《通用標準》（ISO/IEC 15408，其測試方法載於 ISO/IEC 18045）是評估資訊科技產品安全性的國際標準。您需明確說明產品所保護的對象，以及應能抵禦哪些攻擊者。獨立實驗室會對這些聲明進行測試，而認證機構則會頒發認證證書。政府、身分識別、支付及汽車產業的採購單位，數十年來一直採用此標準。

EUCC 是《歐盟網路安全法》下《規例 (EU) 2024/482》所訂定的「通用標準」歐洲方案。該方案自 2025 年 2 月 27 日起生效，將先前透過 SOG-IS 協定相互連結的各國獨立方案，統一為一個在整個歐盟範圍內均獲認可的方案。其基礎標準保持不變。 有所變更之處在於實驗室的認證方式、證書上所載的保證內容，以及證書核發後您應履行的義務。

不。各國家計畫已於 2025 年 2 月 27 日停止受理新申請，且自 2026 年 2 月起，將完全不再核發證書。目前在歐洲核發的任何新《通用標準》證書，均為 EUCC 證書。已核發的證書仍維持有效，且仍可依據原核發計畫的規定，對其進行有限度的維護。

該證書在有效期內持續有效。當您下次需要新證書（無論是針對新產品、新版本，或是續期）時，將由 EUCC 核發。現有證書在與 EUCC 新增內容進行比對確認後，即可進行轉移。真正需要投入心力之處，通常在於取得證書後的新義務，以及自您最初評估以來有所變更的任何最新技術文件。

這些等級對應於 AVA_VAN 等級。「顯著」對應於 AVA_VAN.1 和 2；「高」則對應於 AVA_VAN.3、4 和 5。兩者的差異在於產品是針對哪類攻擊者進行測試，這不僅會影響測試的深度，也會影響哪些單位有權執行測試。在「高」等級下，測試實驗室必須獲得國家主管機關的授權，且該主管機關將協助核發證書。

是的，無論是標準規範還是歐洲以外的方案皆然。根據 EUCC 規範，您的憑證會標示為「實質」或「高」等級，並與 AVA_VAN 等級掛鉤，同時也可能附有 EAL 等級。若您的客戶或採購文件仍要求提供 EAL 等級，我們可協助您將其對應至 EUCC 的等效等級。

技術領域是針對某個產品類別所制定的共同規則手冊，涵蓋攻擊的評級與應用方式。EUCC 將 SOG-IS 中的兩類項目排除在外：智慧卡及類似裝置，以及配備安全模組的硬體裝置。取得 AVA_VAN.4 或 5 等級的認證，通常意味著須在技術領域或經認證的防護配置檔範圍內運作；因此，若您目標是更高等級，請盡早釐清這一點。

不，而且任何實驗室都不應向您提供相反的說法。是德科技（Keysight）是經認可的 ITSEF 機構：我們負責執行評估並撰寫評估技術報告。證書由認證機構頒發，且國家主管機關亦在高層級參與其中。我們會全程與他們合作，並為您處理相關的技術往來事宜。

最長可達五年，只要您持續履行該計畫的義務。若您未能履行義務，或經查證認證產品存在嚴重漏洞，該認證將被暫停或撤銷。

這是多數團隊容易低估的一環。您必須密切關注已獲認證產品中出現的新漏洞，妥善處理這些漏洞，並在該認證計畫規定的時限內向認證機構通報；此外，當變更影響到您的安全性聲明時，還需申請重新評估。認證已不再是「通過後便束之高閣」的事，而是一個需要投入人力與預算、為期五年的持續性過程。

這雖有幫助，但並未涵蓋所有方面。取得 EUCC 證書後，您的產品將被推定為符合《歐盟網路韌性法》（CRA）中「通用標準」評估所實際針對的義務，且相關證據具有高度重疊性。然而，該證書並未涵蓋《歐盟網路韌性法》對您作為製造商所要求的其他事項，尤其是技術文件、軟體材料清單（SBOM）及報告義務，其中包含當漏洞正被積極利用時您應履行的早期警示義務。將兩者一併規劃，比先做一項再做另一項更為經濟實惠。 請參閱我們的《歐盟網路韌性法案》安全評估服務。

預評估是指我們在正式認證流程開始前進行的測試，旨在於問題尚能以較低成本解決時及早發現。此步驟並非強制要求，但這是我們所知最可靠的方法，能確保認證時程按計畫進行，特別是針對首次認證或新設計時。

一種基於下方層級已通過認證的結果來進行評估，而非重複這些評估的模式：在已通過認證的晶片上建構平台，在已通過認證的平台上運行應用程式。這比從頭開始要便宜得多，但有一個條件——您的層級必須遵循下方認證所附帶的指引。當這些專案延誤時，原因幾乎總是出在此處。