Cybersecurity Act · 2019/881
Cybersecurity Act закріплює постійний мандат ENISA та спільні правила створення європейських схем сертифікації кібербезпеки. Він пояснює, хто оцінює цифрові продукти й послуги та що підтверджує сертифікат.
Огляд
Cybersecurity Act закріплює постійний мандат ENISA та спільні правила створення європейських схем сертифікації кібербезпеки. Він пояснює, хто оцінює цифрові продукти й послуги та що підтверджує сертифікат.
Це Регламент (ЄС) 2019/881, а не технічний перелік налаштувань захисту. Він створює правову рамку; вимоги до конкретного об’єкта та порядок перевірки встановлює відповідна ухвалена схема сертифікації.
Для кого призначений
Регламент потрібен виробникам ІКТ, постачальникам послуг, замовникам і фахівцям із закупівель, які обирають підтвердження безпеки. Окремі обов’язки мають органи сертифікації, випробувальні лабораторії та національні органи нагляду.
Викладачам, студентам і громадянам він допомагає зрозуміти різницю між заявою постачальника, незалежною оцінкою та сертифікатом із визначеними межами.
Для яких галузей
Рамка є міжгалузевою: вона стосується ІКТ-продуктів, ІКТ-послуг і процесів, а після поправки — також керованих послуг безпеки. Практичні приклади: компоненти платіжного обладнання, мережеві пристрої, програмне забезпечення та послуги реагування на інциденти.
Фінансові установи, енергетика, медицина, транспорт і державний сектор можуть використовувати сертифікацію у виборі постачальників. Наявність галузі в цьому переліку сама по собі не створює обов’язку сертифікувати кожну систему.
Що робить ENISA
ENISA — Агентство Європейського Союзу з кібербезпеки. Воно надає експертизу, підтримує політику ЄС, розвиток спроможностей, співпрацю та підготовку до інцидентів. Cybersecurity Act зробив його мандат постійним.
У сертифікації ENISA готує проєкти схем і підтримує їх розвиток. Комісія ухвалює схеми імплементаційними актами, уповноважені органи видають сертифікати, а національні органи здійснюють нагляд. Це різні ролі.
Як працює рамка сертифікації
Схема
Визначає охоплені продукти або послуги, вимоги, методи оцінки, рівні довіри, строки дії та правила підтримання сертифікатів. Проєкт схеми ще не дає права видавати за нею європейські сертифікати.
Оцінка та сертифікат
Перевіряється конкретний об’єкт у визначеній версії та конфігурації. Європейський сертифікат визнається в державах ЄС, але його висновки обмежені сферою оцінки.
Добровільність і винятки
За статтею 56 сертифікація добровільна, якщо право ЄС або національне право не встановлює інше. Перед закупівлею окремо перевіряють чинні вимоги закону та договору.
Що означає рівень довіри
Стаття 52 передбачає 3 рівні: базовий (basic), істотний (substantial) і високий (high). Вони відображають глибину та суворість оцінки з урахуванням ризику використання. Конкретна схема може підтримувати лише частину цих рівнів.
Рівень довіри не є відсотком безпеки й не гарантує відсутності вразливостей. Самооцінка можлива лише там, де її дозволяє схема для базового рівня. EUCC використовує істотний і високий рівні та незалежну оцінку.
EUCC та схеми в розробленні
EUCC — ухвалена схема для ІКТ-продуктів на основі Common Criteria. Регламент (ЄС) 2024/482 застосовується з 27 лютого 2025 року; він має поправки 2024/3144 і 2025/2462. Перед оцінкою потрібні актуальні правила схеми й технічні документи для відповідного типу продукту.
За станом, перевіреним 8 вересня 2026 року, ENISA позначає EUCS для хмарних послуг, EU5G, EUDI Wallets і EUMSS для керованих послуг безпеки як схеми в розробленні. Поправка 2025/37 дозволила створювати схеми для таких послуг, але сама не запустила готову схему EUMSS.
Як перевірити сертифікат на практиці
Об’єкт і межі
Зіставте назву, версію, конфігурацію та функції сертифікованого продукту з тим, що реально закуповуєте. Сертифікований компонент не робить автоматично сертифікованою всю систему.
Чинність і докази
Перевірте схему, рівень довіри, орган видачі, звіт оцінки та поточний статус сертифіката, зокрема можливе призупинення або відкликання.
Використання та підтримка
З’ясуйте безпечну конфігурацію, строк підтримки, порядок оновлень і канал повідомлення про вразливості. Внесіть ці умови в рішення про закупівлю та супровід.
Межі застосування та перегляд
Регламент діє в правовій системі ЄС і не стає автоматично українським законом. Українському постачальнику або замовнику слід перевіряти вимоги цільового ринку, договору й конкретної схеми. Питання оборони та національної безпеки залишаються в компетенції держав за статтею 1.
20 січня 2026 року Комісія запропонувала CSA2: перегляд мандата ENISA, сертифікації та безпеки ланцюгів постачання ІКТ. Станом на 8 вересня 2026 року це законодавча пропозиція, яка очікує рішення комітету Європарламенту. Вона ще не замінила Регламент 2019/881.
Кому це буде корисно
Користь регламенту залежить від ролі: від підготовки продукту до оцінки до перевірки заяв постачальника. Нижче наведено практичні завдання для кожної аудиторії порталу.
Для навчальних закладів
Практична користь. Допомагає викладати європейську модель довіри до цифрових продуктів і розподіл повноважень у сертифікації.
Що вивчити насамперед. Мандат ENISA, роль Комісії, національний нагляд і різниця між схемою та сертифікатом.
