Nou Regulamentul 2462/08-dec-2025 de modificare a Regulamentului de punere în aplicare (UE) 2024/482 în ceea ce priveşte definiţiile, certificarea seriilor de produse TIC, continuitatea asigurării şi documentele ce reflectă stadiul actual al tehnologiei

Acte UE

Jurnalul Oficial seria L

Neintrat în vigoare

Versiune de la: 9 Decembrie 2025

Regulamentul 2462/08-dec-2025 de modificare a Regulamentului de punere în aplicare (UE) 2024/482 în ceea ce priveşte definiţiile, certificarea seriilor de produse TIC, continuitatea asigurării şi documentele ce reflectă stadiul actual al tehnologiei

Dată act: 8-dec-2025

Emitent: Comisia Europeana

(1)Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei (²) precizează rolurile, normele şi obligaţiile, precum şi structura sistemului european de certificare a securităţii cibernetice bazat pe criterii comune (EUCC) în conformitate cu cadrul european de certificare a securităţii cibernetice prevăzut în Regulamentul (UE) 2019/881.

(2)Metodologia comună de evaluare care însoţeşte criteriile comune (CC), un standard internaţional pentru evaluarea securităţii informaţiilor, permite evaluarea securităţii produselor TIC în scopul certificării. În acest context, unele produse TIC, denumite şi serii de produse, pot fi construite pe aceeaşi bază funcţională pentru a oferi funcţionalităţi de securitate similare pe platforme sau aparate diferite. Cu toate acestea, proiectarea, hardware-ul, firmware-ul sau software-ul pot varia de la un produs TIC la altul. Este de competenţa organismului de certificare să decidă, de la caz la caz, dacă este posibilă certificarea unei serii de produse. Condiţiile pentru certificarea seriilor de produse ar putea fi ilustrate mai în detaliu în orientările EUCC aferente.

(3)Pentru a menţine fiabilitatea produselor certificate, este esenţial să se definească ceea ce constituie o modificare majoră şi minoră a obiectivului evaluării sau a mediului său, inclusiv a mediilor sale operaţionale sau de dezvoltare. Prin urmare, este necesar să se specifice noţiunile respective, luând în considerare specificaţiile tehnice existente şi utilizate pe scară largă ale Grupul înalţilor funcţionari pentru securitatea sistemelor informatice (SOG-IS) şi ale participanţilor la Acordurile privind recunoaşterea certificatelor privind criteriile comune în domeniul securităţii informatice (CCRA).

(4)Modificările minore sunt adesea caracterizate de efectul lor limitat asupra declaraţiei de asigurare a produsului furnizate de certificatul EUCC emis. Astfel, modificările minore ar trebui gestionate în cadrul procedurilor de întreţinere şi nu necesită o reevaluare a funcţionalităţilor de securitate ale produsului. Printre exemplele de modificări minore care ar trebui abordate prin întreţinere se numără, fără a se limita la acestea, modificările de redactare, modificările aduse ţintei mediului de evaluare care nu modifică ţinta certificată a evaluării şi modificările aduse ţintei certificate de evaluare care nu afectează dovezile de asigurare. Modificările aduse mediului de dezvoltare pot fi, de asemenea, considerate minore, cu condiţia ca acestea să nu aibă niciun impact ulterior asupra măsurilor de asigurare existente. Cu toate acestea, în unele cazuri, acestea pot necesita o evaluare parţială a măsurilor relevante.

