Agentschap Telecom als Nationale Cybersecuritycertificeringsautoriteit (NCCA)

De Nederlandse Nationale Cybersecurity certificeringsautoriteit (NCCA) heeft een rol bij het certificeren van IT-producten, -diensten en -processen en het toezicht daarop. De Nederlandse NCCA wordt ingesteld op grond van de CSA-uitvoeringswet. De CSA-uitvoeringswet ligt bij het parlement ter behandeling. In de Memorie van Toelichting spreekt de regering het voornemen uit om de NCCA-taken bij Agentschap Telecom te beleggen.

De Nederlandse NCCA

Agentschap Telecom bereidt zich al vanaf 2019 voor op de certificerende NCCA-taken en de NCCA-toezichthoudende taken. Nederland heeft gekozen om certificerende taken volgens de CSA-optie van ‘prior approval’ uit te voeren, de ‘voorafgaande goedkeuring’.

NCCA-certificering:

  • Beoordeelt of een conformiteitsbeoordelende instantie (CBI) Europese CSA-certificeringen kan en mag uitvoeren (toelating);
  • Beoordeelt op het CSA-zekerheidsniveau ‘hoog’ of een CBI aan het einde van het certificeringstraject een Europees certificaat mag uitreiken (voorafgaande goedkeuring);
  • Beoordeelt of een geaccrediteerde CBI toestemming mag geven aan de fabrikant om het ‘Common Criteria Recognition Arrangement’ (CCRA) logo te gebruiken bij communicatie over een gecertificeerd product.

NCCA-toezicht:

  • Houdt toezicht op de naleving van de certificeringsvereisten door fabrikanten en aanbieders die een IT-product, -dienst of -proces hebben laten certificeren.
  • Houdt toezicht op de naleving van de certificeringsvereisten door de toegelaten CBI’s.

De Europese certificeringregelingen zijn nog in ontwikkeling. De opbouw van de NCCA-taken bij Agentschap Telecom strekt zich daarom over meerdere jaren uit. Met elk nieuwe Europees certificeringsschema groeit de omvang van de NCCA-taken van Agentschap Telecom.

Het eerste certificeringsschema is het EUCC-schema voor certificering van IT-producten. ENISA heeft het kandidaatschema opgeleverd aan de Europese commissie die de tekst verwerkt in een Europese regeling onder de CSA. De verwachting is dat de regeling begin 2022 wordt gepubliceerd.