L'Europe a établi des schémas de certification pour garantir que les règles de cybersécurité ont été prises en compte dans les produits et services ICT.
Avec la digitalisation de l'industrie et de l'économie, la cybsersécurité est devenue un enjeu majeur, notamment dans les environnements IoT. Aujourd'hui, coexistent dans l'UE différents systèmes de certification pour la sécurité pour les produits ICT. Mais, en l'absence d'un cadre commun dans toute l'Europe, ceci peut élever des barrières au marché unique européen.
Le Cybersecurity Act (EU2019/881, paru en juin 2019) définit les objectifs et tâches de l'ENISA, l'Agence européenne chargée de la sécurité des réseaux et de l'information, créée en 2004 et basée en Grèce.
Parmi ses missions, l'Agence est chargée de suivre l'élaboration des normes en matière de cybersécurité pour les produits et services.
Le Cybersecurity Act fixe des règles, des exigences techniques, des processus d'évaluation, des normes et donc tout un cadre de certification pour garantir la robustesse de produits, services et processus ICT et fournir à l'Europe un référentiel qui devrait harmoniser les méthodes de certification dans les états membres tout en tenant compte des évolutions technologiques.
Trois niveaux d'assurance sont définis :
- Le niveau élémentaire qui cible typiquement des objets non critiques (exemple : IoT)
- Le niveau substantiel qui cible le risque médian (exemple : Cloud)
- Le niveau élevé qui cible les solutions pour lesquelles il existe un risque d’attaques par des spécialistes (exemple : véhicules ou dispositifs médicaux connectés).
Les certificats qui résultent de ce processus seront reconnus dans tous les États membres de l'UE, ce qui facilitera les échanges transfrontaliers pour les entreprises et permettra aux acheteurs de comprendre les caractéristiques de sécurité du produit ou du service.
Le Cybersecurity Act est un acte juridique européen, obligatoire dans toutes ses dispositions. Les États membres sont tenus de se mettre en conformité et d'appliquer les dispositions telles qu’elles sont définies par le règlement.
