FMV genomför EU:s första certifieringsordning för it-produkter

Cybersäkerhetscertifiering är ett kompletterande verktyg, som bidrar till att öka cybersäkerheten i Sverige och EU.

John Billow
chef för FMV:s avdelning för cybersäkerhet och certifiering

Efter ansökan och godkänd prövning utfärdar FMV bemyndigande för aktörer på den svenska marknaden att ge ut certifikat på den högsta nivån av förtroende, assurans, enligt certifieringsordningen.

– Vi ser gärna att svenska certifieringsorgan och evalueringsföretag är verksamma på den svenska marknaden. Det bidrar till att stärka den nationella kompetensen på cybersäkerhetsområdet och ger samtidigt förutsättningar för svenska företag som önskar certifiera sina produkter. Med svenska företag i rollen som organ för bedömning av överensstämmelse får den svenska marknaden lokal tillgång till sådana certifieringstjänster. Därmed sänks även tröskeln för svenska företag till hela EU:s inre marknad på cybersäkerhetscertifieringsområdet, säger John Billow.

Gemensam inre marknad för cybersäkerhetscertifiering

EU:s cybersäkerhetsakt har skapat ett ramverk för certifiering av cybersäkerhet i informations- och kommunikationsteknologiska, IKT, produkter, tjänster och processer. Ramverket och certifieringar, som utförs enligt en europeisk certifieringsordning, bidrar till ökad cybersäkerhet och till att harmonisera den gemensamma inre marknaden. Certifieringsramverket är en viktig del av EU:s regleringar på cybersäkerhetsområdet, inklusive NIS2, cyberresiliensakten och AI-akten.

I februari 2024 trädde den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering, EUCC, av IKT-produkter i kraft. Det är den första certifieringsordningen inom EU:s certifieringsramverk. Den är baserad på den internationella Common Criteria-standarden, som utformats för att utföra oberoende säkerhetsevalueringar av informations- och kommunikationsteknologiska produkter.

Ackrediteras och bemyndigas

Under det första året efter att EUCC trätt i kraft, kan de organisationer som vill bli organ för bedömning av överensstämmelse för certifieringsordningen, det vill säga certifieringsorgan och evalueringsföretag, förbereda för ackreditering och i vissa fall även för bemyndigande, för att de ska kunna utfärda europeiska certifikat när EUCC tillämpas fullt ut från 27 februari 2025.

För att ett certifieringsorgan ska kunna ge ut ett certifikat måste det och ett tillhörande evalueringsföretag först bli ackrediterade av Sveriges nationella ackrediteringsorgan, SWEDAC.

– Om certifieringsorganet tillsammans med evalueringsföretaget vill ge ut certifikat på den högsta assuransnivån i EUCC måste det och evalueringslaboratoriet även ansöka om ett bemyndigande från FMV i egenskap av nationell myndighet för cybersäkerhetscertifiering, säger John Billow.

FMV tar emot ansökningar om bemyndigande

I och med att EU nu antagit styrande dokument och kompletterande vägledning för genomförande av EUCC kan svenska aktörer, som ansökt om ackreditering för EUCC, även ansöka hos FMV om att bli bemyndigade att genomföra bedömning av överensstämmelse på EUCC nivå hög. På FMV handläggs en ansökan om bemyndigande av Inspektionen för cybersäkerhetscertifiering, ICC.

Nationell myndighet för cybersäkerhetscertifiering

FMV har utsetts att vara nationell myndighet för cybersäkerhetscertifiering, med kompletterande bestämmelser till EU:s cybersäkerhetsakt. FMV är även nationell representant i den europeiska gruppen för cybersäkerhetscertifiering, ECCG.

I rollen som nationell myndighet kommer FMV att bedriva tillsyn över att bestämmelserna i certifieringsramverket och kompletterande nationell lagstiftning följs.

– Vi samverkar med nationella och internationella myndigheter och deltar även som nationell representant i de olika tekniska expert- och arbetsgrupper på EU-nivå som utvecklar förslag till nya europeiska certifieringsordningar, bland annat vad avser molntjänster, säger John Billow.

Digitalt informationsmöte

FMV tillsammans med Swedac genomför ett öppet digitalt informationsmöte om EU:s certifieringsramverk den 15 november klockan 10.30.

Mer information: Informationsmöte om certifiering av cybersäkerhet i it-produkter och it-tjänster