欧洲网络安全认证联盟滚动工作计划

1. Introduction 本文件依据《网络安全法案1》（CSA）第47条规定，公布了《欧洲网络安全认证联盟滚动工作计划》（URWP），旨在确定未来欧洲网络安全认证计划的战略重点，并明确ICT产品、ICT服务和ICT流程中可受益于认证计划的类别。该计划建立在2019年6月27日生效的CSA框架基础上，该框架规定了自愿的欧洲网络安全认证计划，旨在确保欧盟ICT产品、服务和流程的网络安全水平，减少内部市场分裂。

2. 未来欧洲网络安全认证计划的战略重点 2.1 标准化 国际和欧洲标准的使用是框架内认证计划的关键，需通过ICT标准化滚动计划和年度联盟工作欧洲标准化计划推动相关行动。标准应涵盖横向安全要求和部门要求，以及评估方法，并与欧盟协调立法保持一致。

2.2 设计安全性、生命周期安全性和默认安全性 框架鼓励在ICT产品、服务和流程的整个生命周期中集成安全措施，包括设计安全性、默认安全性和漏洞处理。CRA要求制造商满足基本网络安全要求，包括默认安全性，并在支持期内确保网络安全。

2.3 基于风险的保证 每个认证计划应基于风险确定网络安全要求和评估方法，并指定保证级别（基本、实质性、高）。保证级别应基于事件的可能性和影响，并根据产品、服务或流程的预期使用进行调整。

2.4 一致性、可组合性和共同流程 未来计划应考虑重新使用现有证书和方案的可能性，并确保组成证书的系统的认证方案捕获所有网络安全要求。评估和符合性评估计划应在所有成员国以统一方式执行。

2.5 国际合作 欧洲认证计划的设计将符合欧盟的国际义务，包括WTO框架下的义务。计划应基于WTO成立的标准原则，并定义能够提供与第三国相互承认的基础。

2.6 衡量方案效率和随时间的改进 需确定指标和标准以评估框架及其计划的整体有效性和效率，并通过支持措施（如数字欧洲方案）提升中小企业认证便利性。

3. 未来欧洲网络安全认证的领域 3.1 与立法相关的可能请求事态发展 3.1.1 欧洲数字身份钱包认证 欧洲数字身份法规要求建立欧洲数字身份钱包的认证方案，并允许在适当方案可用前使用国家认证方案。

3.1.2 托管安全服务的认证 CRA修正案将使采用托管安全服务的认证方案成为可能，以防止内部市场碎片化。

3.2 其他反思区域 3.2.1 根据CRA进行反思的区域 3.2.1.1 物联网(IoT)、工业自动化控制系统(IACS) CRA涵盖所有具有数字元素的产品，其预期或合理可预见的使用包括直接或间接与设备或网络的逻辑或物理数据连接。未来计划应建立在未来提出的要求和规则的基础上，并考虑相关协调标准。

3.2.1.2 安全开发生命周期(SDL) SDL流程通过确保结构渗透测试、代码审查和安全体系结构分析等安全措施成为开发努力的一部分。未来努力应侧重于确定和制定有关SDL方法的相关标准和技术规范。

3.2.2 密码机制 基于密码的安全系统被广泛用于保护敏感数据和功能ICT。未来计划应考虑加强对安全的评估在欧盟一级实施加密机制。

3.2.3 固定时间评估 固定时间认证旨在提供更多灵活的评估形式，适应个别ICT产品、服务或通过专注于选定的安全方面来处理。该方案可能对依赖频繁安全更新的组织或产品有益。

4. Conclusion 欧洲网络安全认证框架是应对网络安全挑战的重要工具，有助于使ICT产品、服务和流程更加网络安全，增强内部市场弹性和消费者信任。框架将扩展以纳入托管安全服务的认证计划，并通过CRA和《欧洲数字身份条例》等立法得到补充。未来需继续完善认证计划，以适应不断发展的监管和技术空间，并提升欧盟的网络安全水平。