Was ist das European Cybersecurity Certification EUCC Scheme

Vereinheitlichte Zertifizierungen für ICT-Produkte und -Services im Umfeld der Cybersicherheit für ganz Europa.

Die EU möchte mit dem EUCC (European Cybersecurity Certification Scheme on Common Criteria) hauptsächlich das Problem der Fragmentierung in der Cybersicherheitszertifizierung innerhalb der Europäischen Union angehen. Vor der Einführung des EUCC gab es in den Mitgliedstaaten verschiedene nationale Zertifizierungsschemata, was zu einer Zersplitterung des Marktes führte und es für Unternehmen schwieriger machte, ihre Produkte und Dienstleistungen EU-weit anzubieten. Dieser fragmentierte Ansatz beeinträchtigte auch das Vertrauen der Verbraucher in die Sicherheit von ICT-Produkten und Dienstleistungen.

Durch die Einführung eines einheitlichen Zertifizierungsschemas, das auf EU-Ebene anerkannt wird, zielt das EUCC darauf ab, ein höheres Maß an Sicherheit für ICT-Produkte, Dienstleistungen und Prozesse im EU-Binnenmarkt zu gewährleisten. Das Schema ermöglicht es den Anbietern, den Nachweis der Sicherheit ihrer Produkte auf der Grundlage eines gemeinsamen Bewertungsprozesses zu erbringen, was wiederum das Vertrauen der Verbraucher und der Unternehmen in diese Produkte stärkt.

Zudem soll das EUCC die Wettbewerbsfähigkeit europäischer Unternehmen verbessern, indem es ihnen ermöglicht, ihre Produkte und Dienstleistungen auf der Grundlage eines EU-weit anerkannten Sicherheitsniveaus zu vermarkten. Dies fördert nicht nur das Vertrauen in die digitale Wirtschaft der EU, sondern unterstützt auch das Ziel der EU, einen einheitlichen digitalen Markt zu schaffen, der durch ein hohes Maß an Cybersicherheit gekennzeichnet ist

In diesem Artikel werden folgende Schwerpunkte zum EUCC behandelt:

Was ist das EUCC?

Das EUCC ist ein von der Europäischen Agentur für Cybersicherheit (ENISA) entwickeltes, freiwilliges Überprüfungsmodell, das darauf abzielt, die Qualität und Sicherheit von Informations- und Kommunikationstechnologie (ICT)-Produkten auf EU-Ebene zu gewährleisten. Das EUCC basiert auf dem „Common Criteria“ Schema. Unterstützt wird die Initiative von einer speziell für diesen Zweck eingerichteten Arbeitsgruppe sowie von nationalen Behörden, die in den EU-Mitgliedstaaten für die Zertifizierung von Cybersecurity verantwortlich sind.

Die Common Criteria ist eine etablierte Sammlung von Richtlinien und Standards zur Evaluierung und Zertifizierung der Sicherheit von IT-Produkten und IT-Systemen.

Zusammenfassung: Das bedeutet, dass das EUCC daher derzeit ein freiwilliges Gütesiegel der EU darstellt, welches zeigt, dass IT-Produkte in einem bestimmten Rahmen sicher sind. Es basiert auf bestehenden Sicherheitsstandards und wird von der ENISA und nationalen Behörden unterstützt.

Hintergrund und Entwicklung

Die Anfänge der Common Criteria

Die Wurzeln der Common Criteria reichen bis in die 1980er Jahre zurück. Damals erkannten verschiedene Länder und Organisationen die Notwendigkeit eines standardisierten Ansatzes zur Bewertung der Sicherheit von IT-Produkten. Die bisherigen Standards, wie das kanadische CTCPEC, das europäische ITSEC und das amerikanische TCSEC, wurden miteinander verglichen, um eine gemeinsame Grundlage für Sicherheitsbewertungen zu schaffen.

Entwicklung und Veröffentlichung

Im Juni 1993 begann das Common Criteria Editorial Board (CCEB) mit der Ausarbeitung der Common Criteria. Mitglieder aus Kanada, Frankreich, Deutschland, Großbritannien und den USA arbeiteten zusammen, um die Standards zu harmonisieren.
Die erste Version der Common Criteria (Version 1.0) wurde im Januar 1996 veröffentlicht.
Version 2.0 folgte im Mai 1998 nach einer langen Revisionsphase durch das neu gegründete CC Implementation Board (CCIB). Auch die Niederlande waren nun Projektsponsor.
Die ISO/IEC 15408 wurde im Dezember 1999 verabschiedet und machte die Common Criteria zu einem weltweit anerkannten Standard.
Das Common Criteria Framework beruht auf einem Standard, welches sich in 7 Stufen, nämlich EAL 1-7 einteilen lässt.

