Regolamento (UE) 2025/2462

Regolamento di esecuzione (UE) 2025/2462: modifica del sistema EUCC

Il regolamento interviene sul regolamento di esecuzione (UE) 2024/482, che attua il sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC) ai sensi del regolamento (UE) 2019/881. L’obiettivo è affinare il quadro operativo della certificazione, migliorando la gestione delle modifiche ai prodotti certificati, la disciplina dei profili di protezione e la qualità delle informazioni rese pubbliche da ENISA.

Ambito e finalità della modifica

L’atto non istituisce un nuovo schema, ma aggiorna quello esistente. La Commissione evidenzia la necessità di chiarire alcune nozioni centrali per l’affidabilità dei prodotti certificati, di garantire continuità ai processi di certificazione, di allineare i documenti tecnici allo stato dell’arte agli sviluppi tecnologici e di ridurre le ambiguità nelle procedure di riesame e mantenimento.

Nuove definizioni: serie di prodotti, modifica minore e modifica maggiore

All’articolo 2 del regolamento (UE) 2024/482 sono introdotte tre definizioni chiave:

• "serie di prodotti": insieme di prodotti TIC di un medesimo richiedente, basati sulla stessa funzione di sicurezza, ma potenzialmente diversi per progettazione, hardware, firmware o software;
• "modifica minore": modifica dell’oggetto della valutazione certificato o del suo ambiente che non incide negativamente sull’affidabilità dichiarata nel certificato EUCC;
• "modifica maggiore": modifica che può incidere negativamente sull’affidabilità espressa nel certificato EUCC.

Queste definizioni sono funzionali alla gestione uniforme delle variazioni post-certificazione e alla scelta tra mantenimento e nuova valutazione.

Certificazione di serie di prodotti

All’articolo 5 viene esplicitato che un organismo di certificazione può consentire la certificazione di una serie di prodotti. La valutazione resta caso per caso, in linea con la logica del sistema EUCC, ma viene riconosciuta la possibilità di certificare insiemi di prodotti progettati su una base funzionale comune.

Obblighi documentali del richiedente e identificatore del certificato

Il richiedente deve fornire all’organismo di certificazione e all’ITSEF tutte le informazioni necessarie, complete e corrette, inclusa, se richiesta, una versione in inglese del traguardo di sicurezza. Questo rafforza la tracciabilità del processo e facilita la comunicazione con ENISA.

L’identificatore unico del certificato è semplificato: comprende il nome del sistema, il numero di identificazione dell’organismo di certificazione, l’anno di rilascio del certificato iniziale e il numero assegnato dall’organismo. Non è più necessario indicare il nome dell’organismo né il mese di rilascio. La logica è quella di mantenere un’identificazione univoca ma meno gravosa.

Mantenimento, modifiche minori e nuove valutazioni

L’allegato IV è riformulato per rendere più precisa la gestione delle modifiche ai prodotti TIC certificati. Dopo l’esame delle modifiche, l’organismo di certificazione deve classificarle come minori o maggiori in base all’impatto sull’affidabilità espressa nel certificato EUCC.

Se le modifiche sono minori:

• non viene rilasciato un nuovo certificato per il prodotto modificato;
• viene redatta una relazione di manutenzione collegata alla relazione di certificazione iniziale.

Se le modifiche sono maggiori, si applicano le regole di nuova valutazione. Per le modifiche nell’ambiente di sviluppo, inclusa l’introduzione di requisiti della famiglia CC ALC_FLR ("Flaw remediation"), l’organismo di certificazione può chiedere all’ITSEF una valutazione parziale delle misure interessate.

Nuova valutazione e esiti per prodotti e profili di protezione

Il regolamento chiarisce gli esiti della nuova valutazione sia per i prodotti sia, mutatis mutandis, per i profili di protezione. Se la nuova valutazione ha esito positivo, il certificato può essere confermato oppure sostituito con un nuovo certificato con scadenza prorogata. Se ha esito negativo, il certificato deve essere revocato; può tuttavia essere rilasciato un nuovo certificato con ambito di applicazione diverso, ove applicabile.

