Los Criterios Comunes (ISO/IEC 15408, cuya metodología de ensayo se recoge en la norma ISO/IEC 18045) constituyen la norma internacional para evaluar la seguridad de los productos de tecnologías de la información. Se describe qué es lo que protege el producto y a qué tipo de atacante debe impedir el acceso. Un laboratorio independiente comprueba esas afirmaciones. Un organismo de certificación expide el certificado. Los compradores del sector público, de la gestión de la identidad, de los pagos y del sector de la automoción llevan décadas utilizándolo.

El EUCC es el sistema europeo de Criterios Comunes, establecido en el Reglamento (UE) 2024/482 en el marco de la Ley de Ciberseguridad de la UE. Se aplica desde el 27 de febrero de 2025 y sustituye los distintos sistemas nacionales —que anteriormente estaban vinculados por el acuerdo SOG-IS— por un único sistema reconocido en toda la UE. La norma subyacente es la misma. Lo que cambia es la forma en que se acreditan los laboratorios, cómo se redacta la garantía en el certificado y cuáles son las obligaciones tras su expedición.

No. Los esquemas nacionales dejaron de aceptar nuevas solicitudes el 27 de febrero de 2025 y, desde febrero de 2026, ya no pueden expedir certificados en absoluto. Cualquier nuevo certificado de Criterios Comunes en Europa es un certificado EUCC. Los certificados ya expedidos siguen siendo válidos y aún es posible realizar un mantenimiento limitado de los mismos con arreglo a las normas del esquema que los expidió.

Sigue siendo válido hasta que caduque. La próxima vez que necesites un nuevo certificado, ya sea para un nuevo producto, una nueva versión o una renovación, lo obtendrás a través de la EUCC. Los certificados existentes pueden transferirse una vez que se hayan cotejado con lo que la EUCC haya añadido. El verdadero trabajo suele residir en las nuevas obligaciones posteriores a la certificación y en cualquier documento sobre el estado actual de la técnica que haya cambiado desde tu evaluación original.

Se corresponden con los niveles de AVA_VAN. El nivel «sustancial» corresponde a AVA_VAN.1 y 2. El nivel «alto» corresponde a AVA_VAN.3, 4 y 5. La diferencia radica en el tipo de atacante contra el que se prueba el producto, lo que determina tanto el nivel de profundidad de las pruebas como quién está autorizado a realizarlas. En el nivel «alto», el laboratorio debe estar autorizado por la autoridad nacional, y dicha autoridad colabora en la expedición del certificado.

Sí, tanto en la norma como en los programas fuera de Europa. En el marco de la EUCC, tu certificado indica un nivel «sustancial» o «alto», vinculado al nivel AVA_VAN, y también puede incluir un EAL. Si tus clientes o los documentos de contratación pública siguen exigiendo un EAL, podemos ayudarte a asignarle el equivalente en la EUCC.

Un ámbito técnico es un conjunto de normas comunes para una categoría de productos, que regula cómo se clasifican y aplican los ataques. La EUCC mantiene los dos ámbitos de la SOG-IS: tarjetas inteligentes y dispositivos similares, y dispositivos de hardware con módulos de seguridad. La certificación en AVA_VAN.4 o 5 suele implicar trabajar dentro de un ámbito técnico o de un perfil de protección certificado, por lo que, si tu objetivo es alcanzar un nivel alto, debes tenerlo claro desde el principio.

No, y ningún laboratorio debería decirte lo contrario. Keysight es un ITSEF acreditado: nosotros nos encargamos de realizar la evaluación y de redactar el informe técnico correspondiente. El certificado lo expide un organismo de certificación, en el que también participa la autoridad nacional a alto nivel. Colaboramos con ellos durante todo el proceso y nos encargamos de las gestiones técnicas por ti.

Hasta cinco años, siempre y cuando se sigan cumpliendo las obligaciones del programa. Un certificado puede suspenderse o retirarse si no se cumplen dichas obligaciones o si se detecta una vulnerabilidad grave en el producto certificado.

Esta es la parte que la mayoría de los equipos subestiman. Hay que estar atentos a las nuevas vulnerabilidades que puedan surgir en el producto certificado, gestionarlas, notificarlas al organismo de certificación dentro de los plazos establecidos por el programa y solicitar una nueva evaluación cuando un cambio afecte a tus declaraciones de seguridad. La certificación ya no es algo que se consigue y se archiva. Es un proceso para el que se necesita personal y presupuesto durante cinco años.

Es de ayuda, pero no lo cubre todo. Un certificado EUCC permite que se presuma que tu producto cumple con las obligaciones de la CRA que aborda realmente una evaluación de los Criterios Comunes, y las pruebas se complementan bien. No cubre el resto de lo que la CRA te exige como fabricante, especialmente la documentación técnica, la SBOM y la presentación de informes, incluida la alerta temprana que debes emitir cuando una vulnerabilidad está siendo explotada activamente. Es más barato planificarlo todo junto que hacerlo una cosa tras otra. Consulta nuestros servicios de evaluación de seguridad en el marco de la Ley de Ciberresiliencia de la UE.

Una preevaluación es una serie de pruebas que realizamos antes de la campaña oficial, con el fin de detectar problemas cuando aún resulta económico solucionarlos. No es obligatoria. Es la forma más fiable que conocemos de garantizar que el calendario de certificación se cumpla, especialmente en el caso de una primera certificación o de un nuevo diseño.

Una evaluación que se basa en los resultados certificados de la capa inferior, en lugar de repetirlos: una plataforma sobre un chip certificado, una aplicación sobre una plataforma certificada. Resulta mucho más económico que empezar desde cero, con una condición: tu capa debe seguir las directrices que acompañan al certificado de la capa inferior. Cuando estos proyectos se retrasan, ese es casi siempre el motivo.