Regolamento (UE) 2024/482

Regolamento di esecuzione (UE) 2024/482 della Commissione – sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC)

Il regolamento istituisce il quadro operativo dell'EUCC, cioè il sistema europeo di certificazione della cibersicurezza per prodotti TIC fondato sui Common Criteria e sulla Common Evaluation Methodology. L'obiettivo è armonizzare in tutta l'Unione la certificazione di sicurezza di prodotti TIC e profili di protezione, garantendo un livello elevato di fiducia, trasparenza e comparabilità dei certificati.

Il testo traduce in regole vincolanti l'architettura già prevista dal regolamento (UE) 2019/881, definendo ruoli, procedure, controlli, requisiti di accreditamento e autorizzazione, monitoraggio della compliance e gestione delle vulnerabilità. È inoltre prevista una transizione ordinata dai sistemi nazionali e una disciplina per il riconoscimento verso paesi terzi.

Oggetto e struttura del sistema EUCC

L'articolo 1 istituisce l'EUCC e ne definisce l'ambito: prodotti TIC, relativa documentazione e profili di protezione presentati per la certificazione. Il regolamento si fonda sui Common Criteria (ISO/IEC 15408) e sulla Common Evaluation Methodology (ISO/IEC 18045), richiamati all'articolo 2 insieme alle principali nozioni tecniche e procedurali.

L'impianto complessivo distingue tra:

• certificazione dei prodotti TIC;
• certificazione dei profili di protezione;
• requisiti di accreditamento/autorizzazione degli organismi coinvolti;
• monitoraggio e gestione delle non conformità;
• gestione e divulgazione delle vulnerabilità;
• valutazione inter pares degli organismi che certificano al livello elevato.

Norme di valutazione, livelli di affidabilità e documenti di riferimento

Ai sensi dell'articolo 3, ogni valutazione EUCC deve basarsi sui criteri comuni e sulla metodologia comune di valutazione. L'articolo 4 introduce due livelli di affidabilità:

• sostanziale, corrispondente ai livelli AVA_VAN 1 o 2;
• elevato, corrispondente ai livelli AVA_VAN 3, 4 o 5.

La certificazione tiene conto del rischio associato all'uso previsto del prodotto TIC e dei relativi obiettivi di sicurezza previsti dal regolamento (UE) 2019/881. Gli allegati I e II assumono rilievo centrale perché individuano i settori tecnici e i profili di protezione certificati che guidano la valutazione armonizzata, soprattutto per i livelli AVA_VAN più alti.

L'allegato I copre, in particolare, due settori tecnici di maggiore rilevanza pratica:

• smart card e dispositivi simili;
• dispositivi hardware con box di sicurezza.

Certificazione dei prodotti TIC

L'articolo 5 consente due modelli di certificazione:

• valutazione del prodotto rispetto al traguardo di sicurezza definito dal richiedente;
• valutazione integrata con un profilo di protezione certificato, se il prodotto rientra nella categoria coperta dal profilo.

L'articolo 6 vieta espressamente l'autovalutazione della conformità: il sistema si fonda esclusivamente su valutazione di terzi, svolta da ITSEF e organismi di certificazione.

L'articolo 7 stabilisce i criteri concreti di valutazione dei prodotti TIC. Oltre alle regole generali, occorre considerare:

• il livello di rischio associato all'uso previsto del prodotto;
• le funzioni di sicurezza a sostegno degli obiettivi di sicurezza;
• i documenti sullo stato dell'arte dell'allegato I;
• gli eventuali profili di protezione certificati dell'allegato II.

Per i livelli AVA_VAN 4 e 5 la certificazione è consentita solo in presenza di settori tecnici o profili di protezione specificamente idonei, e in casi eccezionali e debitamente giustificati può essere approvata un'eccezione metodologica dall'autorità nazionale di certificazione della cibersicurezza.

Procedimento di certificazione, documentazione e contenuto del certificato

L'articolo 8 richiede al richiedente di fornire tutte le informazioni necessarie, compresi gli elementi di prova richiesti dalle sezioni relative alle attività dello sviluppatore e, se necessario, dettagli sul prodotto e sul codice sorgente. È consentito il riuso di risultati di valutazioni precedenti svolte nell'ambito dell'EUCC, di altri sistemi europei o di sistemi nazionali, purché pertinenti e autentici.

L'articolo 9 subordina il rilascio del certificato a condizioni cumulative, tra cui:

• copertura del prodotto nell'ambito di accreditamento ed eventuale autorizzazione degli organismi coinvolti;
• dichiarazione del richiedente con assunzione di specifici impegni;
• esito favorevole della valutazione ITSEF;
• riesame positivo da parte dell'organismo di certificazione;
• correttezza dell'applicazione delle norme di valutazione.