Documenti sullo stato dell’arte: aggiornamento e decorrenza

L’elenco dei documenti sullo stato dell’arte dell’allegato I è aggiornato per riflettere evoluzioni tecnologiche, minacce informatiche, pratiche di settore e norme internazionali. Le modifiche riguardano in particolare:

• requisiti minimi per le valutazioni di smart card e dispositivi simili;
• requisiti minimi di sicurezza dei siti;
• riuso dei risultati degli audit di sito;
• applicazione dei Common Criteria ai circuiti integrati;
• valutazione di prodotti compositi;
• applicazione dei potenziali di attacco;
• certificazione di dispositivi per la creazione di firme e sigilli elettronici qualificati;
• accreditamento degli ITSEF e degli organismi di certificazione.

La nuova regola generale dell’articolo 48, paragrafo 4, stabilisce che i documenti sullo stato dell’arte si applicano ai processi di certificazione, inclusa la nuova valutazione, avviati dalla data di applicazione dell’atto modificativo che li introduce, salvo diversa indicazione negli allegati I o II.

Regole transitorie per ADV_SPM.1 e transizione ai Common Criteria:2022

Il documento "ADV_SPM.1 interpretation for CC:2022 transition" è inserito nell’allegato I con applicazione transitoria limitata. Serve a consentire che determinati processi di certificazione basati su specifici profili di protezione continuino a usare la modellizzazione formale ADV_SPM.1 fino all’adeguamento dei profili corrispondenti.

In particolare, il documento si applica:

• ai profili "Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014" e "Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020" avviati prima del 1° ottobre 2026;
• al profilo "Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020" avviato prima del 29 dicembre 2025.

Profili di protezione certificati e raccomandati

Gli allegati II e III vengono aggiornati per correggere e integrare i riferimenti ai profili di protezione certificati al livello AVA_VAN 4 o 5 e a quelli raccomandati. Il perimetro copre, tra gli altri, dispositivi per la creazione di firme e sigilli a distanza, smart card, circuiti integrati sicuri, eUICC, Java Card, trusted platform module, dispositivi hardware con box di sicurezza, terminali di pagamento, moduli di sicurezza hardware, tachigrafi e trusted execution environment.

Riesame dei certificati dei profili di protezione

L’articolo 19 viene precisato: su richiesta del titolare del certificato o per altri motivi giustificati, l’organismo di certificazione può decidere di riesaminare un certificato EUCC relativo a un profilo di protezione. Il riesame segue l’allegato IV e può richiedere una nuova valutazione da parte dell’ITSEF. Le conseguenze del riesame sono disciplinate in modo coerente con la nuova valutazione dei prodotti.

Relazione di certificazione e traguardo di sicurezza

L’allegato V viene riscritto per rendere più dettagliato il contenuto della relazione di certificazione, che deve essere pubblicata insieme al certificato e al traguardo di sicurezza EUCC. La relazione deve contenere almeno:

• sintesi;
• identificatore del prodotto TIC;
• contatti della valutazione;
• politiche di sicurezza;
• ipotesi e chiarimento dell’ambito;
• informazioni sull’architettura;
• informazioni supplementari sulla cibersicurezza;
• sintesi della valutazione e configurazione valutata;
• risultati e informazioni sul certificato;
• osservazioni e raccomandazioni;
• allegati;
• riferimento al traguardo di sicurezza;
• marchio o etichetta, se disponibile;
• glossario;
• bibliografia.

La sintesi deve riportare, tra l’altro, nome del prodotto, ITSEF, date rilevanti, periodo di validità, identificatore unico del certificato, versione dei Common Criteria applicata, livello AVA_VAN e livello di affidabilità, eventuale profilo di protezione e clausole di esclusione della responsabilità. La relazione deve anche indicare la politica di gestione delle vulnerabilità, la politica di continuità dell’affidabilità e, se applicabile, la gestione delle patch.

Obblighi verso ENISA e pubblicazione in inglese

Gli organismi di certificazione devono fornire a ENISA, oltre alle versioni linguistiche originali, anche la versione inglese delle relazioni di certificazione e dei traguardi di sicurezza senza indebito ritardo. ENISA deve mettere tali informazioni a disposizione almeno in inglese, incluso il traguardo di sicurezza corrispondente a ciascun certificato EUCC.

Marchio ed etichetta EUCC

L’allegato IX disciplina il formato del marchio e dell’etichetta EUCC. In caso di riduzione o ingrandimento, devono essere rispettate le proporzioni originarie; se apposti fisicamente, devono avere un’altezza minima di 5 mm.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.