(5)O modificare majoră este orice modificare a obiectivului certificat de evaluare sau a mediului său care ar putea avea un impact negativ asupra asigurării exprimate în certificatul EUCC şi, prin urmare, ar trebui să necesite o reevaluare. Printre exemplele de modificări majore se numără, fără a se limita la acestea, modificările aduse setului de cerinţe de asigurare declarate, cu excepţia cerinţelor de asigurare ale familiei CC ALC_FLR (remedierea deficienţelor), modificările controalelor privind confidenţialitatea sau integritatea mediului de dezvoltare, în cazul în care astfel de modificări ar putea afecta dezvoltarea sau producerea în condiţii de siguranţă a ţintei de evaluare sau modificările ţintei de evaluare pentru a soluţiona o vulnerabilitate exploatabilă. În plus, o serie de modificări minore care exercită în mod colectiv un impact semnificativ asupra securităţii pot fi, de asemenea, calificate drept modificări majore. De asemenea, este important să se recunoască faptul că, deşi o soluţie greşită poate afecta doar un anumit aspect al obiectivului evaluării, imprevizibilitatea şi impactul potenţial asupra asigurării pot face ca aceasta să fie o modificare majoră în cazul în care compromite asigurările securităţii oferite de certificare.

(6)Evoluţiile ameninţărilor din mediul unui produs TIC certificat nemodificat ar putea necesita o reevaluare. Ar trebui să fie clar stabilite rezultatele posibile ale unui astfel de proces de reevaluare, în special impactul său asupra certificatului EUCC. În cazul în care o reevaluare este finalizată cu succes, organismul de certificare ar trebui să confirme certificatul sau să elibereze un nou certificat cu o dată de expirare prelungită. În cazul în care un proces de reevaluare nu este finalizat cu succes, organismul de certificare ar trebui să retragă certificatul şi, eventual, să elibereze un nou certificat cu un domeniu diferit de aplicare. Aceste dispoziţii ar trebui să se aplice mutatis mutandis reevaluării profilurilor de protecţie.

(7)Anexa I la Regulamentul de punere în aplicare (UE) 2024/482 enumeră documentele aplicabile ce reflectă stadiul actual al tehnologiei pentru evaluarea produselor TIC şi a profilurilor de protecţie. Aceste documente ce reflectă stadiul actual al tehnologiei ar trebui actualizate pentru a reflecta cele mai recente evoluţii, cum ar fi cele legate de evoluţiile tehnologice, de peisajul ameninţărilor cibernetice, de practicile industriale sau de standardele internaţionale. O astfel de actualizare este oportună pentru documentele ce reflectă stadiul actual al tehnologiei referitoare la cerinţele minime de securitate a site-ului, aplicarea potenţialelor de atac la cardurile inteligente, aplicarea potenţialelor de atac asupra dispozitivelor hardware cu casete de securitate, aplicarea unor criterii comune pentru circuitele integrate şi evaluarea produselor compozite pentru cardurile inteligente şi dispozitivele similare. În plus, nu sunt incluse documentele ce reflectă stadiul actual al tehnologiei referitoare la evaluarea şi certificarea produselor compozite care utilizează cea mai recentă versiune a standardelor bazate pe criteriile comune, reutilizarea rezultatelor evaluării auditurilor la faţa locului şi clarificări cu privire la interpretarea profilurilor de protecţie referitoare la dispozitivele de creare a semnăturilor electronice calificate, tahografe şi modulele de securitate hardware. Pentru a asigura o evaluare uniformă a produselor TIC în cadrul EUCC, anexa I ar trebui modificată pentru a include aceste noi documente ce reflectă stadiul actual al tehnologiei, în urma aprobării lor de către Grupul european pentru certificarea securităţii cibernetice (ECCG).