Gli impegni del richiedente includono, in particolare, il divieto di promuovere il prodotto come certificato prima del rilascio, l'obbligo di limitare la promozione al perimetro del certificato, il dovere di cessare la promozione in caso di sospensione/revoca/scadenza e la garanzia che i prodotti commercializzati siano identici a quelli certificati.

L'articolo 10 disciplina contenuto e formato del certificato EUCC, che deve contenere almeno le informazioni dell'allegato VII, mentre la relazione di certificazione è disciplinata dall'allegato V. Il certificato e la relazione devono chiarire in modo inequivocabile l'ambito e i limiti della certificazione.

Marchio, etichetta e trasparenza verso gli utenti

L'articolo 11 consente l'apposizione di marchio ed etichetta sul prodotto certificato, sull'imballaggio o sui documenti di accompagnamento, a seconda della natura del prodotto. Per il software, l'informazione può essere resa accessibile anche tramite sito web.

Il marchio/etichetta deve indicare:

• livello di affidabilità;
• livello AVA_VAN;
• identificatore unico del certificato.

Il QR code deve rimandare a un sito web contenente almeno:

• stato di validità del certificato;
• informazioni essenziali sulla certificazione;
• informazioni pubbliche dovute ai sensi dell'articolo 55 del regolamento (UE) 2019/881;
• eventuali dati storici utili alla tracciabilità.

Durata, riesame, sospensione e revoca dei certificati

L'articolo 12 prevede che il certificato EUCC per i prodotti TIC non superi i cinque anni di validità, con eventuale proroga oltre tale limite solo previa approvazione dell'autorità nazionale di certificazione della cibersicurezza.

L'articolo 13 disciplina il riesame del certificato, su richiesta del titolare o per altri motivi giustificati, e consente:

• conferma del certificato;
• revoca;
• revoca e rilascio di nuovo certificato con ambito identico e durata prorogata;
• revoca e rilascio di nuovo certificato con ambito diverso.

L'articolo 14 stabilisce che la revoca è disposta dall'organismo di certificazione che ha rilasciato il certificato e comunicata all'autorità nazionale di certificazione della cibersicurezza e all'ENISA.

La sospensione è disciplinata dall'articolo 30:

• durata ordinaria massima: 42 giorni;
• possibile proroga motivata fino a un anno;
• non incide sulla validità formale del certificato, ma limita la promozione e l'uso commerciale del prodotto durante il periodo di sospensione.

Certificazione dei profili di protezione

Il capo III regola la certificazione dei profili di protezione, che sono strumenti di sicurezza applicabili a categorie di prodotti TIC e non a singoli prodotti. L'articolo 15 richiede una valutazione basata su criteri analoghi a quelli previsti per i prodotti TIC, ma con riferimento alla categoria di prodotti contemplata dal profilo.

Gli articoli 16-20 disciplinano:

• le informazioni necessarie per la certificazione;
• il rilascio del certificato;
• la durata del certificato, che può arrivare al termine del ciclo di vita del profilo;
• il riesame;
• la revoca.

I profili di protezione possono essere certificati solo da autorità pubbliche o, previa approvazione dell'autorità nazionale, da organismi di certificazione. Per i profili adottati come documenti sullo stato dell'arte e quelli avanzati dell'allegato II, il ruolo di riferimento è particolarmente rilevante.

Requisiti degli organismi di certificazione e delle ITSEF

Gli articoli 21 e 22 introducono requisiti aggiuntivi per gli organismi di certificazione e le ITSEF che operano sul livello di affidabilità elevato. È richiesto non solo l'accreditamento, ma anche un'autorizzazione nazionale, con verifica di:

• competenze tecniche specifiche;
• capacità di trattare informazioni riservate;
• capacità di valutare attacchi avanzati e resistenza del prodotto.

Per le ITSEF, il regolamento richiede anche il possesso delle competenze specifiche per i settori tecnici rilevanti e l'adozione di misure organizzative e tecniche adeguate. Le decisioni di autorizzazione sono soggette a relazione e valutazione inter pares.

Gli articoli 23 e 24 prevedono la notifica alla Commissione e all'ENISA degli organismi di certificazione e delle ITSEF competenti, con aggiornamento tempestivo in caso di mutamenti dell'accreditamento o dell'autorizzazione.

Monitoraggio, non conformità e misure correttive

Il capo V attribuisce un ruolo centrale al monitoraggio. L'articolo 25 obbliga l'autorità nazionale di certificazione della cibersicurezza a controllare il rispetto, da parte di organismi di certificazione, ITSEF e titolari, degli obblighi EUCC e del regolamento (UE) 2019/881, nonché la persistenza del livello di affidabilità rispetto all'evoluzione delle minacce.

