Preparamos a los fabricantes de productos TIC para la evaluación en el esquema europeo basado en Common Criteria (EUCC) y les ayudamos a mantener sus certificados después. Trabajamos junto a su ITSEF y su organismo de certificación: no evaluamos ni certificamos.
Para
Recibe
EUCC es el esquema europeo de certificación de la ciberseguridad basado en Common Criteria, adoptado al amparo del Reglamento sobre la Ciberseguridad mediante el Reglamento de Ejecución (UE) 2024/482 y aplicable desde el 27 de febrero de 2025. Se apoya en el acuerdo de reconocimiento mutuo SOG-IS y en sus documentos de soporte. Los esquemas nacionales cubiertos por EUCC dejaron de surtir efecto doce meses después de la entrada en vigor del Reglamento (artículo 49). Los certificados ya expedidos con esos esquemas siguen siendo válidos hasta su caducidad (artículo 57, apartado 3, del Reglamento sobre la Ciberseguridad) y pueden revisarse y sustituirse por certificados EUCC. Las normas de evaluación son CC:2022 y CEM:2022 (ISO/IEC 15408 e ISO/IEC 18045); hasta el 31 de diciembre de 2027 pueden expedirse certificados que apliquen CC y CEM versión 3.1, revisión 5 (artículo 3, modificado por el Reglamento de Ejecución (UE) 2024/3144).
Los certificados EUCC se expiden con nivel de garantía «sustancial», que corresponde a AVA_VAN 1 o 2, o «elevado», que corresponde a AVA_VAN 3, 4 o 5 (artículo 4). AVA_VAN 4 y 5 solo son posibles para productos cubiertos por los ámbitos técnicos «tarjetas inteligentes y dispositivos similares» o «dispositivos de hardware con cajas de seguridad», para productos cubiertos por un perfil de protección certificado del anexo II que incluya esos niveles o, si no se da ninguno de los dos casos, en casos excepcionales aprobados por la autoridad nacional de certificación de la ciberseguridad (artículo 7, apartado 3). Para esos dos ámbitos técnicos, el anexo I enumera los documentos del estado de la técnica aplicables en AVA_VAN 4 y 5, entre ellos los requisitos mínimos de seguridad de las instalaciones, la reutilización de los resultados de las auditorías in situ (STAR), la aplicación del potencial de ataque y, para las tarjetas inteligentes, la evaluación de productos compuestos. No se admite la autoevaluación de la conformidad (artículo 6), y el certificado tiene una validez máxima de cinco años salvo que esa autoridad apruebe un plazo mayor (artículo 12). El titular debe vigilar las vulnerabilidades, mantener procedimientos de gestión de vulnerabilidades, analizar el impacto de cada posible vulnerabilidad e informar al organismo de certificación cuando sea probable que afecte a la conformidad (artículos 27 y 33 a 36). Los cambios en el producto pasan por un informe de análisis de impacto y se clasifican como modificación menor o importante (anexo IV).
El Reglamento de Ciberresiliencia considera productos críticos con elementos digitales los dispositivos de equipos informáticos con cajas de seguridad, las pasarelas de contadores inteligentes y otros dispositivos con fines de seguridad avanzada, y las tarjetas inteligentes o dispositivos similares, incluidos los elementos seguros (anexo IV). El Reglamento de Ejecución (UE) 2025/2392 incluye en la primera categoría los módulos de seguridad hardware (HSM) y los terminales de pago que respondan a su descripción, y describe los elementos seguros como diseñados para ofrecer una protección de al menos AVA_VAN 4. Según el artículo 8, apartado 1, la Comisión puede exigir que estos productos obtengan un certificado europeo de ciberseguridad con nivel de garantía al menos «sustancial»; mientras no lo haga, siguen los procedimientos del artículo 32, apartado 3 (artículo 32, apartado 4, letra b)). Según el artículo 27, apartado 8, un certificado EUCC otorga presunción de conformidad con los requisitos esenciales de ciberseguridad que cubra.
