Os Critérios Comuns (ISO/IEC 15408, com a metodologia de teste definida na ISO/IEC 18045) são a norma internacional para avaliar a segurança de produtos de TI. Você descreve o que seu produto protege e quais tipos de invasores ele deve impedir. Um laboratório independente testa essas alegações. Um órgão de certificação emite o certificado. Compradores dos setores governamental, de identidade, de pagamentos e automotivo vêm utilizando essa norma há décadas.

O EUCC é o esquema europeu para os Critérios Comuns, estabelecido no Regulamento (UE) 2024/482 no âmbito da Lei de Cibersegurança da UE. Ele está em vigor desde 27 de fevereiro de 2025 e substitui os esquemas nacionais distintos — que antes estavam vinculados pelo acordo SOG-IS — por um único esquema reconhecido em toda a UE. A norma subjacente é a mesma. O que muda é a forma como os laboratórios são acreditados, como a garantia é redigida no certificado e quais são as obrigações após a sua emissão.

Não. Os esquemas nacionais deixaram de aceitar novos pedidos em 27 de fevereiro de 2025 e, desde fevereiro de 2026, não podem mais emitir certificados. Qualquer novo certificado dos Critérios Comuns na Europa é um certificado EUCC. Os certificados já emitidos permanecem válidos, e ainda é possível realizar manutenção limitada sobre eles de acordo com as regras do esquema que os emitiu.

Ele permanece válido até o vencimento. Quando você precisar de um novo certificado — seja para um novo produto, uma nova versão ou uma renovação —, ele será fornecido pela EUCC. Os certificados existentes podem ser transferidos assim que forem verificados em relação às atualizações feitas pela EUCC. O verdadeiro trabalho geralmente está nas novas obrigações pós-certificação e em quaisquer documentos de última geração que tenham sofrido alterações desde a sua avaliação original.

Eles correspondem aos níveis AVA_VAN. O nível “Substancial” corresponde aos níveis AVA_VAN.1 e 2. O nível “Alto” corresponde aos níveis AVA_VAN.3, 4 e 5. A diferença está no tipo de invasor contra o qual seu produto é testado, e isso determina tanto a profundidade dos testes quanto quem está autorizado a realizá-los. No nível “Alto”, o laboratório deve ser autorizado pela autoridade nacional, e essa autoridade auxilia na emissão do certificado.

Sim, tanto na norma quanto em esquemas fora da Europa. De acordo com a EUCC, seu certificado indica os níveis “substancial” ou “alto”, vinculados ao nível AVA_VAN, e também pode conter um EAL. Se seus clientes ou documentos de licitação ainda exigirem um EAL, podemos ajudá-lo a mapear esse nível para o equivalente na EUCC.

Um domínio técnico é um conjunto de regras compartilhadas para uma categoria de produtos, que abrange como os ataques são classificados e aplicados. A EUCC mantém os dois itens do SOG-IS: cartões inteligentes e dispositivos similares, e dispositivos de hardware com módulos de segurança. A certificação no nível AVA_VAN.4 ou 5 normalmente implica trabalhar dentro de um domínio técnico ou de um perfil de proteção certificado; portanto, se você estiver buscando um nível mais alto, defina isso desde o início.

Não, e nenhum laboratório deveria lhe dizer o contrário. A Keysight é um ITSEF credenciado: realizamos a avaliação e elaboramos o relatório técnico de avaliação. O certificado é emitido por um organismo de certificação, com a autoridade nacional também envolvida em alto nível. Trabalhamos com eles durante todo o processo e cuidamos de todas as questões técnicas para você.

Até cinco anos, desde que você continue cumprindo as obrigações do programa. Um certificado pode ser suspenso ou revogado caso você não cumpra essas obrigações ou se for identificada uma vulnerabilidade grave no produto certificado.

Essa é a parte que a maioria das equipes subestima. É preciso ficar atento a novas vulnerabilidades no produto certificado, lidar com elas, relatá-las ao órgão de certificação dentro dos prazos estabelecidos pelo esquema e solicitar uma reavaliação quando uma alteração afetar suas declarações de segurança. A certificação não é mais algo que se obtém e se arquiva. É um processo para o qual é preciso contar com pessoal e orçamento durante cinco anos.

Isso ajuda, mas não abrange tudo. Um certificado da EUCC permite que se presuma que seu produto está em conformidade com as obrigações da CRA abordadas por uma avaliação dos Critérios Comuns, e as evidências se complementam bem. Ele não abrange o restante do que a CRA exige de você como fabricante, especialmente a documentação técnica, a SBOM e os relatórios, incluindo o alerta antecipado que você deve emitir quando uma vulnerabilidade estiver sendo explorada ativamente. É mais econômico planejar ambos em conjunto do que um após o outro. Confira nossos serviços de avaliação de segurança para a Lei de Resiliência Cibernética da UE.

Uma pré-avaliação é um teste que realizamos antes da campanha formal, com o objetivo de identificar problemas enquanto ainda é mais barato corrigi-los. Ela não é obrigatória. É a maneira mais confiável que conhecemos para manter o cronograma de certificação dentro do prazo, especialmente no caso de uma primeira certificação ou de um novo projeto.

Uma avaliação que se baseia nos resultados certificados da camada inferior, em vez de repeti-los: uma plataforma em um chip certificado, um aplicativo em uma plataforma certificada. É muito mais barato do que começar do zero, com uma condição — sua camada precisa seguir as orientações que acompanham o certificado da camada inferior. Quando esses projetos sofrem atrasos, esse é quase sempre o motivo.