Certificação de alta garantia para produtos de cibersegurança na Europa entrou em uma nova era com a adoção do esquema de certificação de cibersegurança baseado em Critérios Comuns Europeus (EUCC). Formalmente adotado pela Agência da União Europeia para a Cibersegurança (ENISA) no início de 2024, o EUCC baseia-se no comprovado quadro de avaliação SOG-IS Critérios Comuns já utilizado em 17 Estados-Membros da UE.

O esquema representa uma evolução significativa na abordagem da UE para conformidade em cibersegurança, formando parte de um esforço legislativo mais amplo que se alinha com a Diretiva NIS2 e o Ato de Resiliência Cibernética. Importante ressaltar que o EUCC introduz dois níveis distintos de garantia, baseados no nível de risco associado ao uso pretendido de produtos, serviços ou processos. Conforme destacado em nossa visão geral anterior dos níveis de garantia dos Critérios Comuns e metodologia, entender esses níveis é fundamental para navegar no processo de avaliação. Além disso, as certificações sob este novo quadro são válidas por até cinco anos, mas atualizações são necessárias quando ocorrem alterações no produto certificado. O Grupo de Certificação em Cibersegurança da Europa desempenhará um papel essencial na manutenção deste esquema, assegurando sua relevância e eficácia contínuas. Além disso, à medida que as organizações se preparam para navegar nesses novos requisitos, entender como o EUCC difere das abordagens tradicionais dos Critérios Comuns torna-se crucial para alcançar conformidade e melhorar a postura de segurança.

Compreensão do Shift: De CC tradicional para EUCC

A paisagem europeia da cibersegurança tem sido historicamente caracterizada pela fragmentação, com diferentes países a operarem os seus próprios sistemas e normas de certificação. Esta abordagem fragmentada criou desafios significativos tanto para os fabricantes como para os consumidores, que exigem um quadro mais unificado.

Por que EUCC foi introduzido

A Certificação de Segurança Virtual da União Europeia (EUCC) surgiu principalmente em resposta à escalada de ameaças à cibersegurança e às insuficiências de um cenário de certificação fragmentado na UE. Antes da CE-UE, vários países europeus operavam com os seus próprios sistemas de certificação de critérios comuns de avaliação da avaliação SOG-IS, criar barreiras para empresas que operam em vários países. O esquema foi concebido nos termos do Cybersecurity Act de 2019 para estabelecer um framework abrangente e unificado que melhora os padrões de cibersegurança cria um ambiente digital mais seguro e facilita o comércio em toda a União Europeia.

Limitações dos Critérios Comuns tradicionais

Historicamente, Critérios comuns (CC) foi projetado para um mundo "encolhedor" onde a segurança foi avaliada contra uma versão estática de um produto físico ou digital. À medida que a tecnologia se deslocou em direção à nuvem, várias "lacunas" estruturais no quadro tradicional do CC se tornaram evidentes. Aqui está porque existiam essas limitações e como o setor está tentando corrigi-las:

O "ponto-em-hora" vs. Gaste contínuo de entrega:

• CC: Avaliações são estáticas. Uma vez que um produto é certificado (por exemplo, EAL4), essa versão específica é segura. Se um fornecedor mudar o código, muitas vezes terá de passar por um processo de "Garantia Continuança" caro.

• Realidade SaaS: Serviços de nuvem e produtos SaaS usam CI/CD (Integração contínua/Deployance Contínua) pipelines, atualizando o código semanalmente ou mesmo diariamente. O CC tradicional não consegue acompanhar esta velocidade sem que o certificado se torne obsoleto imediatamente.

Desafios sistêmicos e de mercado

Além da incompatibilidade técnica com a nuvem, a estrutura tradicional enfrentou vários outros limites críticos:

• Padrões inconsistentes: Ela criou padrões de segurança inconsistentes entre os estados membros, apesar de usar metodologias semelhantes.

• Falta de Provisões Modernas: O quadro carecia de provisões para desafios emergentes como gestão de patches e divulgação de vulnerabilidades, que são essenciais para manter a segurança em tempo real.

• Fragmentação de mercado: Era necessário que os fabricantes navegassem por vários processos de certificação em diferentes mercados da UE, aumentando os encargos e custos administrativos.