EAL	Bedeutung
1	Das System wird funktional getestet
2	Das System wird strukturell getestet
3	Das System wird methodisch getestet und überprüft.
4	Das System wird methodisch entwickelt, getestet und geprüft
5	Das System wird semiformal entwickelt und getestet
6	Der Entwurf wird semiformal verifiziert und das System getestet
7	Der Entwurf wird formal verifiziert und das System getestet

Die verschiedenen Evaluation Assurance Levels

Das Common Criteria Framework ist unter der ISO 15408 standardisiert:

https://www.onlinesicherheit.gv.at/Themen/Experteninformation/Normen-und-Standards/ISO-IEC-15408.html

Bedarfsermittlung und Harmonisierung

Bevor das European Cybersecurity Certification Scheme (EUCC) eingeführt wurde, gab es in der EU keine einheitliche Regelung für die Cybersicherheitszertifizierung von Informations- und Kommunikationstechnologie (ICT)-Produkten. Dies führte zu einer Vielzahl von nationalen und regionalen Zertifizierungsschemata, was Unsicherheiten auf dem europäischen Markt schuf. Das EUCC zielte daher darauf ab, diese Lücke zu schließen und ein harmonisiertes Anerkennungssystem für das Sicherheitsniveau von ICT-Lösungen innerhalb der EU zu etablieren. Durch die Einführung des EUCC wurde ein Schritt in Richtung eines vereinheitlichten Marktes gemacht, der es ermöglicht, das Vertrauen in die Sicherheit von ICT-Produkten zu stärken und die Fragmentierung der Zertifizierungslandschaft zu überwinden.

Zusammenarbeit und Expertise durch die ENISA.

Die Europäische Agentur für Cybersicherheit (ENISA) spielte eine entscheidende Rolle bei der Entwicklung des European Cybersecurity Certification Scheme (EUCC). ENISA koordinierte Arbeitsgruppen, bestehend aus Experten und Vertretern aus dem Cybersicherheitsökosystem sowie den zuständigen nationalen Behörden der EU-Mitgliedstaaten. Diese Gruppen arbeiteten gemeinsam daran, die Grundlagen für die ersten Zertifizierungsschemata unter dem EUCC zu schaffen. Ihr Ziel war es, einheitliche Standards für die Cybersicherheitszertifizierung von ICT-Produkten in der gesamten Europäischen Union zu etablieren, um die Sicherheit und das Vertrauen in digitale Lösungen zu stärken.

Kernmerkmale des EUCC.

Das European Cybersecurity Certification Scheme (EUCC) bringt im Vergleich zu anderen Zertifizierungsschemata bemerkenswerte Verbesserungen mit sich:

Überwachung und Compliance-Management:
- Das EUCC legt einen stärkeren Fokus auf kontinuierliche Überwachung zertifizierter Produkte.
- Transparenz und Offenheit werden gefördert, indem Informationen über Schwachstellen öffentlich zugänglich gemacht werden.
Verbesserte Kundenunterstützung:
- Unternehmen profitieren von besserem Kundensupport beim Zertifizierungsprozess. Das EUCC trägt zur Qualitätssicherung bei.
Bewährtes Common-Criteria-Evaluierungsframework:
- Das EUCC basiert auf etablierten Standards und nutzt das bewährte Common-Criteria-Evaluierungsframework.
- Dadurch bietet das EUCC unterschiedliche Sicherheitsstufen (Assurance Levels) basierend auf dem Risiko der Produktnutzung.
Insgesamt stärkt das EUCC die digitale Sicherheit in Europa und versucht damit die globale digitale Führungsposition der EU weiter auszubauen.

Bedeutung des EUCC und dessen Vorteile.

Das EUCC ermöglicht es IKT-Anbietern, die einen Nachweis der Sicherheit vorzeigen möchten, einen EU-weit verstandenen Bewertungsprozess zu durchlaufen, um IKT-Produkte wie technologische Komponenten (Chips, Smartcards), Hardware und Software zu zertifizieren.