(8)În plus, documentul ce reflectă stadiul actual al tehnologiei intitulat "ADV_SPM.1 interpretation for CC:2022 transition" ar trebui adăugat la sistem pentru a se asigura că procesele de certificare care se bazează pe profiluri de protecţie specifice pot continua să utilizeze modelarea formală (ADV_SPM.1) până la actualizarea profilurilor de protecţie corespunzătoare, de exemplu prin adăugarea unei configuraţii conforme a profilului de protecţie multiasigurare CC: 2022 care sprijină ADV_SPM.1. Pentru a oferi pieţei suficient timp pentru a trece la standardele actualizate bazate pe criteriile comune, trebuie prevăzute norme de tranziţie specifice pentru profilurile de protecţie Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, Java Card System - Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, sau Java Card System - Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020. Pentru a evita orice perturbare a pieţei, este oportun să se stabilească faptul că documentul ce reflectă stadiul actual al tehnologiei privind interpretarea "ADV_SPM.1 interpretation for CC: 2022 transition" se aplică proceselor de certificare care au fost iniţiate înainte de adoptarea prezentului regulament. Cu toate acestea, aplicarea acestui document ar trebui să fie strict limitată la ceea ce este necesar, având în vedere timpul necesar pentru finalizarea actualizării profilurilor de protecţie corespunzătoare. Mai precis, pentru procesele de certificare care utilizează profilurile de protecţie Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, sau Java Card System - Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, documentul ce reflectă stadiul actual al tehnologiei ar trebui să se aplice proceselor care au fost iniţiate înainte de 1 octombrie 2026. Pentru procesele de certificare care utilizează profilul de protecţie Java Card System - Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, documentul ce reflectă stadiul actual al tehnologiei ar trebui să se aplice numai proceselor iniţiate înainte de data intrării în vigoare a prezentului regulament, având în vedere că este deja disponibilă o nouă versiune a profilului de protecţie Java Card System - Open Configuration.

(9)O modificare a documentelor ce reflectă stadiul actual al tehnologiei în cursul unui proces de certificare ar putea perturba evaluarea produsului şi ar putea întârzia eliberarea certificatului. Prin urmare, sunt necesare norme de tranziţie adecvate pentru documentele noi sau actualizate ce reflectă stadiul actual al tehnologiei, pentru a permite vânzătorilor, ITSEF, organismelor de certificare şi altor părţi interesate să efectueze ajustările necesare. Documentele noi şi actualizate ce reflectă stadiul actual al tehnologiei aplicabile ar trebui să vizeze cererile de certificare, inclusiv cererile de reevaluare şi reevaluare, în timp ce procesele de certificare în curs ar trebui să poată utiliza în continuare versiuni anterioare ale documentelor ce reflectă stadiul actual al tehnologiei.

(10)Anexele II şi III la Regulamentul de punere în aplicare (UE) 2024/482 enumeră profilurile de protecţie certificate la nivelul AVA_VAN 4 sau 5 şi, respectiv, profilurile de protecţie recomandate. Mai multe referinţe sunt incomplete sau caduce, din cauza unei actualizări a profilurilor de protecţie. Aceste referinţe ar trebui completate şi, în plus, ar trebui incluse noi referinţe pentru a asigura o acoperire mai cuprinzătoare a circuitelor integrate securizate, a cardurilor inteligente şi a dispozitivelor conexe, precum şi a sistemelor informatice de încredere.

(13)În plus, organismele de certificare ar trebui să furnizeze ENISA o versiune în limba engleză a obiectivului de securitate şi a raportului de certificare pentru a permite agenţiei să pună la dispoziţie informaţiile respective în limba engleză pe site-ul corespunzător, în temeiul articolului 42 alineatul (2) din Regulamentul de punere în aplicare (UE) 2024/482. Din acest motiv, solicitanţii de certificare ar trebui să furnizeze organismelor de certificare o versiune în limba engleză a obiectivului de securitate, ori de câte ori li se solicită acest lucru.

(14)Nu este necesar ca trimiterea la denumirea organismului de certificare să apară în identificarea unică a certificatului, deoarece numărul de identificare al organismului de certificare este suficient pentru a identifica acest organism într-un mod unic. Nici luna eliberării nu trebuie să apară, deoarece numărarea certificatelor se face anual. Prin urmare, această cerinţă ar trebui eliminată, din motive de simplificare. Întrucât anul eliberării certificatului corespunde eliberării primului certificat, aceeaşi dată ar trebui să figureze în identificarea unică de pe certificatele eliberate după o revizuire, pentru a se asigura trasabilitatea.