• Mais-over, com o rápido crescimento da computação na nuvem e aumento da dependência desses serviços em infraestrutura crítica, o quadro tradicional tornou-se cada vez mais antiquado.

UComo o EUCC se alinha com o Cybersecurity Act

O EUCC representa o primeiro esquema de certificação desenvolvido sob o quadro de certificação do Ato de Cibersegurança. Harmoniza a certificação em toda a Europa, garantindo que todos os produtos e serviços de TIC cumpram um padrão de segurança unificado. Essencialmente, o esquema serve como veículo para transmitir requisitos do nível político da UE para a prestação de serviços industriais e ainda para usuários e organismos de avaliação de conformidade.

O esquema introduz dois níveis de garantia com base no nível de risco associado ao uso pretendido: "substancial" (cobrindo EAL1 a EAL3) e "alto" (cobrindo EAL4 a EAL7). Esta abordagem baseada no risco está perfeitamente de acordo com o objectivo do Cybersecurity Act de estabelecer níveis de garantia adequados para diferentes cenários. Ao implementar esta abordagem harmonizada, o EUCC elimina inconsistências anteriores, simplifica o ambiente regulamentar para os fabricantes e aumenta a confiança dos consumidores na segurança dos produtos das TIC.

Quebrando o Nível de Garantia

Nível de Garantia de Critérios Comuns

O quadro do EUCC estabelece uma estrutura clara de dois níveis para certificação de garantia que mapeia diretamente para as metodologias de avaliação de Critérios Comuns existentes, enquanto introduz distinções importantes na abordagem. Este mapeamento cria um caminho claro para fabricantes já familiarizados com os processos CC tradicionais.

UGarantia Substantial: Alcance 1 a EAL3

O nível substancial de garantia corresponde aos níveis de garantia de avaliação inferior (EAL1 a EAL3) e especificamente abrange os componentes de avaliação de vulnerabilidade AVA_VAN. e AVA_VAN.2. Neste nível, as avaliações se concentram na identificação de vulnerabilidade de segurança básica através de um exame e testes simples. Especificamente, a avaliação visa confirmar "a ausência de vulnerabilidades publicamente conhecidas" e verificar se as funcionalidades de segurança são corretamente implementadas. Este nível destina-se a minimizar os "riscos conhecidos de cibersegurança e o risco de incidentes e ataques virtuais realizados por atores com habilidades e recursos limitados".

UAlta Segurança: EAL4 a EAL7

Inversamente, o nível de garantia alto corresponde a EAL4 através de EAL7, exigindo avaliações de vulnerabilidades mais rigorosas classificadas como AVA_VAN. , A_VAN.4, ou AVA_VAN.5. Este nível exige metodologias de teste abrangentes para identificar possíveis vulnerabilidades e verificar a robustez de segurança do produto contra ataques cibernéticos de ponta realizados por atores com habilidades e recursos significativos. A certificação em AVA_VAN.4 e AVA_VAN.5 é reservada para cenários que requerem a mais alta garantia devido à natureza crítica dos produtos das TIC. As atividades de avaliação incluem a revisão da ausência de vulnerabilidades conhecidas, as funcionalidades de segurança testadas e a avaliação da resistência dos invasores qualificados por meio de testes de penetração.

Avaliação dinâmica baseada em risco sob o EUCC

Ao contrário da abordagem mais estática dos critérios comuns tradicionais, uma mudança que recentemente exploramos em nosso guia nao que você precisa saber sobre certificação de segurança em 2025, o EUCC enfatiza os actuais contextos de risco, suporte ao ciclo de vida (incluindo gerenciamento de patentes) e manutenção. Isto representa uma mentalidade de certificação mais moderna e flexível. O quadro permite aos fabricantes seleccionar níveis de avaliação adequados com base nos riscos específicos associados à utilização pretendida dos seus produtos. Esta abordagem está de acordo com o objectivo do Cybersecurity Act de estabelecer níveis de garantia adequados para diferentes cenários. Além disso, produtos certificados sob o EUCC no nível "substancial" ou superior qualificados para a presunção de conformidade com a Cyber Resilience Act (CRA).

O que realmente exige a Certificação de Alta Garantia

Embora a EUCC represente um passo importante no sentido da certificação harmonizada da cibersegurança na Europa, não resolve automaticamente todas as diferenças de segurança ou de garantia em todos os casos de uso.

