NCCA autoriseert Brightsight als eerste testlaboratorium voor CSA IT-productcertificering

De Rijksinspectie Digitale Infrastructuur (RDI) heeft als National Cybersecurity Certification Authority (NCCA) in Nederland het eerste Nederlandse IT Security Evaluation Facility (ITSEF) geautoriseerd onder de Europese Cybersecurity Act (CSA). Brightsight is het eerste Nederlandse testlaboratorium dat is toegelaten is om evaluaties uit te voeren onder het Europese Common Criteria certificeringsschema (EUCC) voor IT-producten.

Brightsight BV, gevestigd in Delft, is geautoriseerd om als onafhankelijk testlaboratorium beveiligings-evaluaties uit te voeren van IT-producten. De autorisatie geldt voor het hoogste zekerheidsniveau (Hoog) van de Cybersecurity Act (CSA). De RDI heeft vastgesteld dat Brightsight de expertise heeft om product-evaluaties uit te voeren en dat het voldoet aan beveiligingseisen met betrekking tot klantinformatie, productontwerp en testresultaten.

Brightsight gaat samenwerken met Nederlandse certificeringsinstellingen. Dit gebeurt allemaal volgens de Europese CSA-wetgeving. Certificaten zijn dan in heel Europa geldig en voldoen aan de wereldwijde eisen volgens Common Criteria Recognition Agreement (CCRA).

Certificeringen en evaluaties

De EUCC is het Europese certificeringsschema voor IT-producten op basis van de internationale Common Criteria standaard (ISO/IEC 15408). Het EUCC biedt een geharmoniseerd raamwerk binnen de EU voor het beoordelen en certificeren van de security-eigenschappen van IT-producten.

Een ITSEF voert onafhankelijke beveiligingsevaluaties uit van IT-producten en -systemen volgens de eisen van het CSA-certificeringsschema. De ITSEF toetst of een product voldoet aan vastgestelde beveiligingsstandaarden en rapporteert hierover aan de NCCA.

Op basis van deze rapportage kan een Certification Body (CB) vervolgens een certificaat uitgeven voor het geteste product. De NCCA verwacht op korte termijn ook de eerste CB te autoriseren. Een Europees certificaat is erkend in de hele EU, waardoor certificering per afzonderlijke lidstaat niet meer nodig is.

RDI als toezichthouder op kwaliteit

De RDI is als NCCAde nationale autoriteit die toezicht houdt op de kwaliteit van afgegeven CSA-certificaten voor IT-producten en diensten. De NCCA controleert de toepassing van de schema-eisen door de testlaboratoria en certificerende instellingen, beoordeelt of deze organisaties voldoende competent zijn en hun competenties afdoende onderhouden. De CSA is een Europees raamwerk voor cybersecurity certificering voor digitale producten, diensten en processen binnen de EU. CSA-certificering maakt cyberveiligheid transparant voor afnemers van gecertificeerde producten en diensten. Het helpt bedrijven en overheden bij keuze voor cyberveilige producten en diensten. Zo draagt certificering, en het toezicht van de RDI daarop, bij aan de cyberveiligheid van de nationale en Europese digitale infrastructuur.