Durch die Einführung des EUCC kann die Cybersicherheit in kritischen Infrastrukturen wesentlich gestärkt und die Umsetzung der NIS2-Richtlinie sowie des geplanten Resilience Act unterstützt werden. Es soll sichergestellt werden, dass zertifizierte ICT-Produkte, -Services und -Prozesse den Anforderungen an die Cybersicherheit entsprechen und die Verfügbarkeit, Integrität, Echtheit und Vertraulichkeit gespeicherter, übertragener und verarbeiteter Daten im gewünschten Umfang gegeben ist.

Das EU CC-Schema etabliert einen einheitlichen Rahmen für Cybersicherheitszertifizierungen in der EU und basiert auf den bewährten Verfahren der SOG-IS-Zertifizierungsvereinbarung. Es gewährleistet, dass zertifizierte ICT-Produkte, -Services und -Prozesse hohe Cybersicherheitsstandards erfüllen, und trägt somit zur Verfügbarkeit, Integrität, Echtheit und Vertraulichkeit der Daten bei. Dieses Schema verbessert die Marktposition für ICT-Produkte in der EU durch eine harmonisierte Zertifizierungsqualität und unterstützt Unternehmen bei der Erreichung hoher Assurance Level gemäß dem Cybersecurity Act.

Darüber hinaus genießt das Schema internationale Anerkennung und fördert die Interoperabilität und den Handel zwischen verschiedenen Märkten, was den Verkauf zertifizierter Produkte über Grenzen hinweg erleichtert. Die Förderung des EU CC-Schemas stärkt die Position der EU als Vorreiter in der Cybersicherheit und verbessert die Zusammenarbeit mit verschiedenen Stakeholdern und Regionen. Insgesamt unterstützt das EU CC-Schema sowohl die europäische IT-Sicherheit als auch den globalen Cybersecurity-Markt.

Das EU CC-Schema spielt eine zentrale Rolle sowohl auf dem europäischen als auch auf dem internationalen Markt, indem es eine standardisierte und verlässliche Grundlage für die Cybersicherheit von ICT-Produkten und -Dienstleistungen bietet.

Für den europäischen Markt bedeutet dies:

Einheitliche Standards: Durch die Schaffung eines einheitlichen Rahmens für Cybersicherheitszertifizierungen erleichtert das EU CC-Schema den Handel innerhalb der EU, da Produkte und Dienstleistungen, die in einem Mitgliedstaat zertifiziert sind, leichter in anderen akzeptiert werden.
Erhöhtes Vertrauen: Die Konsistenz und Zuverlässigkeit der Zertifizierung erhöht das Vertrauen von Verbrauchern und Unternehmen in die Sicherheit von ICT-Produkten und -Dienstleistungen, was die Nachfrage stärkt.
Wettbewerbsvorteil: Unternehmen, die ihre Produkte und Dienstleistungen nach den hohen Standards des EU CC-Schemas zertifizieren, können sich einen Wettbewerbsvorteil verschaffen, besonders gegenüber Anbietern aus Regionen ohne vergleichbare Sicherheitsstandards.

Auf dem internationalen Markt führt das EU CC Zertifizierungsschema zu:

Globaler Anerkennung: Die internationale Anerkennung des Schemas ermöglicht es europäischen Unternehmen, ihre Präsenz auf globalen Märkten zu erweitern. Produkte und Dienstleistungen, die nach dem EU CC-Schema zertifiziert sind, werden oft leichter in Märkten außerhalb der EU akzeptiert.
Förderung der Interoperabilität: Da das Schema auf den Common Criteria basiert, unterstützt es die weltweite Interoperabilität zwischen verschiedenen Cybersicherheitsstandards, erleichtert den internationalen Handel und trägt zu einer globalen Erhöhung der Cybersicherheitsstandards bei.
Stärkung der EU-Position: Die aktive Rolle der EU in der Förderung hoher Cybersicherheitsstandards unterstreicht ihre Führungsposition im Bereich der Cybersicherheit und fördert internationale Zusammenarbeit und Standards.