As organizações que têm como alvo ambientes de alto risco ou altamente regulamentados podem, portanto, precisar avaliar se o EUCC sozinho oferece cobertura suficiente. Uma análise mais detalhada dessas lacunas e limitações está disponível aqui: O EUCC é suficiente? Abordando lacunas na certificação de cibersegurança europeia.

A obtenção de uma certificação de alta garantia ao abrigo da EUCC exige significativamente mais rigor do que as abordagens tradicionais de critérios comuns. As organizações devem preparar-se para um processo intensivo que vá além dos testes de segurança convencionais.

Advanced vulnerability analysis (AVA_VAN.3 to AVA_VAN.5)

A base da certificação de alta garantia está em uma avaliação abrangente de vulnerabilidade. AVA_VAN. introduz análise completa para identificar vulnerabilidades exploradas pelos atacantes com potencial de ataque moderado (habilidades e recursos significativos). Este nível corresponde à EAL4, o que representa um aumento substancial da profundidade da avaliação em comparação com os níveis básicos de garantia. Na EAL4, o foco é no "Projeto Médico", garantindo que o produto seja construído de acordo com padrões comerciais de alta qualidade.

Para AVA_VAN.4 e AVA_VAN.5 (correspondente a EAL5–EAL7), a metodologia de pontuação torna-se cada vez mais rigorosa, mudando o alvo para resistir ao potencial de ataque "Alto". Isto pressupõe um adversário com conhecimento especializado e recursos quase ilimitados. A análise avalia fatores, tais como:

• Decorreu o tempo necessário para identificar e explorar vulnerabilidades

• Experiência especialista necessária para a exploração

• Conhecimento do alvo da avaliação (TOE)

• Janela de oportunidade para exploração de vulnerabilidades

• Complexidade do equipamento necessário

Complementos de Chaves para EAL5:

• Modelo semi-formal de design: ao contrário da abordagem descritiva de EAL4, EAL5 requer notação semi-formal (como máquinas estaduais ou diagramas especializados). Isso elimina a ambiguidade, permitindo aos avaliadores rastrear matematicamente as funções de segurança diretamente para a implementação.

• Arquitetura Modular: EAL5 exige uma TSF modular (TOE Segurança Funcional). Isso garante que os componentes de segurança sejam isolados, impedindo que uma falha de uma característica menor comprometa todo o núcleo seguro.

• Acesso ao código fonte completo: Embora EAL4 se concentre frequentemente em módulos de segurança específicos, A EAL5 requer, normalmente, uma revisão mais exaustiva do código-fonte e da lógica de hardware para garantir que não existam "portas laterais" na infraestrutura de suporte.

Verificação formal e rigor de design

Na EAL6, os produtos devem demonstrar uma engenharia de segurança de alto nível com métodos de verificação formais, especificações semi formais e formais de concepção devem descrever exaustivamente as funções de segurança e as suas interações. Para EAL7, a verificação matemática de design e implementação é obrigatória, garantindo que as funções de segurança sejam especificadas e implementadas corretamente. A documentação de arquitetura de segurança (ARC) deve explicar a separação de domínios, os processos de inicialização e a proteção contra a manipulação. Particularmente para os mais altos níveis de garantia, são necessários modelos de segurança formais para verificar matematicamente as propriedades de segurança.

Segurança no ciclo de vida e gerenciamento de correções

A EUCC distingue entre o gerenciamento padrão de vulnerabilidades e casos de exploração ativa, definidos como evidência confiável de execução de código malicioso não autorizado. Nesses casos, os fabricantes são obrigados a informar o órgão de certificação sem atrasos indevidos e a priorizar a mitigação de riscos sobre a recertificação. O quadro sublinha que a correcção e a correcção da vulnerabilidade devem ter precedência, utilizando as abordagens de gestão das atualizações definidas no Anexo IV do EUCC. A tabela a seguir delineia os prazos máximos obrigatórios para a realização de uma análise de impacto em vulnerabilidade, com base no potencial de ataque e severidade:

Tabela: Orientação sobre o máximo de prazos para a análise de impacto em vulnerabilidade; CD=Calendário Dias

Fonte: Autoeditado com base em Diretrizes da ENISA EUCC sobre Gestão e Divulgação de Vulnerabilidades (v1.1).

