sus reglas.
En los términos del Reglamento, un esquema nacional de certificación de la ciberseguridad es el elaborado y adoptado por una autoridad pública nacional (artículo 2, punto 10). Cuando un esquema europeo cubre una categoría de productos, servicios o procesos de TIC o de servicios de seguridad gestionados, los esquemas nacionales para esa categoría dejan de surtir efectos a partir de la fecha fijada en el acto de ejecución (artículo 57, apartado 1), y los certificados ya expedidos siguen siendo válidos hasta su fecha de caducidad (artículo 57, apartado 3). Los Estados miembros no pueden introducir nuevos esquemas nacionales para categorías cubiertas por un esquema europeo en vigor (artículo 57, apartado 2) y deben informar a la Comisión y al Grupo Europeo de Certificación de la Ciberseguridad (GECC) de cualquier intención de crear uno nuevo (artículo 57, apartado 4). Por eso un esquema nacional debe delimitarse frente a los esquemas europeos en vigor y los que están en preparación, y diseñarse con una vía de transición.
La metodología de evaluación decide si un esquema funciona en la práctica. ISO/IEC 15408 e ISO/IEC 18045 son adecuadas para niveles de garantía altos y para la certificación frente a perfiles de protección. EN 17640, Fixed-time cybersecurity evaluation methodology for ICT products (conocida como FITCEM), elaborada por el comité CEN-CLC/JTC 13, evalúa un producto en un plazo fijado al inicio y está pensada para los tres niveles de garantía del Reglamento. Los organismos de evaluación de la conformidad son acreditados por los organismos nacionales de acreditación y deben cumplir los requisitos del anexo del Reglamento (artículo 60, apartado 1), entre ellos la independencia respecto de lo que evalúan y la prohibición de actividades, en particular de consultoría, que puedan comprometer su independencia de criterio. En EUCC se espera que los organismos de certificación estén acreditados conforme a ISO/IEC 17065 y los laboratorios de evaluación (ITSEF) conforme a ISO/IEC 17025, complementada con ISO/IEC 23532-1. dephensiva no tiene laboratorio ni organismo de certificación y no evalúa productos, de modo que puede redactar reglas, métodos y requisitos de competencia sin interés comercial en quién los aplicará.
Ámbito, usuarios previstos y necesidades de garantía, solapamiento con los esquemas europeos en vigor y en preparación, elección de niveles de garantía y enfoque de evaluación, opciones de gobernanza para el propietario y una arquitectura de esquema recomendada.
Duración habitual: 6 a 10 semanas
Reglas estructuradas sobre los elementos del artículo 54 del Reglamento sobre la Ciberseguridad: ámbito, funciones, proceso de solicitud y evaluación, contenido y validez del certificado, mantenimiento y vigilancia, tratamiento de vulnerabilidades, marcas, reclamaciones y recursos, y gobernanza del propio esquema.
Duración habitual: 10 a 16 semanas
Un perfil de protección conforme a ISO/IEC 15408 para una categoría de productos, o un catálogo de requisitos de seguridad para esquemas que no se basan en los criterios comunes, con el modelo de amenazas y la justificación que enlaza amenazas, objetivos y requisitos.
Duración habitual: 8 a 14 semanas
Una metodología basada en ISO/IEC 18045 o EN 17640 y adaptada al esquema: tareas de evaluación, presupuestos de tiempo, expectativas de pruebas, cálculo del potencial de ataque, plantillas de informe y las notas de interpretación que evaluadores y certificadores necesitan para llegar a veredictos coherentes.
Duración habitual: 10 a 16 semanas
Apoyo al propietario del esquema mientras los laboratorios realizan evaluaciones piloto: seguimiento de los pilotos, registro de cuestiones de interpretación, formación de evaluadores y certificadores, y revisión de las reglas y la metodología a partir de los resultados. No realizamos las evaluaciones.