Zusammenfassend trägt das EU CC-Schema maßgeblich dazu bei, die Qualität und Sicherheit von ICT-Produkten und -Dienstleistungen in Europa zu harmonisieren und zu erhöhen, was den Binnenmarkt stärkt und europäischen Anbietern hilft, auf internationalen Märkten zu konkurrieren. Gleichzeitig fördert es globale Sicherheitsstandards und unterstützt die weltweite Akzeptanz europäischer Cybersicherheitslösungen.

Betroffene Branchen

Das EU CC-Schema ermöglicht die Zertifizierung einer breiten Palette von Informationstechnologieprodukten, um deren Sicherheit und Zuverlässigkeit zu gewährleisten. Im Fokus stehen dabei unter anderem Softwareprodukte und Kryptomodule, die jeweils für die Cybersicherheit von kritischer Bedeutung sind.

Software-Zertifizierung

Im Rahmen des EU CC-Schemas können verschiedene Arten von Software einer gründlichen Überprüfung und Zertifizierung unterzogen werden. Dazu gehören:

Betriebssysteme: Sie bilden die Grundlage für die Ausführung aller anderen Softwareanwendungen auf einem Computer oder einem anderen Gerät und sind daher entscheidend für die Gesamtsicherheit des Systems.
Anwendungssoftware: Dies umfasst Programme, die spezifische Aufgaben für den Benutzer erfüllen, wie Textverarbeitung, Tabellenkalkulationen, Datenbankmanagement und mehr. Ihre Sicherheit ist essentiell, um die Integrität und Vertraulichkeit der verarbeiteten Daten zu gewährleisten.
Sicherheitslösungen: Dazu zählen Softwareprodukte, die speziell für die Gewährleistung der Sicherheit von Informationssystemen entwickelt wurden, wie Virenscanner, Firewalls und Intrusion-Detection-Systeme.

Kryptomodule-Zertifizierung

Kryptomodule spielen eine entscheidende Rolle in der digitalen Sicherheitsinfrastruktur, indem sie die Grundlage für Verschlüsselung, digitale Signaturen und andere Sicherheitsmechanismen bieten. Ihre Zertifizierung umfasst:

Einsatz in Verschlüsselungssystemen: Sie schützen die Vertraulichkeit und Integrität von Daten durch Verschlüsselungsverfahren, die sicherstellen, dass Informationen nur von autorisierten Parteien eingesehen oder verändert werden können.
Digitale Signaturen: Kryptomodule ermöglichen die Erstellung digitaler Signaturen, die die Authentizität und Unverfälschtheit von elektronischen Dokumenten und Nachrichten gewährleisten.
Andere sicherheitskritische Bereiche: Sie finden auch in einer Vielzahl anderer sicherheitsrelevanter Anwendungen Verwendung, wie bei der Absicherung von Kommunikationskanälen und der Verwaltung digitaler Identitäten.

Die Zertifizierung von Software und Kryptomodulen nach dem EU CC-Schema bestätigt, dass diese Produkte strenge Sicherheitsstandards erfüllen und somit einen wichtigen Beitrag zur Sicherheit von Informationstechnologiesystemen leisten.

Diese Aufzählung ist mit Sicherheit nicht vollständig.

Herausforderungen und Kritik am EU CC-Schema.

Das EU CC-Schema, als ein umfassendes Zertifizierungssystem für die Cybersicherheit von ICT-Produkten, bringt verschiedene Herausforderungen und Kritikpunkte mit sich, die sich vor allem auf die Komplexität der Implementierung, Bürokratie, Flexibilität, internationale Anerkennung und Kosten beziehen.

Komplexität und Umsetzung

Technische und organisatorische Herausforderungen: Die Implementierung des EU CC-Schemas erfordert von Unternehmen, ihre Produkte und Prozesse an die neuen Sicherheitsanforderungen anzupassen. Diese Anpassung bedeutet oft einen erheblichen Aufwand an Zeit und Ressourcen sowohl in technischer als auch in organisatorischer Hinsicht.
Koordination zwischen Stakeholdern: Die erfolgreiche Umsetzung des Schemas erfordert eine enge Koordination zwischen Herstellern, Prüfstellen, und regulierenden Behörden, was die Komplexität des Prozesses weiter erhöht.