Il controllo si basa su fonti informative eterogenee e su un campionamento annuo di almeno il 4% dei certificati EUCC, effettuato sulla base del rischio.

L'articolo 26 prevede monitoraggio anche da parte dell'organismo di certificazione; l'articolo 27 impone al titolare di monitorare vulnerabilità e livello di affidabilità e di cooperare con gli altri soggetti del sistema.

In caso di non conformità del prodotto o del profilo di protezione, gli articoli 28 e 29 prevedono:

• contestazione al titolare e richiesta di misure correttive;
• termine massimo di 30 giorni per proporre la misura correttiva;
• possibile sospensione o revoca in caso di mancata collaborazione o di violazioni continuate o ricorrenti.

L'articolo 31 disciplina gli effetti della non compliance dell'organismo di certificazione o dell'ITSEF, imponendo all'autorità nazionale di identificare i certificati potenzialmente colpiti, valutare gli impatti e, se del caso, attivare ulteriori misure fino alla possibile incidenza sull'autorizzazione.

Gestione e divulgazione delle vulnerabilità

Il capo VI riguarda i prodotti TIC certificati. Gli articoli 33-36 impongono al titolare di:

• istituire e mantenere procedure di gestione delle vulnerabilità;
• pubblicare metodi di ricezione delle segnalazioni esterne;
• registrare le potenziali vulnerabilità ed effettuarne l'analisi di impatto;
• informare i titolari di certificati dipendenti, in caso di prodotto composito;
• trasmettere all'organismo di certificazione le informazioni rilevanti su richiesta.

Se l'analisi dimostra che la vulnerabilità incide sulla conformità del prodotto, il titolare deve predisporre una relazione di impatto. Se la vulnerabilità è non residua e risolvibile, il certificato può essere riesaminato; se non è risolvibile, il certificato è revocato.

Gli articoli 37 e 38 disciplinano lo scambio di informazioni tra autorità nazionali e con l'ENISA, mentre l'articolo 39 impone, in caso di revoca, la divulgazione e registrazione delle vulnerabilità pubblicamente note e risolte nella banca dati europea delle vulnerabilità o in altri archivi online pertinenti.

Conservazione, pubblicità e protezione delle informazioni

Gli articoli 40 e 41 impongono la conservazione sicura della documentazione da parte di organismi di certificazione, ITSEF e titolari per il periodo necessario e comunque per almeno cinque anni dopo la revoca del certificato. Il titolare deve inoltre rendere disponibili, su richiesta, i registri e le copie del prodotto certificato.

L'articolo 42 attribuisce all'ENISA un ruolo di pubblicazione e trasparenza: certificati, stato dei certificati, relazioni di certificazione, elenchi degli organismi accreditati/autorizzati, documenti sullo stato dell'arte e relazioni di valutazione inter pares. L'articolo 43 impone a tutti i soggetti coinvolti la protezione di segreti commerciali, informazioni riservate e proprietà intellettuale.

Rapporti con paesi terzi e valutazioni inter pares

L'articolo 44 disciplina gli accordi di reciproco riconoscimento con i paesi terzi. Tali accordi sono condizionati alla presenza di autorità indipendenti, accreditamento equivalente, gestione efficace delle vulnerabilità e cooperazione con l'architettura UE; per il livello "elevato" sono richiesti ulteriori requisiti di equivalenza istituzionale e un meccanismo congiunto analogo alla valutazione inter pares.

Gli articoli 45-47 prevedono valutazioni inter pares periodiche, almeno ogni cinque anni, per gli organismi che rilasciano certificati al livello "elevato". La valutazione si articola in fasi preparatoria, in loco e di relazione; l'ENISA pubblica i pareri e i documenti pertinenti, previa rimozione delle informazioni sensibili.

Mantenimento del sistema e soppressione dei sistemi nazionali

L'articolo 48 affida alla Commissione la facoltà di chiedere all'ECCG pareri per mantenere e aggiornare il sistema EUCC e i relativi documenti sullo stato dell'arte. L'articolo 49 stabilisce che, per i prodotti e processi TIC coperti dall'EUCC, i sistemi nazionali cessano di produrre effetti 12 mesi dopo l'entrata in vigore del regolamento, con una disciplina transitoria per le procedure già avviate.

Entrata in vigore e applicazione

L'articolo 50 prevede l'entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. Il regolamento si applica dal 27 febbraio 2025; il capo IV e l'allegato V si applicano invece dalla data di entrata in vigore. Il testo è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.