Art. 1

5.la articolul 19, alineatul (1) se înlocuieşte cu următorul text:

6.articolul 42 se modifică după cum urmează:

ANEXA I:

ANEXA II:

ANEXA III:

ANEXA IV:

1.la punctul IV.2, subpunctul 4 se înlocuieşte cu următorul text:

"4. Organismul de certificare examinează raportul tehnic de evaluare actualizat şi întocmeşte un raport de reevaluare. Statutul certificatului iniţial se modifică apoi în conformitate cu articolul 13 sau cu articolul 19. În cazul în care procesul de reevaluare este realizat cu succes, articolul 13 alineatul (2) literele (a) sau (c) se aplică în cazul certificării unui produs, iar articolul 19 alineatul (2) litera (a) sau (c) se aplică în cazul certificării unui profil de protecţie. În cazul în care procesul de reevaluare nu este realizat cu succes, articolul 13 alineatul (2) literele (b) sau (d) se aplică în cazul certificării unui produs, iar articolul 19 alineatul (2) litera (b) sau (d) se aplică în cazul certificării unui profil de protecţie."

2.punctul IV.3 se modifică după cum urmează:

(b)punctele 4 şi 5 se înlocuiesc cu următorul text:

(c)se inserează următorul punct 5a:

"5^a. În cazul oricăror modificări ale măsurilor de asigurare în mediul de dezvoltare, inclusiv adăugarea unor cerinţe de asigurare ale familiei CC ALC_FLR (remedierea deficienţelor), organismul de certificare poate solicita ITSEF să efectueze o evaluare a unui subansamblu al măsurilor de asigurare afectate. ITSEF emite un raport tehnic de evaluare parţială, pe baza căruia organismul de certificare confirmă că modificările sunt minore sau majore. În cazul în care modificările au fost confirmate de organismul de certificare ca fiind minore, se aplică anexa IV.3 punctul 5. În cazul în care modificările au fost confirmate de organismul de certificare ca fiind majore, se aplică anexa IV.3 punctul 7."

ANEXA V:

Raportul de certificare conţine cel puţin următoarele informaţii:

(a) rezumatul;

(b) identificarea produsului TIC;

(d) politici de securitate;

(e) ipotezele şi clarificarea sferei de aplicare;

(f) informaţii privind arhitectura informatică;

(g) informaţii suplimentare în materie de securitate cibernetică, dacă este cazul;

(h) rezumatul evaluării produselor TIC şi configuraţia evaluată;

(i) rezultatele evaluării şi informaţii privind certificatul;

(j) observaţii şi recomandări, dacă este cazul;

(k) anexe, dacă este cazul;

(l) o trimitere la obiectivul de securitate al produsului TIC supus certificării;

(m) atunci când este disponibilă, marca sau eticheta asociată sistemului;

(n) glosarul, dacă este cazul;

(o) bibliografia.

Rezumatul menţionat la punctul 3 litera (a) este un rezumat succint al întregului raport de certificare. Acesta oferă o imagine de ansamblu clară şi concisă a rezultatelor evaluării şi include următoarele informaţii:

(a) denumirea produsului TIC evaluat;

(b) denumirea ITSEF care a efectuat evaluarea;

(d) data eliberării certificatului;

(e) dacă este cazul, data eliberării certificatului iniţial;

(f) perioada de valabilitate;

(g) identificarea unică a certificatului, astfel cum se descrie la articolul 11;

(h) scurtă descriere a rezultatelor raportului de certificare, inclusiv:

(i) versiunea şi, dacă este cazul, ediţia criteriilor comune aplicate evaluării;

(ii) pachetul aferent asigurării sau lista componentelor asigurării securităţii din criteriile comune, inclusiv nivelul AVA_VAN aplicat în timpul evaluării şi nivelul de asigurare corespunzător, astfel cum se prevede la articolul 52 din Regulamentul (UE) 2019/881, la care se referă certificatul EUCC;

(iii) după caz, profilul (profilurile) de protecţie cu care produsul TIC declară conformitatea;

(iv) trimiterea la politica de securitate a produsului TIC evaluat;

(v) declaraţie (declaraţii) de declinare a responsabilităţii, dacă este cazul.

