L’ILNAS se lance dans la certification de cybersécurité, devenant NCCA -National Cybersecurity Certification Authority au Luxembourg.

Après avoir été nommé membre du groupe européen de certification de cybersécurité (ECCG – European Cybersecurity Certification Group) en novembre 2019, l’ILNAS a été désigné comme autorité nationale de certification de cybersécurité (NCCA – National Cybersecurity Certification Authority) au Luxembourg dans le cadre du règlement (UE) 2019/881 sur la cybersécurité («Cybersecurity Act»).

Pour s’adapter à ces changements, l’ILNAS effectuera des analyses et mettra à jour son système de management de la qualité. Objectif : offrir les meilleurs services aux parties intéressées et pour assurer l’exécution de ses nouvelles missions conformément à ce règlement.

Six missions majeures

Ses missions ? Multiples. Elles sont spécifiées dans l’Article 58 du règlement sur la cybersécurité. Soit :

– Appliquer, superviser et faire respecter les règles en relation avec les différents schémas européens de certification de cybersécurité (cf. Art. 53 et Art. 54).

– Coopérer avec d’autres organismes de la surveillance du marché.

– Collaborer activement avec l’organisme national d’accréditation (OLAS) pour superviser et contrôler les activités des organismes d’évaluation de la conformité (CAB).

– Collaborer avec la Commission européenne et avec les autres autorités nationales de certification de cybersécurité pour l’amélioration continue des schémas de certification.

– Participer au groupe européen de certification de cybersécurité (ECCG) d’une manière active et efficace.

Une autre mission d’envergure de l’autorité nationale de certification de cybersécurité est la délivrance des certificats pour le niveau d’assurance «élevé». Celle-ci pourra, néanmoins, être déléguée vers un organisme d’évaluation de la conformité sous les conditions spécifiées dans l’Art. 56-6.

Divers types de schémas de certification disponibles

Actuellement, l’ENISA travaille en collaboration avec des experts de différents secteurs sur deux schémas de certification de cybersécurité différents. Ceux-ci concerne notamment les critères communs («common criteria») et les services «cloud».

D’autres propositions de schémas de certification seront publiées dans un programme de travail glissant de l’Union européenne le 28 juin 2020 au plus tard. L’ILNAS, à travers son département de la Confiance Numérique, participe activement dans le groupe de travail pour le développement du schéma de certification des services «cloud».

Pas d’obligations, mais…

A ce jour, une certification ou une déclaration de conformité reste volontaire, sauf disposition contraire du droit de l’Union européenne ou du droit d’un État membre. Toutefois, la Commission européenne évaluera régulièrement les schémas de certification en place pour les services, produits ou processus de technologies de l’information et de la communication, afin de vérifier s’ils doivent être rendus obligatoires (la première évaluation interviendra au plus tard le 31 décembre 2023).

Bien que ce règlement soit déjà entré en vigueur le 27 juin 2019, les parties liées aux schémas de certification ne seront applicables qu’à partir du 28 juin 2021.

En tant qu’autorité nationale de certification de cybersécurité, l’ILNAS suit activement le développement des travaux effectués dans le cadre de ce règlement. L’ambition, bien sûr, est de répondre aux besoins et aux attentes des parties intéressées de manière effective et efficiente.

Pour plus de détails sur la certification de produits, services et processus ICT : confiance-numerique@ilnas.etat.lu.