EUCC

Was ist EUCC?

EUCC ist das auf den Gemeinsamen Kriterien beruhende europäische System für die Cybersicherheitszertifizierung von IKT-Produkten und von Schutzprofilen, die im Zertifizierungsprozess für IKT-Produkte verwendet werden können.

Der Normwortlaut

„In dieser Verordnung wird das auf den Gemeinsamen Kriterien beruhende europäische System für die Cybersicherheitszertifizierung (EUCC) festgelegt. Diese Verordnung gilt für alle Produkte der Informations- und Kommunikationstechnik (IKT) und deren Dokumentation, die zur Zertifizierung im Rahmen des EUCC vorgelegt werden, sowie für alle Schutzprofile, die im Rahmen des IKT-Prozesses zur Zertifizierung von IKT-Produkten zur Zertifizierung vorgelegt werden.“

Welche Gegenstände erfasst EUCC?

Rechtliche Einordnung: Erfasst werden IKT-Produkte samt Dokumentation, die zur EUCC-Zertifizierung vorgelegt werden, sowie vorgelegte Schutzprofile für bestimmte IKT-Produktkategorien. EUCC ist damit kein allgemeines Zertifizierungssystem für IKT-Dienste oder IKT-Prozesse. Zertifizierungsstellen erteilen Zertifikate nur auf den Vertrauenswürdigkeitsstufen „mittel“ oder „hoch“ (Artikel 1, Artikel 4 Absatz 1 und Artikel 5 Absatz 2 der Durchführungsverordnung).

Ist eine EUCC-Zertifizierung verpflichtend?

Grundsätzlich nein. Nach Artikel 56 Absatz 2 der Verordnung (EU) 2019/881 ist die Nutzung eines europäischen Systems für die Cybersicherheitszertifizierung freiwillig, sofern das Unionsrecht oder das Recht eines Mitgliedstaats nichts anderes bestimmt. Ob für ein bestimmtes Produkt eine abweichende Pflicht gilt, muss daher anhand der einschlägigen produkt- und rechtsaktspezifischen Vorschriften geprüft werden.

Was muss bei Antrag und Ausstellung eines Zertifikats vorliegen?

Bei einem Antrag muss der Antragsteller der Zertifizierungsstelle und der ITSEF die für Zertifizierung und Evaluierung erforderlichen Informationen bereitstellen. Die Zertifizierungsstelle darf das Zertifikat erst ausstellen, wenn die Produktkategorie vom Akkreditierungs- und gegebenenfalls Zulassungsbereich der beteiligten Stellen erfasst ist, der Antragsteller die Verpflichtungserklärung nach Artikel 9 Absatz 2 abgegeben hat, die ITSEF die Evaluierung nach Artikel 3 und Artikel 7 ohne Einwände abgeschlossen hat und die Zertifizierungsstelle die Ergebnisse sowie ihre ordnungsgemäße Anwendung ohne Einwände überprüft hat. Eine Selbstbewertung der Konformität ist ausgeschlossen (Artikel 6, Artikel 8 Absätze 1 und 2 sowie Artikel 9 Absatz 1).

Wie funktionieren die Vertrauenswürdigkeitsstufen?

Technische Einordnung: EUCC stützt sich auf die Common Criteria und die Common Evaluation Methodology. „Mittel“ entspricht AVA_VAN 1 oder 2, „hoch“ AVA_VAN 3, 4 oder 5. Evaluiert wird anhand eines Sicherheitsziels; dieses kann ein passendes zertifiziertes Schutzprofil einbeziehen, wenn das Produkt in dessen Produktkategorie fällt. Die Stufe beschreibt die evaluierte Vertrauenswürdigkeit, nicht eine pauschale Garantie vollständiger Produktsicherheit (Artikel 3 Absatz 1, Artikel 4 Absätze 1 bis 5 und Artikel 5 Absatz 1).

Welche Sonderregeln gelten für AVA_VAN 4 und 5?

Für AVA_VAN 4 oder 5 gelten die Grenzen des Artikels 7 Absätze 2 bis 4. Grundsätzlich ist nach dem einschlägigen Sachstandsdokument für einen in Anhang I erfassten technischen Bereich oder nach der Methodik eines passenden zertifizierten Schutzprofils nach Anhang II zu evaluieren. Eine Abweichung vom Sachstandsdokument setzt einen hinreichend begründeten Ausnahmefall und die Genehmigung der nationalen Behörde voraus. Außerhalb der erfassten Bereiche ist eine Zertifizierung nur in einem hinreichend begründeten Ausnahmefall zulässig, wenn eine baldige Aufnahme nicht zu erwarten ist und die nationale Behörde die Bewertungsmethode genehmigt. Vor deren Entscheidung darf kein Zertifikat ausgestellt werden.