Revisión de sus certificados nacionales, declaraciones de seguridad y evidencias frente a EUCC: CC:2022 o CC 3.1 revisión 5, los documentos del estado de la técnica aplicables, las obligaciones de gestión de vulnerabilidades y la elección entre revisión del certificado y nueva evaluación. Recibe un plan por producto para tratarlo con su organismo de certificación.
Duración habitual: 2 a 3 semanas
Redacción o revisión de la declaración de seguridad: descripción y límites del objeto de evaluación, definición del problema de seguridad, objetivos, requisitos funcionales y de garantía, declaraciones de conformidad con perfiles de protección y justificación. Incluye la versión editada para su publicación y la versión en inglés que puede pedirle el organismo de certificación, ya que ENISA publica la declaración de seguridad de cada certificado.
Duración habitual: 3 a 6 semanas
Evidencias de ciclo de vida (gestión de la configuración, entrega, seguridad del desarrollo, definición del ciclo de vida, herramientas y técnicas, corrección de defectos) y guías (procedimientos preparatorios y guía de uso operativo), redactadas según las unidades de trabajo de la CEM que aplicará su ITSEF. En las tarjetas inteligentes y los dispositivos de hardware con cajas de seguridad, documentación de seguridad de las instalaciones (ALC_DVS) preparada según los «Requisitos mínimos de seguridad de las instalaciones», y los resultados de auditorías in situ que puede aportar para su reutilización (STAR).
Duración habitual: 4 a 8 semanas
Revisión interna de sus evidencias frente a las unidades de trabajo de la CEM antes de entregarlas a la ITSEF, para que el laboratorio emita menos observaciones y la evaluación cumpla su calendario. El veredicto sigue correspondiendo a la ITSEF y al organismo de certificación.
Duración habitual: 2 a 4 semanas
Procedimientos de gestión y divulgación de vulnerabilidades conformes con el capítulo VI del Reglamento EUCC, una plantilla de análisis del impacto de vulnerabilidades con cálculo del potencial de ataque, aplicando cuando proceda los documentos de potencial de ataque para tarjetas inteligentes o dispositivos de hardware con cajas de seguridad (artículo 34, apartado 2), un procedimiento de gestión de parches evaluable conforme al anexo IV y la información complementaria de ciberseguridad que exige el artículo 55 del Reglamento sobre la Ciberseguridad. Javier Tallón, nuestro fundador, es coeditor de ISO/IEC TS 9569:2023, la extensión de gestión de parches de ISO/IEC 15408 e ISO/IEC 18045.
Duración habitual: 3 a 5 semanas
Informes de análisis de impacto de los cambios en el producto con la argumentación de modificación menor o importante, evidencias para añadir la corrección de defectos (ALC_FLR) a un producto certificado, que el organismo de certificación puede confirmar mediante una evaluación parcial (anexo IV), preparación de reevaluaciones y un plan de renovación. El titular puede solicitar la revisión cuando el certificado vaya a expirar en un plazo de nueve meses.
Duración habitual: 1 a 2 semanas por cambio
Sí, hasta su caducidad. Los certificados expedidos con esquemas nacionales siguen siendo válidos hasta su fecha de expiración (artículo 57, apartado 3, del Reglamento sobre la Ciberseguridad), aunque los esquemas nacionales cubiertos por EUCC ya no surten efecto (artículo 49, apartado 1, del Reglamento de Ejecución (UE) 2024/482). Para mantener el producto certificado, el certificado puede revisarse y sustituirse por un certificado EUCC (artículo 49, apartado 3). Si la revisión se hace dentro de los dos años siguientes al certificado inicial, aún pueden aplicarse CC y CEM 3.1 revisión 5 (artículo 49, apartado 4), y la ITSEF puede reutilizar resultados de evaluación anteriores que sigan cumpliendo los requisitos (artículo 8, apartados 3 y 4).