Bürokratische Hürden

Langwierige Zertifizierungsprozesse: Kritiker bemängeln oft die Länge und Bürokratie der Zertifizierungsprozesse, die den Innovationsprozess hemmen und Unternehmen belasten können, insbesondere durch die Notwendigkeit, umfangreiche Dokumentationen zu erstellen und einzuhalten.

Mangelnde Flexibilität

Einheitsgröße für alle: Das Schema könnte als zu starr wahrgenommen werden, da es möglicherweise nicht die spezifischen Bedürfnisse und Anforderungen aller Branchen oder Unternehmen berücksichtigt. Diese wahrgenommene Inflexibilität könnte die Agilität und Anpassungsfähigkeit der Unternehmen einschränken.

Internationale Anerkennung und Harmonisierung

Globale Akzeptanz: Trotz seiner internationalen Anerkennung stehen Unternehmen vor der Herausforderung, das EU CC-Schema mit anderen internationalen Standards und Zertifizierungssystemen zu harmonisieren, was besonders für global agierende Unternehmen relevant ist.

Kosten

Finanzielle Belastung: Die Kosten für die Erlangung einer Zertifizierung nach dem EU CC-Schema können besonders für kleinere Unternehmen prohibitiv sein. Die Transparenz dieser Kosten und die Suche nach Wegen zu deren Reduktion sind entscheidend für die breite Akzeptanz und Implementierung des Schemas.

Die Einführung und Umsetzung des EU CC-Schemas ist ein wichtiger Schritt zur Gewährleistung der Cybersicherheit von ICT-Produkten in der EU. Allerdings erfordert sie eine sorgfältige Abwägung der oben genannten Herausforderungen und Kritikpunkte. Eine effektive Kommunikation zwischen allen Beteiligten, Flexibilität in der Anwendung des Schemas auf verschiedene Industriesektoren und eine klare Strategie zur Minimierung von Kosten und bürokratischen Hürden sind entscheidend für den Erfolg und die Akzeptanz des Schemas.

Zukünftige Perspektiven und Weiterentwicklungen des EUCC.

Das European Union Certification Scheme (EUCC) für Cybersicherheit steht an der Schwelle zu signifikanten Erweiterungen und Verbesserungen. Diese Entwicklungen zielen darauf ab, den Anwendungsbereich zu vergrößern, internationale Anerkennung zu fördern und die Agilität des Schemas zu verbessern, um den ständig wechselnden Bedrohungen und technologischen Fortschritten gerecht zu werden.

Erweiterung des Anwendungsbereichs

Integration neuer Sektoren: Das EUCC plant, seinen Anwendungsbereich auf kritische Infrastrukturen wie Energie, Verkehr und Gesundheitswesen sowie auf das Internet der Dinge (IoT) auszudehnen. Diese Erweiterung trägt der wachsenden Bedeutung dieser Bereiche für die gesellschaftliche und wirtschaftliche Stabilität Rechnung.
Zertifizierung von Dienstleistungen: Neben Produkten könnten auch Dienstleistungen in den Zertifizierungsbereich einbezogen werden, um ein umfassendes Sicherheitsnetz für die digitale Infrastruktur der EU zu gewährleisten.

Internationale Anerkennung und Kooperation

Globale Standards: Das Streben, das EUCC als global anerkannten Standard zu etablieren, steht im Vordergrund. Die Zusammenarbeit mit internationalen Organisationen, insbesondere der ISO, könnte die Akzeptanz und Harmonisierung weltweit vorantreiben.

Agilität und fortlaufende Aktualisierung

Anpassungsfähigkeit: Das Schema muss flexibel bleiben, um auf neue Sicherheitsbedrohungen und technologische Entwicklungen zeitnah reagieren zu können. Regelmäßige Überprüfungen und Updates des Rahmens sind entscheidend für seine langfristige Wirksamkeit und Relevanz.

Vertrauen und Transparenz

Stärkung des Verbrauchervertrauens: Ein zentrales Ziel des EUCC ist es, das Vertrauen der Verbraucher in digitale Produkte und Dienstleistungen zu erhöhen. Eine transparente Darstellung der Zertifizierungsprozesse und -ergebnisse ist hierfür unerlässlich.

Innovation und Zusammenarbeit

Förderung von Innovation: Das EUCC sollte Innovation nicht nur zulassen, sondern aktiv fördern. Die Einbindung von Start-ups und Forschungseinrichtungen kann innovative Cybersicherheitslösungen stimulieren und zur Entwicklung neuer Standards beitragen.