Welche Fristen und Schwellenwerte gelten?

Die Verordnung trat am 27. Februar 2024 in Kraft und gilt grundsätzlich seit dem 27. Februar 2025; Kapitel IV und Anhang V galten bereits ab Inkrafttreten. Die in Artikel 3 Absätze 2 bis 4 geregelten älteren Normfassungen dürfen nur in den dort bestimmten Fällen und nur bis zum 31. Dezember 2027 verwendet werden. Nationale Systeme im EUCC-Anwendungsbereich wurden am 27. Februar 2025 unwirksam; bereits eingeleitete nationale Prozesse mussten spätestens am 27. Februar 2026 abgeschlossen sein (Artikel 49 und Artikel 50).

Ein Zertifikat darf grundsätzlich höchstens fünf Jahre gelten. Eine längere Geltungsdauer setzt die vorherige Zustimmung der nationalen Behörde für die Cybersicherheitszertifizierung voraus (Artikel 12).

Häufige Fehlannahmen

• „EUCC gilt für alle IKT-Dienste und IKT-Prozesse.“ Nein. Artikel 1 erfasst vorgelegte IKT-Produkte samt Dokumentation und Schutzprofile für die Zertifizierung von IKT-Produkten.
• „Jedes IKT-Produkt muss nach EUCC zertifiziert sein.“ Nein. Die Zertifizierung ist grundsätzlich freiwillig; eine Pflicht besteht nur, soweit anderes Unionsrecht oder mitgliedstaatliches Recht dies bestimmt.
• „Eine Selbsterklärung genügt.“ Nein. Artikel 6 schließt die Selbstbewertung der Konformität im EUCC aus.
• „EUCC bietet auch die Vertrauenswürdigkeitsstufe niedrig.“ Nein. Zertifikate werden nur für „mittel“ oder „hoch“ erteilt.
• „Die Stufe hoch garantiert vollständige Produktsicherheit.“ Nein. Sie bezeichnet eine nach den festgelegten Kriterien evaluierte Vertrauenswürdigkeit.
• „Ein EUCC-Zertifikat gilt immer unbegrenzt.“ Nein. Die Geltungsdauer beträgt grundsätzlich höchstens fünf Jahre; eine längere Dauer verlangt vorherige behördliche Zustimmung.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte sind aus den Verfahrens- und Nachweisanforderungen abgeleitete Steuerungsmaßnahmen für Antragsteller oder Zertifikatsinhaber, keine allgemeine EUCC-Pflicht für nicht zertifizierte Produkte.

1. Zertifizierungsgegenstand und Produktgrenzen vor dem Antrag eindeutig festlegen.
2. Sicherheitsziel oder passendes zertifiziertes Schutzprofil sowie die angestrebte Vertrauenswürdigkeitsstufe bestimmen.
3. Die für Zertifizierung und Evaluierung erforderlichen Informationen und vollständigen Nachweise einschließlich eines gegebenenfalls erforderlichen Quellcodezugangs organisieren.
4. Zuständigkeit, Akkreditierungsbereich und gegebenenfalls Zulassung der vorgesehenen Zertifizierungsstelle und ITSEF prüfen.
5. Für die Zertifikatslaufzeit Verfahren zur fortlaufenden Überwachung, zum Schwachstellenmanagement und zur Offenlegung einrichten (insbesondere Artikel 25 der Durchführungsverordnung und Artikel 55 der Verordnung (EU) 2019/881).

Für die Geschäftsleitung

EUCC wird für die Leitung relevant, wenn ein IKT-Produkt nach diesem Schema zertifiziert werden soll oder das Unternehmen bereits Zertifikatsinhaber ist. Die Entscheidung muss Anwendungsbereich, Sicherheitsziel beziehungsweise Schutzprofil, Stufe und Sonderregeln zusammenführen. Nachweisbar sein sollten die vollständigen Evaluierungsunterlagen, die Zuständigkeit der beteiligten Stellen, die erfüllten Ausstellungsvoraussetzungen und die während der Zertifikatslaufzeit betriebenen Überwachungs-, Schwachstellenmanagement- und Offenlegungsverfahren.

Quellen

• Konsolidierte Durchführungsverordnung (EU) 2024/482, insbesondere Artikel 1, Artikel 3 bis 9, Artikel 12, Artikel 25, Artikel 49 und Artikel 50.
• Verordnung (EU) 2019/881 (Cybersecurity Act), insbesondere Artikel 55 und Artikel 56 Absatz 2.