Krajowy certyfikat

Krajowy certyfikat to dokument, który potwierdza wynik oceny przeprowadzonej w ramach krajowego schematu certyfikacji cyberbezpieczeństwa. Z jego treści wynika, że określony przedmiot lub osoba zostały sprawdzone pod kątem zgodności ze szczegółowymi wymaganiami przewidzianymi w tym schemacie. Definicja tego pojęcia znajduje się w ustawie „o krajowym systemie certyfikacji cyberbezpieczeństwa”.

Certyfikat może dotyczyć różnych elementów związanych z cyberbezpieczeństwem, w szczególności:

• produktu ICT,
• usługi ICT,
• procesu ICT,
• usługi zarządzanej w zakresie bezpieczeństwa,
• systemu zarządzania cyberbezpieczeństwem,
• osoby fizycznej.

Istotne są więc trzy podstawowe elementy. Po pierwsze, musi istnieć dokument, a nie tylko ustna informacja lub samo przeprowadzenie oceny. Po drugie, dokument powinien odnosić się do konkretnego produktu, usługi, procesu, systemu albo osoby. Po trzecie, jego podstawą jest ocena zgodności ze szczegółowymi wymaganiami określonymi w krajowym schemacie certyfikacji cyberbezpieczeństwa. Certyfikat nie oznacza zatem ogólnego stwierdzenia, że dany przedmiot lub osoba są „bezpieczne” w każdym znaczeniu. Potwierdza spełnienie wymagań przyjętych dla danego schematu i zakresu oceny.

W praktyce krajowy certyfikat pełni funkcję formalnego potwierdzenia przeprowadzenia takiej oceny i jej wyniku. Ułatwia wykazanie, że określone rozwiązanie, sposób działania, system zarządzania lub osoba odpowiadają wymaganiom właściwym dla danego schematu. Znaczenie dokumentu zależy od tego, czego dotyczy certyfikacja oraz jakie wymagania zostały w niej określone. Pojęcie obejmuje zarówno certyfikację rozwiązań technicznych i usług, jak i ocenę procesów, organizacji zarządzania cyberbezpieczeństwem oraz kwalifikacji konkretnej osoby fizycznej w zakresie objętym schematem.