欧盟通报《信息与通信技术 *** 安全认证实施条例》修订案

网络技术 2025年08月21日 01:38 8 aaron

　　2025年8月4日，欧盟通报了《信息与通信技术 *** 安全认证实施条例》修订案。此次修订对欧盟 *** 安全认证计划（EUCC）进行了全面优化，包括新定义、ICT 产品系列认证及保护配置文件审查机制等核心内容，同时对于支持EUCC 认证计划实施的最新技术文件做出重要调整。对于计划进入欧洲市场的 ICT 产品厂商而言，新规既提供了更明确的合规指引，也对产品全生命周期安全管理提出了更高要求。

　　EUCC 认证体系是欧盟依据《 *** 安全法》（Regulation (EU) 2019/881）建立的基于国际通用标准的 *** 安全认证制度。现行条例 (EU) 2024/482 于 2024 年 2 月生效以来，为欧盟 ICT 产品安全认证提供了制度基础。随着信息通信技术快速发展和安全威胁不断演变，原有法规在操作灵活性方面逐渐显现不足。本次修订草案通过引入新概念、优化证书管理、更新标准文件及完善信息公开机制，旨在提升产品安全性，确保市场透明度，统一欧盟 *** 安全认证法规。

　　新规适用于基于通用标准的 ICT 产品 *** 安全认证，主要包括：集成电路、智能卡及相关产品（加密元件、微控制器、专用软件）； *** 设备与系统（路由器、交换机、无线访问节点）；数字签名产品（加密模块、硬件安全模块、安全服务器）。

　　1.最新技术文档更新：为确保 EUCC 下信息通信技术产品评估的统一性，以及反映当前最新发展（如技术进步、 *** 威胁形势、行业实践或国际标准），本次修订案更新了五份最新技术文件，涉及更低场所安全要求、攻击潜力在智能卡中的应用、攻击潜力在带安全盒的硬件设备中的应用、通用标准对集成电路中的应用，以及智能卡和类似设备的复合产品评估。此外，该修订案还增加五份最新技术文件，涉及复合产品评估和认证、场所审计评估结果的复用，以及关于特定保护配置文件解释的澄清（如合格电子签名创建设备的保护配置文件）。

　　2.明确“产品系列”认证：产品系列是指由同一申请方提交的、基于相同功能基础且满足相同安全需求的一组 ICT 产品，其软硬件实现可能不同。认证机构可依据统一标准对系列产品进行整体评估与认证，从而减少重复测试，提高认证效率。

　　3.引入新概念：为确保认证产品的可靠性，本次修订明确了评估对象及其环境的“重大变更”和“轻微变更”的概念。“轻微变更”：不影响 EUCC 证书保证的变更，通常对 EUCC 证书所提供的产品保证影响有限。这类变更应通过维护程序管理，无需重新评估产品的安全功能。轻微变更包括但不限于编辑性修改、目标评估环境不改变已认证产品的修改、不影响保证证据的修改。开发环境的变更若不影响现有保证措施，也可视为轻微变更，但在某些情况下可能需要部分评估相关措施。“重大变更”：指任何可能对 EUCC 证书保证产生不利影响的修改，需重新评估。重大变更包括但不限于修改已声明的保证要求、可能影响安全开发或生产的开发环境机密性或完整性控制变化、或为修复可利用漏洞而改变评估目标。此外，多次轻微变更累积造成显著安全影响时，也应视为重大变更。尽管缺陷修复可能仅涉及局部，但其不可预测性和潜在影响可能破坏安全保证，因此也可能视为重大变更。

　　4.保护配置文件审查机制：证书持有者请求或其他正当理由时，认证机构可决定审查 EUCC 证书的保护配置文件。审查将按照附件 IV 进行，认证机构应确定审查范围。必要时，认证机构应要求 ITSEF（信息技术安全评估机构）对认证保护配置文件进行重新评估。

　　5.认证材料要求：认证机构应向 ENISA（欧盟 *** 安全局）提供安全目标和认证报告的英文版本，以便 ENISA 在其官网上公布每份 EUCC 证书对应的安全目标。因此，认证申请人应在申请时向认证机构提供安全目标的英文版本。

　　6.简化证书标识格式：不再展示认证机构名称和颁发月份，仅保留方案名称、认证机构编号、初始证书年份及认证机构分配的识别编号。

　　该修订案评议期截止到 2025 年 10 月 13 日，计划进入欧洲市场的企业需未雨绸缪，提前规划产品系列认证，对于同一功能平台的多型号 ICT 产品，可考虑以产品系列方式一次性规划认证，节省时间与成本。同时，建立完善的变更管理机制，避免突发重大变更触发重评估而产生额外成本。鉴于 EUCC 认证涵盖安全评估、技术文档编制及合规测试等复杂环节，寻求专业咨询支持可有效降低认证成本、缩短周期并有效管控合规风险。

　　随着欧盟法规持续完善与收紧，提前开展 EUCC 认证筹备已成为布局欧洲市场的关键步骤。望安科技作为国内高等级数字安全领航者，已与欧盟首批授权的 *** 安全评估机构 CCLAB 共同签署了 EUCC 战略合作协议，我们将为客户提供更优质的信息安全认证服务，助力企业顺利开拓国际市场，共筑全球数字经济发展的安全基石。

标签：信息 *** 技术的概念