Bewusstseinsbildung und Schulung

Erhöhung der Cybersicherheitskompetenz: Das EUCC umfasst auch Initiativen zur Sensibilisierung und Schulung in Cybersicherheit, um sicherzustellen, dass Fachleute über das notwendige Wissen und die Fähigkeiten verfügen, um den Herausforderungen in diesem dynamischen Feld effektiv begegnen zu können.

Die zukünftigen Perspektiven und Weiterentwicklungen des EUCC deuten auf eine umfassende Strategie hin, die sowohl die Erweiterung des Anwendungsbereichs als auch die Förderung internationaler Anerkennung, Agilität, Vertrauen, Transparenz und Innovation umfasst. Durch diese Maßnahmen soll das EUCC nicht nur die Cybersicherheit in der EU und darüber hinaus stärken, sondern auch einen Rahmen bieten, der die technologische Entwicklung unterstützt und vorantreibt.

Abschluss und Ausblick auf das European Cybersecurity Certification Scheme (EUCC).

Das EUCC markiert einen bedeutenden Meilenstein innerhalb des Cybersecurity Act-Zertifizierungsrahmens der Europäischen Union. Als erstes seiner Art zielt es darauf ab, die Vertrauenswürdigkeit, Sicherheit und Qualität von ICT-Produkten, einschließlich Hardware, Software und diversen Komponenten, durch ein einheitliches Zertifizierungsschema zu gewährleisten. Dieses Schema ermöglicht es, dass die Sicherheitsstandards von ICT-Lösungen EU-weit anerkannt werden, was Herstellern und Dienstleistern den Zugang zu einem breiteren Markt erleichtert.

Die Teilnahme am EUCC-Schema ist grundsätzlich freiwillig, doch kann es unter bestimmten Umständen als Nachweis für die Einhaltung spezifischer Anforderungen dienen oder sogar durch andere Rechtsvorschriften erforderlich sein. Besonders relevant ist das Schema in Bereichen, die von entscheidender Bedeutung für die Cybersicherheit innerhalb der EU sind, wie die Richtlinie für ein hohes Maß an Cybersicherheit (NIS2), die sich vorrangig auf den Schutz kritischer Infrastrukturen konzentriert, und der vorgeschlagene Cyber Resilience Act (CRA), der die Cybersicherheit als ein Kriterium für die Vergabe des CE-Zeichens einführt. Des Weiteren findet es Anwendung in der eIDAS-Verordnung, insbesondere im Kontext der Wallet-Verordnung, welche die elektronische Identifikation und Vertrauensdienste für elektronische Transaktionen regelt.

Neben dem EUCC befinden sich weitere Schemata in der Entwicklung, darunter das European Certification Scheme for Cloud Services (EUCS) und das European Cybersecurity Certification Scheme for 5G (EU5G), die beide darauf abzielen, die Cybersicherheit in spezifischen technologischen Bereichen zu stärken.

Vor dem Hintergrund der bevorstehenden EU-Verordnung über künstliche Intelligenz evaluiert die Europäische Agentur für Netz- und Informationssicherheit (ENISA) zudem die Möglichkeit einer Einbeziehung von KI-Technologien in die Cybersicherheitszertifizierung. Diese Überlegungen unterstreichen das Bestreben der EU, die Sicherheit und Zuverlässigkeit digitaler Technologien kontinuierlich zu verbessern und an neue Herausforderungen und technologische Entwicklungen anzupassen.

Referenzen:

Hier finden sie weiterführende Referenzen zum European Cybersecurity Certification Scheme (EUCC):

ENISA’s Official Certification Site: https://certification.enisa.europa.eu
ENISA’s Announcement of the EUCC Adoption: https://www.enisa.europa.eu
EUR-Lex’s Implementing Regulation Document: https://eur-lex.europa.eu
Allen & Overy’s Discussion on EUCC Consultation: https://www.allenovery.com
Help Net Security’s Article on the First EU Cybersecurity Certification Scheme: https://www.helpnetsecurity.com/2021/06/01/eu-cybersecurity-certification-scheme/

Autor: INFORITAS Social Media Team // 2024-03-09

Was ist das European Cybersecurity Certification Scheme on Common Criteria (EUCC)?