El procedimiento de gestión de parches es opcional, pero debe evaluarse durante la certificación para poder usarlo después (anexo IV, sección IV.4). Puede cubrir parches de funcionalidades fuera del objeto de evaluación, modificaciones menores predeterminadas y correcciones de vulnerabilidades confirmadas con efectos críticos. En un plazo de cinco días laborables desde la aplicación del parche, el titular lo comunica al organismo de certificación o lo presenta a la ITSEF, según el caso. Los cambios fuera de ese procedimiento requieren un informe de análisis de impacto y se tratan como modificación menor (informe de mantenimiento) o importante (reevaluación).
Vigilar la información sobre vulnerabilidades del producto y de sus dependencias conocidas (artículo 27), publicar un canal para recibir notificaciones y registrar cada posible vulnerabilidad (artículo 33), analizar su impacto con cálculo del potencial de ataque cuando proceda (artículo 34) y enviar sin demora indebida un informe de análisis del impacto al organismo de certificación cuando sea probable que afecte a la conformidad (artículo 35). Si la vulnerabilidad puede corregirse, el titular propone la corrección y se revisa el certificado (artículo 36). Si no es residual y no puede corregirse, el certificado se retira (artículo 35, apartado 6).
«Sustancial» abarca AVA_VAN 1 y 2; «elevado», AVA_VAN 3, 4 y 5 (artículo 4). AVA_VAN 4 y 5 exigen los documentos del estado de la técnica de los ámbitos técnicos «tarjetas inteligentes y dispositivos similares» o «dispositivos de hardware con cajas de seguridad», un perfil de protección del anexo II o una aprobación caso por caso de la autoridad nacional de certificación de la ciberseguridad (artículo 7, apartado 3).
Sí. El anexo IV del Reglamento de Ciberresiliencia incluye las tarjetas inteligentes o dispositivos similares, incluidos los elementos seguros, junto con los dispositivos de equipos informáticos con cajas de seguridad y las pasarelas de contadores inteligentes. La Comisión puede exigirles un certificado europeo de ciberseguridad con nivel de garantía al menos «sustancial» (artículo 8, apartado 1); sin ese acto delegado, siguen los procedimientos del artículo 32, apartado 3 (artículo 32, apartado 4, letra b)). Un certificado EUCC otorga presunción de conformidad con los requisitos esenciales que cubra (artículo 27, apartado 8).
Como producto compuesto: un producto que se evalúa junto con otro producto subyacente que ya ha obtenido un certificado EUCC y de cuya funcionalidad de seguridad depende (artículo 2). Cuando el organismo de certificación permite la certificación como producto compuesto, el solicitante pone a disposición de dicho organismo y de la ITSEF los elementos necesarios con arreglo al documento del estado de la técnica pertinente (artículo 8, apartado 5), y la ITSEF y el organismo de certificación del producto subyacente comparten la información pertinente con los del producto compuesto (artículo 7, apartado 5, y artículo 9, apartado 3). El anexo I incluye los documentos de productos compuestos del ámbito de las tarjetas inteligentes para CC 3.1 y para CC:2022. Cuando una posible vulnerabilidad afecta a un producto compuesto, el titular del certificado informa a los titulares de los certificados EUCC dependientes (artículo 33, apartado 4). Preparamos la declaración de seguridad y las evidencias de la aplicación de forma coherente con la declaración de seguridad y las guías de la plataforma.
No. No somos laboratorio de ensayo, organismo de certificación ni organismo notificado, y no emitimos certificados. La ITSEF evalúa y el organismo de certificación certifica. Nosotros preparamos la declaración de seguridad y las evidencias, las revisamos antes de su entrega y le acompañamos en las observaciones y el mantenimiento. Somos una consultora boutique, trabajamos en español e inglés y colaboramos de forma habitual con autoridades de certificación y expertos de toda Europa, entre ellos ANSSI y BSI, en los grupos de trabajo de ENISA, ISO y ETSI.