Secţiunea privind politica de securitate menţionată la punctul 3 litera (d) conţine descrierea politicii de securitate a produsului TIC ca ansamblu de servicii de securitate şi a politicilor sau normelor pe care produsul TIC evaluat trebuie să le aplice sau să le respecte. Aceasta trebuie să conţină următoarele informaţii:

(a) o descriere a procedurilor de gestionare a vulnerabilităţilor şi de divulgare a vulnerabilităţilor ale titularului certificatului, care trebuie completată exclusiv cu informaţii care pot fi făcute publice;

(b) politica de continuitate a asigurării a titularului certificatului, inclusiv, după caz, descrierea proceselor de gestionare a ciclului de viaţă sau de producţie ale titularului certificatului, în conformitate cu secţiunea IV.1 din anexa IV;

(c) dacă este cazul, prezenţa procedurii de gestionare a corecţiilor şi rezultatul evaluării sale în conformitate cu secţiunea IV.4 din anexa IV.

Ipotezele şi clarificarea domeniului de aplicare menţionate la punctul 3 litera (e) conţin informaţii privind circumstanţele şi obiectivele legate de utilizarea preconizată a produsului, astfel cum se menţionează la articolul 7 alineatul (1) litera (c), şi includ următoarele:

(a) ipoteze privind utilizarea şi implementarea produsului TIC sub forma unor cerinţe minime, cum ar fi cerinţele de instalare şi configurare corespunzătoare şi cerinţele de hardware care sunt îndeplinite;

(b) ipoteze privind mediul necesar pentru funcţionarea conformă a produsului TIC;

(c) descrierea oricăror ameninţări la adresa produsului TIC care nu sunt contracarate de funcţiile de securitate evaluate ale produsului în funcţie de utilizarea preconizată, dacă se consideră că sunt relevante pentru un potenţial utilizator al produsului TIC.

Informaţiile menţionate la primul paragraf trebuie să fie cât mai clare şi mai uşor de înţeles pentru, a permite potenţialilor utilizatori ai produsului TIC certificat să ia decizii în cunoştinţă de cauză cu privire la riscurile asociate utilizării acestuia.

11.

Evaluarea şi configuraţia produselor TIC menţionate la punctul 3 litera (h) descriu efortul de testare atât al dezvoltatorului, cât şi al evaluatorului, subliniind abordarea, configuraţia şi amploarea testării. Acestea includ cel puţin următoarele informaţii:

(a) o identificare a componentelor de asigurare utilizate în standardele menţionate la articolul 3;

(b) versiunea documentelor ce reflectă stadiul actual al tehnologiei şi criteriile suplimentare de evaluare a securităţii utilizate în evaluare;

(d) orice profil de protecţie care a fost utilizat, inclusiv următoarele informaţii: denumirea, versiunea, data şi certificatul profilului de protecţie.

18.

Secţiunea bibliografică menţionată la punctul 3 litera (o) include trimiteri la toate documentele utilizate pentru întocmirea raportului de certificare. Informaţiile respective includ cel puţin următoarele:

(a) criteriile de evaluare a securităţii, documentele ce reflectă stadiul actual al tehnologiei şi specificaţiile relevante suplimentare utilizate;

(b) raportul tehnic de evaluare;

(d) documentaţia tehnică de referinţă;

(e) orientări în materie de securitate ale dezvoltatorului;

(f) lista de configuraţie pentru dezvoltatori.

Pentru a garanta reproductibilitatea evaluării, toate documentele la care se face referire trebuie să fie identificate în mod unic cu ajutorul datei exacte a publicării şi al numărului exact al versiunii.