Приклад застосування. Розберіть на занятті сертифікат ІКТ-продукту: що оцінено, ким і за яких умов.
Більше про напрям для цієї групиДля студентів
Практична користь. Дає основу для читання сертифікаційної документації та роботи з регуляторними джерелами.
Що вивчити насамперед. Об’єкт оцінки, рівень довіри, сфера сертифіката та його чинність.
Приклад застосування. Порівняйте опис продукту з його сертифікатом і випишіть твердження, які оцінка справді підтверджує.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Допомагає обґрунтувати закупівлю або підготовку продукту до сертифікації для ринку ЄС.
Що вивчити насамперед. Ухвалена схема, вимоги замовника, докази безпеки й підтримання сертифіката після змін продукту.
Приклад застосування. Для закупівлі криптографічного модуля перевірте точну версію, сферу EUCC та вимоги до експлуатації.
Більше про напрям для цієї групиДля державних установ
Практична користь. Пояснює механізм європейського визнання сертифікатів і компетенції органів сертифікації та нагляду.
Що вивчити насамперед. Національний орган сертифікації кібербезпеки, акредитація, скарги та вимоги до публічних закупівель.
Приклад застосування. Сформулюйте вимогу закупівлі через об’єкт, потрібну властивість і допустимий доказ, перевіривши чинне право.
Більше про напрям для цієї групиДля військових
Практична користь. Корисний для розуміння цивільної сертифікації компонентів, якщо її використання допускають правила оборонної закупівлі.
Що вивчити насамперед. Межі оцінки цивільного продукту та окремі вимоги оборони, секретності й національної безпеки.
Приклад застосування. Перевірте, які властивості сертифікованого компонента придатні для дозволеного цивільного контуру, а які потребують окремої перевірки.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає громадським організаціям оцінювати заяви постачальників та обговорювати прозорість сертифікації.
Що вивчити насамперед. Зрозуміла інформація для користувача, доступність доказів і межі сертифіката.
Приклад застосування. Під час вибору цифрового інструмента попросіть посилання на заявлений сертифікат і перевірте, чи охоплює він потрібну функцію.
Більше про напрям для цієї групиДля громадян
Практична користь. Пояснює, як читати позначку сертифікації та чому вона не звільняє від безпечного користування пристроєм.
Що вивчити насамперед. Назва схеми, охоплена модель, чинність і рекомендації виробника.
Приклад застосування. Перед купівлею перевірте, чи сертифікат стосується саме обраної моделі; окремо з’ясуйте строк оновлень.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає розробникам стандартів і схем основу для узгодження вимог, оцінки та правового статусу матеріалів.
Що вивчити насамперед. Створення та перегляд схем, участь зацікавлених сторін, технічні вимоги й належне позначення проєктів.
Приклад застосування. Зіставте вимоги власного документа з ухваленою схемою й окремо позначте прогалини та пропоновані зміни.
Більше про напрям для цієї групиІсторія Cybersecurity Act
Від законодавчої пропозиції до постійного мандата ENISA, першої схеми EUCC та поточного перегляду. Ухвалені норми й пропозиції позначено окремо; стан перевірено за офіційними джерелами.
Поява проєкту Cybersecurity Act
Комісія представила COM(2017) 477: постійний мандат для ENISA та спільну рамку сертифікації ІКТ. Це початок законодавчого шляху Cybersecurity Act; агентство існувало ще до цього проєкту.
Регламент (ЄС) 2019/881
Регламент датований 17 квітня 2019 року, опублікований 7 червня й набрав чинності 27 червня 2019 року. Він закріпив постійний мандат ENISA та правову рамку європейської сертифікації.
Початок застосування окремих правил нагляду
Почали застосовуватися статті 58, 60, 61, 63, 64 і 65: національні органи сертифікації кібербезпеки, органи оцінки відповідності, повідомлення про них, скарги, судовий захист і санкції. Основна частина регламенту вже діяла.
Ухвалення першої схеми — EUCC
Комісія ухвалила Регламент (ЄС) 2024/482 для сертифікації ІКТ-продуктів на основі Common Criteria. Він набрав чинності 27 лютого 2024 року; загальне застосування почалося 27 лютого 2025 року, тоді як глава IV і додаток V застосовувалися вже з набрання чинності.
Рамку розширено на керовані послуги безпеки
Поправка (ЄС) 2025/37, ухвалена 19 грудня 2024 року й опублікована 15 січня 2025 року, набула чинності. Вона дозволила розробляти схеми для послуг на кшталт реагування на інциденти, тестування на проникнення та аудиту безпеки. Окрему схему ще необхідно ухвалити.
Подальше оновлення EUCC
Регламент (ЄС) 2025/2462 уточнив визначення, сертифікацію серій ІКТ-продуктів, збереження довіри після змін та технічні документи. Він набрав чинності 29 грудня 2025 року. Це оновлення EUCC після попередньої поправки 2024/3144, а не нова редакція самого Cybersecurity Act.
Комісія запропонувала Cybersecurity Act 2
COM(2026) 11 пропонує замінити Регламент 2019/881, переглянути роль ENISA та сертифікацію й додати правила безпеки ланцюгів постачання ІКТ. Пропозиція сама по собі не змінює чинні вимоги.
Опубліковано аналіз перегляду CSA2
Дослідницька служба Європарламенту опублікувала огляд змін і питань сертифікації та ланцюгів постачання. Це аналітичний матеріал, а не ухвалений закон. Перевірка процедури станом на 8 вересня 2026 року підтверджує очікування рішення комітету; Регламент 2019/881 залишається чинним.