Compreendendo os Prazos e Extensões

Os prazos indicados na tabela servem como limites máximos recomendados para garantir respostas atempadas a ameaças à segurança:

• Alta Gravidade: Os relatórios devem ser compartilhados assim que estiverem disponíveis, mesmo antes do limite de 60 ou 90 dias.

• Extensões: Intervalos marcados com um asterisco podem ser estendidos com aprovação NCCA. Um pedido deve ser apresentado 30 dias antes do prazo; se a NCCA não responder no prazo de 30 dias, considera-se que a extensão é aceite.

• Contrato Mútuo: Isso refere-se a uma linha do tempo acordada entre o CB e o detentor de certificados, tipicamente quando os cálculos em potencial de ataque estão na linha da fronteira. O máximo recomendado para tais acordos é de 180 dias.

• Resultados de Ataque Potencial: Se uma análise mostra uma vulnerabilidade está dentro dos limites do nível AVA_VAN certificado, novos testes de exploit são necessários. Se for além desses limites, a análise deverá continuar a ser registada e mantida durante um mínimo de cinco anos.

Acompanhando essas cronogramas estruturadas e avaliações de impacto rigorosas, incluindo C ISO/IEC 18045:2022 cálculos potenciais de ataque, as organizações garantem que os produtos seguros permanecem resistentes ao longo de toda a sua vida útil.

Preparando-se para EUCC: Etapas práticas para fabricantes

A certificação EUCC é um processo estruturado, em várias fases, concebido para proporcionar elevada segurança aos produtos TIC que operam em ambientes sensíveis ao risco. Do ponto de vista executivo, os resultados previsíveis dependem do escopo precoce, do planeamento realista e do alinhamento com organismos acreditados de avaliação e certificação.

• Ponto de Entrada Estratégica:

O processo começa com uma aplicação a um organismo de certificação acreditado pela EUCCC. Nesta fase, as organizações definem o âmbito de certificação, o nível de garantia alvo e as fronteiras de avaliação. O alinhamento antecipado neste momento reduz a incerteza mais tarde no processo.

• Leitura de Documentação:

A certificação EUCC é fundamentalmente baseada em documentação. A documentação técnica, arquitectónica, de segurança e do ciclo de vida deve demonstrar de forma clara e consistente como os objectivos de segurança são implementados e mantidos. A maturidade da documentação é o principal factor que influencia a previsibilidade e o esforço de avaliação. Um parceiro de consultoria pode ser uma boa escolha para colmatar o fosso entre a realidade da engenharia e as expectativas regulamentares, assegurar que as especificações técnicas internas sejam traduzidas em provas precisas e prontas de auditoria, necessárias para minimizar os riscos de avaliação e os atrasos.

• Alinhamento com Parceiros de Avaliação:

É necessário um laboratório de ensaio acreditado pela EUCCC (ITSEF) para realizar a avaliação de acordo com a metodologia CC2022. Muitas organizações dependem também de conhecimentos externos para apoiar actividades de preparação e assegurar uma interpretação correcta dos requisitos da EUCC e dos critérios comuns.

• UFaca dos Avaliadores:

A fase de avaliação consiste na revisão estruturada da documentação, testes funcionais e testes de penetração, proporcionais ao nível de garantia selecionado. Altos níveis de garantia requerem uma análise mais profunda de vulnerabilidade e podem incluir visitas do site para verificar o ciclo de vida e controles operacionais.

• Decisão de Certificação:

Após a conclusão da avaliação, o órgão de certificação analisa o relatório técnico de avaliação e emite a decisão final de certificação. Um resultado positivo resulta na emissão de um certificado EUCC, confirmando o cumprimento dos critérios comuns ao abrigo de um quadro europeu harmonizado.

• UPrevisão Linha do Tempo:

Embora as atividades de avaliação tipicamente levem de 6 a 8 meses, as organizações devem planejar por aproximadamente 12 meses, dependendo da complexidade do produto, do nível de garantia e da maturidade da preparação. Para uma panorâmica operacional detalhada das etapas de preparação e aplicação do EUCC, ver: Como se preparar e solicitar Certificação EUCC para o Seu Produto

Conclusão

A transição dos critérios comuns tradicionais para o esquema de certificação de cibersegurança da União Europeia marca um momento decisivo para a conformidade de cibersegurança em toda a Europa. Cenários de certificação anteriormente fragmentados agora convergem em um quadro unificado que aborda desafios de segurança contemporâneos, eliminando inconsistências transfronteiriças.

