Akt o cyberbezpieczeństwie: wzmocnienie ENISA + ramy certyfikacji

Unijny akt o cyberbezpieczeństwie przyznaje ENISA stały mandat i większe zasoby, przekształcając ją z agencji tymczasowej w centralny unijny ośrodek cyberbezpieczeństwa. Ustanawia również ogólnoeuropejskie ramy certyfikacji produktów, usług i procesów ICT. W przeciwieństwie do NIS2, która koncentruje się na zgłaszaniu incydentów i zarządzaniu ryzykiem w sektorach krytycznych, akt ten służy ustanowieniu wspólnych norm bezpieczeństwa, tak aby na przykład certyfikowana usługa chmurowa cieszyła się zaufaniem we wszystkich państwach członkowskich bez konieczności przeprowadzania dodatkowych badań krajowych.

Częstą pułapką egzaminacyjną jest mylenie programów certyfikacji przewidzianych w tym akcie z obowiązkami wynikającymi z NIS2. Należy pamiętać: jeśli w pytaniu pojawiają się „poziomy uzasadnienia zaufania” (podstawowy, istotny, wysoki) lub „europejskie programy certyfikacji cyberbezpieczeństwa”, chodzi o akt o cyberbezpieczeństwie. Jeśli pojawiają się „terminy zgłaszania incydentów” lub „bezpieczeństwo łańcucha dostaw podmiotów kluczowych”, chodzi o NIS2. Kolejna wskazówka: akt nie nakłada bezpośrednio kar na przedsiębiorstwa; wynikają one z przepisów krajowych wdrażających programy certyfikacji.

Aby utrwalić tę kwestię, warto postrzegać ten akt jako zbiór zasad dotyczących „znaku jakości w zakresie cyberbezpieczeństwa” obowiązującego w całej UE. Gdy pytanie dotyczy stałej roli ENISA lub poziomów certyfikacji, należy od razu powiązać je z tym aktem, a nie z NIS2. Szybki test myślowy: „Czy chodzi o certyfikat dla produktu lub usługi?”. Jeśli tak, chodzi o akt o cyberbezpieczeństwie.