Duración habitual: 3 a 6 meses
Requisitos de competencia y acreditación para organismos de certificación (ISO/IEC 17065) y laboratorios (ISO/IEC 17025), puntos de coordinación con el organismo nacional de acreditación y, en los esquemas nacionales, la vía que seguir si un esquema europeo llega a cubrir la misma categoría.
Duración habitual: 4 a 8 semanas
Sí, para categorías que no cubra ningún esquema europeo en vigor. El artículo 57, apartado 2, del Reglamento sobre la Ciberseguridad prohíbe nuevos esquemas nacionales solo para productos, servicios o procesos de TIC o servicios de seguridad gestionados ya cubiertos por un esquema europeo en vigor, y el apartado 4 obliga al Estado miembro a informar a la Comisión y al GECC de su intención de crearlo. Los esquemas nacionales para categorías no cubiertas por esquemas europeos siguen existiendo (artículo 57, apartado 1).
Deja de surtir efectos para los productos cubiertos a partir de la fecha fijada en el acto de ejecución que adopta el esquema europeo (artículo 57, apartado 1). Los certificados ya expedidos siguen siendo válidos hasta su fecha de caducidad (artículo 57, apartado 3). En EUCC, esa fecha se fijó en doce meses después de la entrada en vigor del reglamento de ejecución (artículo 49 del Reglamento de Ejecución (UE) 2024/482). Diseñamos los esquemas nacionales teniendo en cuenta esta transición desde el principio.
EN 17640, Fixed-time cybersecurity evaluation methodology for ICT products, es una norma de CEN y CENELEC para evaluar un producto de TIC en un plazo fijado al inicio de la evaluación. Está pensada para los niveles de garantía «básico», «sustancial» y «elevado» del Reglamento sobre la Ciberseguridad. Encaja en esquemas en los que la previsibilidad de plazo y coste pesa más que el análisis documental completo de los criterios comunes. Cuando un esquema se apoya en perfiles de protección o en un potencial de ataque elevado, ISO/IEC 15408 e ISO/IEC 18045 suelen ser mejor base.
Pueden promoverlo autoridades públicas, comunidades de usuarios, asociaciones sectoriales o fabricantes; lo importante es que exprese las necesidades de seguridad de una categoría de productos con independencia de una implementación concreta. En EUCC, un perfil de protección puede evaluarse y certificarse por sí mismo, con el único fin de certificar productos de TIC de la categoría que cubre (artículo 5, apartado 2, del Reglamento de Ejecución (UE) 2024/482). Nosotros redactamos perfiles de protección; su evaluación corresponde a un laboratorio de evaluación y su certificación a un organismo de certificación.
El artículo 52 del Reglamento sobre la Ciberseguridad fija el mínimo. El nivel «básico» exige al menos una revisión de la documentación técnica. El «sustancial» exige una revisión que demuestre la ausencia de vulnerabilidades conocidas públicamente y pruebas de que las funciones de seguridad se implementan correctamente. El «elevado» añade pruebas conforme al estado de la técnica y una evaluación de la resistencia frente a atacantes cualificados mediante pruebas de penetración. Cuando estas actividades no son adecuadas, se admiten otras de efecto equivalente, y un esquema puede definir varios niveles de evaluación dentro de cada nivel de garantía (artículo 52, apartado 8). En EUCC, el nivel «sustancial» corresponde a AVA_VAN 1 y 2, y el «elevado» a AVA_VAN 3 a 5.
Porque el propietario del esquema necesita un asesoramiento que no favorezca a ninguna de las partes que lo aplicarán. dephensiva no tiene laboratorio ni organismo de certificación, no evalúa productos y no emite certificados. Ni dephensiva ni su fundador tienen participaciones en jtsec ni en Applus+, y declaramos cualquier posible conflicto de intereses antes de empezar un encargo. Participamos en comités técnicos de CEN/CENELEC, en ETSI, en grupos de trabajo de ISO y en grupos de trabajo ad hoc de ENISA, incluidos los del esquema EUCC y del esquema candidato EUMSS, donde trabajamos de forma habitual con autoridades de certificación de toda Europa, y trabajamos tanto para propietarios de esquemas públicos como privados.