Spettabile Operatore Economico,
di seguito le risposta ai chiarimenti richiesti:

Su Paragrafo 2.3 Certificazione QSCD

Domanda. Un prodotto in possesso di una notifica eIDAS, rilasciata sulla base di una certificazione CCEU che attesti la conformità ai requisiti di sicurezza dell’Allegato II del Regolamento (UE) n. 910/2014, può essere considerato conforme a tale requisito?


Sì, se la notifica è ancora sostenuta da una certificazione in corso di validità ai sensi dell’articolo 30 del Regolamento (UE) n. 910/2014, come modificato dal Regolamento (UE) 2024/1183.


La notifica eIDAS pubblica il dispositivo già certificato. La conformità all’Allegato II resta quella della certificazione di cui all’articolo 30, paragrafo 1: per un chip di smart card, certificazione Common Criteria nello schema europeo EUCC (nel quesito indicata come CCEU), di livello EAL 4+ con valutazione di vulnerabilità AVA_VAN.5, sui protection profile per i dispositivi di creazione di firma sicura (EN 419211), emessa da un organismo riconosciuto.

In base al nuovo paragrafo 3a dell’articolo 30, quella certificazione non può durare più di cinque anni, ed è mantenuta solo se le valutazioni delle vulnerabilità sono svolte ogni due anni. Se le vulnerabilità rilevate non sono sanate, la certificazione è revocata. Una notifica ancora in elenco, ma appoggiata a un certificato scaduto o non più coperto dalla valutazione biennale, non soddisfa il requisito.

Domanda. Altrimenti, quale specifica certificazione QSCD è richiesta?


La certificazione prevista dall’articolo 30, paragrafi 1 e 3a, del Regolamento (UE) n. 910/2014, Common Criteria EAL 4+ con AVA_VAN.5, conforme all’Allegato II, con validità non superiore a cinque anni e valutazione delle vulnerabilità ogni due anni. Il certificato deve coprire l’hardware del chip, il sistema operativo e il software applicativo di firma, ed essere emesso da un organismo dello schema EUCC (in Italia l’OCSI di ACN, oppure in alternativa un organismo estero equivalente).


Su Paragrafo 2.3.2.1 Rivalutazioni periodiche

Domanda. Cosa si intende esattamente per «rivalutazioni periodiche»? Sono richieste attività periodiche da parte del fornitore, ad esempio con cadenza annuale, quali penetration test e vulnerability assessment?


Risposta. Non è richiesto un penetration test annuale, né un vulnerability assessment annuale come attività autonoma verso l’amministrazione. Per rivalutazioni periodiche si intendono gli obblighi introdotti dal paragrafo 3a dell’articolo 30, ovvero la certificazione QSCD dura al massimo cinque anni e, per restare valida, il titolare della certificazione deve far eseguire una valutazione delle vulnerabilità ogni due anni. Questo processo indica la procedura di sorveglianza correlata al certificato Common Criteria e non un pentest. Se la valutazione individua vulnerabilità e queste non vengono sanate, la certificazione è revocata.


La copertura dell’intera vita del dispositivo, compreso il tempo di scaffale, si ottiene quindi con il rinnovo della certificazione entro i cinque anni e con la valutazione biennale, non con una certificazione unica di durata superiore.


Distinti saluti