Common Criteria (ISO/IEC 15408, Testmethodik nach ISO/IEC 18045) ist der internationale Standard zur Bewertung der Sicherheit von IT-Produkten. Sie beschreiben, was Ihr Produkt schützt und welche Angreifer es abwehren soll. Ein unabhängiges Labor prüft diese Angaben. Eine Zertifizierungsstelle stellt das Zertifikat aus. Behörden, Identitätsmanagement, Zahlungsabwicklung und die Automobilindustrie nutzen Common Criteria seit Jahrzehnten.

EUCC ist das europäische System für gemeinsame Kriterien (Common Criteria) gemäß der Verordnung (EU) 2024/482 zum EU-Cybersicherheitsgesetz. Es gilt seit dem 27. Februar 2025 und ersetzt die zuvor durch das SOG-IS-Abkommen verbundenen nationalen Systeme durch ein EU-weit anerkanntes System. Der zugrundeliegende Standard bleibt unverändert. Geändert haben sich die Akkreditierung von Laboren, die Formulierung der Zusicherungen auf dem Zertifikat und die damit verbundenen Verpflichtungen nach dessen Ausstellung.

Nein. Nationale Zertifizierungsstellen haben die Annahme neuer Anträge am 27. Februar 2025 eingestellt und können seit Februar 2026 keine Zertifikate mehr ausstellen. Jedes neue Common Criteria-Zertifikat in Europa ist ein EUCC-Zertifikat. Bereits ausgestellte Zertifikate behalten ihre Gültigkeit, und eine eingeschränkte Aufrechterhaltung ist weiterhin gemäß den Bestimmungen der jeweiligen Zertifizierungsstelle möglich.

Das Zertifikat bleibt bis zu seinem Ablaufdatum gültig. Benötigen Sie das nächste Mal ein neues Zertifikat für ein neues Produkt, eine neue Version oder eine Verlängerung, erhalten Sie es von EUCC. Bestehende Zertifikate können übertragen werden, sobald sie mit den von EUCC hinzugefügten Anforderungen abgeglichen wurden. Der eigentliche Aufwand besteht in der Regel in der Erfüllung der neuen Verpflichtungen nach der Zertifikatserteilung sowie in der Überprüfung aller aktuellen Dokumente, die sich seit Ihrer ursprünglichen Bewertung geändert haben.

Sie entsprechen den AVA_VAN-Stufen. AVA_VAN.1 und 2 gelten als „Substantial“, AVA_VAN.3, 4 und 5 als „High“. Der Unterschied liegt darin, gegen welchen Angreifer Ihr Produkt getestet wird. Dies beeinflusst sowohl den Umfang der Tests als auch die Berechtigung zur Durchführung. Bei der hohen Sicherheitsstufe muss das Testlabor von der nationalen Zertifizierungsstelle autorisiert sein, die auch bei der Zertifikatserstellung mitwirkt.

Ja, sowohl im Standard als auch in Systemen außerhalb Europas. Gemäß EUCC wird in Ihrem Zertifikat ein „erheblicher“ oder „hoher“ Status angegeben, der an die AVA_VAN-Stufe gekoppelt ist und gegebenenfalls auch eine EAL-Kennzeichnung enthalten kann. Sollten Ihre Kunden oder Beschaffungsunterlagen weiterhin eine EAL-Kennzeichnung verlangen, unterstützen wir Sie gerne bei der Zuordnung zur entsprechenden EUCC-Kennzeichnung.

Eine technische Domäne ist ein gemeinsames Regelwerk für eine Produktkategorie, das die Bewertung und Anwendung von Angriffen regelt. EUCC hält die beiden Kategorien von SOG-IS fest: Smartcards und ähnliche Geräte sowie Hardwaregeräte mit Sicherheitsboxen. Eine Zertifizierung nach AVA_VAN.4 oder 5 bedeutet in der Regel, innerhalb einer technischen Domäne oder eines zertifizierten Schutzprofils zu arbeiten. Wenn Sie also hohe Anforderungen stellen möchten, sollten Sie dies frühzeitig klären.

Nein, und kein Labor sollte Ihnen etwas anderes erzählen. Keysight ist ein akkreditiertes ITSEF-Institut: Wir führen die Evaluierung durch und erstellen den technischen Evaluierungsbericht. Das Zertifikat wird von einer Zertifizierungsstelle ausgestellt, wobei die nationale Behörde ebenfalls maßgeblich beteiligt ist. Wir arbeiten während des gesamten Prozesses mit ihr zusammen und übernehmen die gesamte technische Kommunikation für Sie.

Bis zu fünf Jahre, solange Sie die Verpflichtungen des Programms erfüllen. Ein Zertifikat kann ausgesetzt oder entzogen werden, wenn Sie die Verpflichtungen nicht erfüllen oder wenn eine schwerwiegende Sicherheitslücke im zertifizierten Produkt festgestellt wird.

Diesen Aspekt unterschätzen die meisten Teams. Sie müssen neue Schwachstellen im zertifizierten Produkt erkennen, beheben, diese innerhalb der vorgegebenen Fristen der Zertifizierungsstelle melden und eine erneute Bewertung beantragen, wenn eine Änderung Ihre Sicherheitsversprechen beeinträchtigt. Die Zertifizierung ist keine einmalige Angelegenheit mehr. Sie ist ein Prozess, für den Sie Personal und Budget benötigen – und zwar über einen Zeitraum von fünf Jahren.

Es ist hilfreich, deckt aber nicht alles ab. Ein EUCC-Zertifikat lässt Ihr Produkt als konform mit den CRA-Verpflichtungen gelten, die eine Common-Criteria-Bewertung tatsächlich prüft, und die Nachweise überschneiden sich weitgehend. Es deckt jedoch nicht die übrigen Anforderungen des CRA an Sie als Hersteller ab, insbesondere die technische Dokumentation, das SBOM und die Berichterstattung, einschließlich der Frühwarnung, die Sie bei aktiver Ausnutzung einer Sicherheitslücke leisten müssen. Es ist kostengünstiger, beides gleichzeitig zu planen, als nacheinander. Informieren Sie sich über unsere Sicherheitsbewertungsdienste gemäß dem EU Cyber ​​Resilience Act .

Eine Vorab-Evaluierung ist ein Test, den wir vor der eigentlichen Kampagne durchführen, um Probleme frühzeitig zu erkennen und kostengünstig zu beheben. Sie ist nicht verpflichtend. Sie ist jedoch die zuverlässigste Methode, die wir kennen, um den Zertifizierungsplan einzuhalten, insbesondere bei einer Erstzertifizierung oder einem neuen Design.

Eine Evaluierung, die auf den zertifizierten Ergebnissen der darunterliegenden Ebene aufbaut, anstatt sie zu wiederholen: eine Plattform auf einem zertifizierten Chip, eine Anwendung auf einer zertifizierten Plattform. Das ist deutlich günstiger als ein kompletter Neustart, unter einer Bedingung: Ihre Ebene muss den Richtlinien des darunterliegenden Zertifikats entsprechen. Wenn sich solche Projekte verzögern, ist das fast immer der Grund.