Regolamento (UE) 2024/3144

Regolamento di esecuzione (UE) 2024/3144: modifica e rettifica dell’EUCC

Il regolamento interviene sul sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC), istituito dal regolamento di esecuzione (UE) 2024/482 in attuazione del regolamento (UE) 2019/881. L’obiettivo è duplice: da un lato, chiarire con precisione le versioni delle norme internazionali applicabili; dall’altro, correggere e rendere più coerente il testo dell’atto previgente, anche in funzione della transizione verso le versioni aggiornate degli standard e della riallocazione a livello orizzontale delle regole sulle notifiche.

Contesto e finalità

I considerando evidenziano che il regolamento (UE) 2024/482 si fonda sui Common Criteria e sulla Common Methodology elaborati nell’ambito dell’ISO/IEC e del CCRA. Tuttavia, per evitare incertezze applicative, la Commissione ritiene necessario indicare espressamente quale versione degli standard si applichi ai certificati EUCC. Viene inoltre riconosciuta l’esigenza di una transizione ordinata, coerente con le pratiche globali del CCRA, per consentire a fornitori, ITSEF e organismi di certificazione di adeguarsi ai nuovi documenti e alle nuove versioni normative.

Norme tecniche applicabili

L’articolo 1, punto 1, sostituisce le definizioni di "criteri comuni" e "metodologia comune di valutazione". Per il regime ordinario EUCC, il rinvio è ora alle norme ISO/IEC 15408-1:2022, 15408-2:2022, 15408-3:2022, 15408-4:2022 e 15408-5:2022, nonché alla ISO/IEC 18045:2022. In alternativa, sono richiamate le corrispondenti versioni CC:2022 e CEM:2022 pubblicate dai partecipanti al CCRA.

L’articolo 3, riformulato, stabilisce che tali versioni costituiscono la base normale delle valutazioni EUCC. Restano però ammesse, fino al 31 dicembre 2027, le versioni precedenti: ISO/IEC 15408:2008 e ISO/IEC 18045:2008, oppure CC 3.1 revisione 5 e CEM 3.1 revisione 5. La stessa data limite vale anche per i certificati che attestino la conformità a profili di protezione basati su tali versioni antecedenti.

Regime transitorio e casi particolari

Il regolamento prevede ulteriori ipotesi transitorie per i profili di protezione. In particolare, è ancora possibile rilasciare certificati EUCC quando il profilo di protezione richiesto dal diritto dell’Unione si fondi sulle versioni CC 3.1 revisioni 1-4 o CEM 3.1 revisioni 1-4. La deroga è collegata a tre atti specifici: il regolamento di esecuzione (UE) 2016/799, il regolamento (UE) n. 910/2014 e la decisione di esecuzione (UE) 2016/650.

È inoltre previsto che, nel riesame effettuato entro due anni dal certificato iniziale, se il riesame porta al rilascio di un nuovo certificato, possano applicarsi le norme transitorie dell’articolo 3, paragrafo 2. La nozione di certificato iniziale è chiarita come riferita all’ultimo certificato rilevante su cui si fonda la certificazione in corso.

Accreditamento degli organismi e documenti sullo stato dell’arte

Con l’inserimento dell’articolo 20 bis, l’accreditamento degli organismi di valutazione della conformità deve tenere conto dei requisiti di accreditamento di organismi di certificazione e ITSEF indicati nei documenti sullo stato dell’arte dell’allegato I, punto 2. L’articolo 48 è integrato con una regola generale di efficacia: salvo diversa previsione negli allegati I o II, i documenti sullo stato dell’arte si applicano dalla data di applicazione dell’atto che li introduce.

L’allegato I viene sostituito integralmente e dettaglia i documenti tecnici applicabili ai settori "smart card e dispositivi simili" e "dispositivi hardware con box di sicurezza" ai livelli AVA_VAN 4 o 5. Sono anche precisate le versioni dei documenti relativi all’accreditamento armonizzato: per le ITSEF, la versione 1.1 si applica agli accreditamenti rilasciati prima dell’8 luglio 2025, mentre la versione 1.6c si applica ai nuovi accreditamenti o a quelli riesaminati dopo tale data; per gli organismi di certificazione si applica la versione 1.6b.

Rettifiche puntuali al regolamento (UE) 2024/482

Il regolamento corregge anche alcune disposizioni testuali del sistema EUCC. L’articolo 5, paragrafo 1, lettera b), viene riformulato per chiarire il collegamento tra dichiarazione di conformità a un profilo di protezione e la categoria di prodotti TIC cui il profilo si riferisce. L’articolo 8 è rettificato nel titolo e nel contenuto, imponendo al richiedente di fornire all’organismo di certificazione e all’ITSEF tutte le informazioni necessarie per certificazione e valutazione.

L’articolo 16 viene riscritto in modo analogo per i profili di protezione, imponendo informazioni complete e corrette e rinviando, mutatis mutandis, ad alcune regole dell’articolo 8. L’articolo 17, paragrafo 1, è soppresso. L’articolo 29, paragrafo 2, chiarisce invece che, se non sono proposte misure correttive adeguate entro il termine previsto, il certificato viene sospeso o revocato.

Notifiche e coordinamento con il regolamento orizzontale

Gli articoli 23 e 24 del regolamento (UE) 2024/482 sono soppressi perché la disciplina delle notifiche degli organismi di valutazione della conformità è ora regolata in modo orizzontale dal regolamento di esecuzione (UE) 2024/3143. Il nuovo assetto punta quindi a uniformare le notifiche in tutti i sistemi del quadro europeo di certificazione della cibersicurezza.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. L’applicazione dell’articolo 1, paragrafo 4, decorre dall’8 gennaio 2025. Il testo è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.