As organizações que procuram a certificação devem reconhecer que a EUCC exige significativamente mais do que a conformidade com a caixa de seleção. Certificação de alta garantia requer especialmente análises abrangentes de vulnerabilidade, métodos formais de verificação e processos robustos de gestão do ciclo de vida. As empresas devem, por conseguinte, avaliar cuidadosamente os seus perfis de risco dos produtos antes de determinar se a certificação de grande ou alta garantia está em conformidade com os seus objectivos de segurança e com as suas exigências de mercado.

Sem dúvida que os fabricantes enfrentam um caminho mais rigoroso para o cumprimento deste novo quadro. A ênfase do esquema na monitorização contínua e na reparação rápida de vulnerabilidades reflecte uma mudança fundamental para a segurança como um processo em curso, em vez de uma conquista estática. Esta abordagem reconhece a realidade de que as ameaças à segurança evoluem constantemente, exigindo assim uma evolução correspondente nas capacidades defensivas.

A preparação é o factor de sucesso decisivo para a certificação EUCC. A documentação Thorough, a colaboração estreita com instalações de avaliação credenciadas e procedimentos de gestão de vulnerabilidades estabelecidos determinarão a jornada de certificação de uma organização. Além disso, os fabricantes devem integrar considerações de segurança em todo o ciclo de vida do desenvolvimento, particularmente para os produtos visados pela EAL4 e acima.

Embora desafiador, a conformidade com a EUCC proporciona benefícios substanciais. Os produtos certificados sob este quadro desfrutam de presumível conformidade com a Cyber Resilience Act, simplificando os encargos regulamentares. Igualmente importante, esta abordagem harmonizada reforça a confiança dos consumidores, ao mesmo tempo que abre o acesso aos mercados em toda a União Europeia. Em última análise, A certificação EUCC não representa apenas um obstáculo regulatório, mas um investimento estratégico na segurança do produto e no posicionamento do mercado, pois a Europa fortalece a sua postura de cibersegurança para a era digital.

Como QIMA CCLab pode te apoiar

Na QIMA CCLab, fornecemos assistência profissional para guiar os fabricantes através do processo de Certificação de Segurança Virtual da União Europeia (EUCC). Como uma instituição de avaliação experiente, apoiamos nossos clientes oferecendo:

• Serviços de consulta: Orientação especializada para ajudá-lo a navegar pelas complexidades do novo framework EUCC e metodologias de Critérios Comuns.

• Suporte a Documentação: Assistência dedicada na preparação e revisão da documentação essencial necessária para a conformidade.

• Avaliações de Segurança: avaliações regionais e independentes dos recursos de segurança do seu produto para garantir que atendam a todos os padrões EUCC necessários, facilitando uma jornada de certificação mais suave.

PERGUNTAS FREQUENTES

O que é o EUCC? 

por escrito. - O Sistema de Certificação de Segurança Virtual da União Europeia (EUCC) é um sistema de certificação baseado em critérios comuns elaborado pela Agência Europeia para a Segurança Virtual (ENISA). Adoptado no quadro da Lei da Segurança Virtual da UE (CSA), harmoniza a avaliação e certificação dos produtos de tecnologia da informação e comunicação (TIC) em toda a Europa, substituir regimes nacionais anteriores para garantir padrões consistentes de cibersegurança em todos os Estados-Membros da UE.

Quais são os benefícios de obter a certificação EUCC para meu produto? 

Alcançar a certificação EUCC demonstra que seu produto TIC está de acordo com rigorosos padrões de cibersegurança, melhorando significativamente a sua credibilidade e comercialização. Facilita igualmente o acesso ao mercado europeu, eliminando a necessidade de múltiplas certificações nacionais, permitindo a livre circulação dos seus produtos certificados em todos os Estados-Membros.

Como a QIMA CCLab pode ajudar a alcançar a certificação EUCC? 

QIMA CCLab oferece serviços de consultoria profissional para guiá-lo através do processo de certificação EUCC. Nossa equipe oferece suporte abrangente na preparação da documentação necessária, realizando avaliações de segurança independentes, e garantir que seu produto atenda a todos os padrões necessários para facilitar uma jornada de certificação eficiente e bem-sucedida.