¿Qué es la certificación EUCC?
EUCC es el nuevo sistema basado en Common Criteria establecido en virtud del Reglamento de Ejecución (UE) 2024/482 de la Comisión Europea. Todos los productos TIC pueden certificarse utilizando las normas del nuevo esquema de certificación.
Applus+ Laboratories, con más de 20 años de experiencia en evaluaciones de Common Criteria y Ciberseguridad, puede actuar como Laboratorio de Evaluación (ITSEF)* para proveedores y fabricantes de productos TIC que demuestren la conformidad de sus productos con los niveles de garantía "sustancial" o "alto" del esquema EUCC. Esto no sólo facilita el acceso al mercado interior de la UE, sino que también refuerza la confianza de los consumidores en la seguridad de los productos TIC.
Ventajas de la certificación EUCC
Las ventajas de la certificación EUCC son:
- Confianza: La certificación EUCC actúa como certificado de calidad y seguridad que refuerza la confianza de usuarios y clientes en los productos TIC.
- Cumplimiento normativo: Facilita el cumplimiento por parte de los productos TIC de las normativas y estándares de ciberseguridad de la UE, esenciales para operar en el mercado europeo.
- Competitividad en el mercado: Los productos certificados bajo el esquema EUCC destacan en el mercado, ofreciendo una importante ventaja competitiva.
- Reducción de riesgos: La evaluación y la certificación ayudan a identificar y mitigar los riesgos de seguridad, protegiendo tanto a los proveedores como a los usuarios finales de posibles ciberamenazas.
Ámbito de evaluación de la EUCC: Productos y niveles de garantía
El esquema EUCC es aplicable a un amplio espectro de productos TIC o Perfiles de Protección destinados al Mercado Interior de la Unión Europea. Estos productos TIC deben cumplir esencialmente los niveles de garantía "sustancial" o "alto" especificados en el esquema EUCC por la Cybersecurity Act (CSA) incorporando esencialmente requisitos de seguridad extraídos de la Parte 2 de Common Criteria.
Algunos ejemplos de productos TIC
- dispositivos de red como puntos de acceso, cortafuegos, equilibradores de carga, etc,
- sistemas operativos y aplicaciones como Linux, aplicaciones móviles, etc.,
- cajas de seguridad de hardware, como puntos de interacción (de pago) y terminales de pago, tacógrafos digitales, etc,
- tarjetas inteligentes y dispositivos similares, como documentos de viaje legibles por máquina, identificación, elementos seguros, plataformas javacard/multos, etc.
Cómo obtener la certificación EUCC
Si deseas iniciar un proceso de evaluación, ten en cuenta los siguientes puntos:
- Elige el nivel de garantía para su producto en función de sus expectativas de seguridad del producto.
- Redacta su Objetivo de Seguridad basándose en un perfil de protección (Anexo II), si existe.
- Si el nivel de garantía es alto, ten en cuenta los últimos documentos sobre el estado de la técnica relacionados con los documentos de los ámbitos técnicos.
- Prepara la documentación técnica que se va a evaluar (artículo 7).
Preparar la información relacionada con el proceso de supervisión y tratamiento de vulnerabilidades y la gestión de parches. (Artículo 27 y Anexo IV.3).
Establecer sus procedimientos sobre las medidas correctoras de las no conformidades (artículo 29).
Implica a su ITSEF y CB e inicia el Proceso de Certificación. Applus+ Laboratories puede ayudarte, ¡Contáctanos!
Aquí puedes encontrar el proceso de evaluación:
¿Está acreditado y autorizado Applus+ Laboratories para realizar evaluaciones EUCC?
Applus+ Laboratories es un ITSEF acreditado para evaluaciones EUCC de los niveles de CSA Substancial (AVA_VAN.1 y AVA_VAN.2) y Alto (a partir de AVA_VAN.3). Applus+ Laboratories está en proceso de ser autorizado.
Applus+ Laboratories realiza con éxito evaluaciones de Common Criteria bajo los esquemas Nacionales de Common Criteria vigentes y SOGI-S, y puede ofrecerle los mejores servicios de evaluación gracias a su amplia y reconocida experiencia en el campo de Common Criteria, ofreciendo:
- Evaluaciones basadas en EAL.
- Evaluaciones basadas en PP.
- Dominios técnicos (para altas garantías).
Fechas clave y directrices para la implementación de EUCC
El esquema EUCC entró oficialmente en vigor el 27 de febrero de 2024, con un plazo para finalizar proyectos bajo los Esquemas Nacionales de Common Criteria fijado para el 27 de febrero de 2026. Actualmente, el EUCC opera como un esquema voluntario, dejando a los fabricantes—o en respuesta a los requisitos finales del cliente—la decisión de someterse a una evaluación de seguridad bajo los Common Criteria (ahora EUCC).
Sin embargo, regulaciones como el Cyber Resilience Act (CRA) podrían imponer el cumplimiento obligatorio con el EUCC para ciertos productos. Aunque aún es posible realizar evaluaciones bajo los Esquemas Nacionales, estas deben completarse antes de febrero de 2026, aunque este enfoque no se recomienda debido al riesgo de no cumplir con el plazo.
