从全球网络安全治理看欧洲的战略转向

随着信息化、数字化、人工智能与云计算的高速发展，网络安全风险正成为全球治理的核心议题之一。各国政府和国际组织相继推出各类安全认证体系，以提升信息技术产品和服务的安全可信度。在这其中，CC认证无疑是影响力最大的国际安全认证体系。自上世纪九十年代末诞生以来，CC认证被美国、日本、韩国、加拿大等三十多个国家采用，成为信息安全产品“通行国际市场”的关键凭证。它提供了一套统一的技术评估框架，使安全产品能够跨国互认，降低了测试与监管的重复成本。

然而，随着《网络弹性法案》（CRA）以及《欧盟网络安全法案》的相继推出，欧洲在网络安全认证领域逐渐形成了自主而系统的认证框架，其中最具代表性的便是EUCC认证体系。EUCC的出现，标志着欧洲希望在统一市场中建立独立、安全、可控的网络安全信任机制，这不仅是技术标准的调整，更是数字主权与产业安全战略的延伸。

---

二、CC认证体系概览：国际安全评估的基石

1. 体系起源与发展历程

CC认证最初由美国、加拿大、英国、法国、德国等国于1999年共同制定，取代了原有的TCSEC、ITSEC、CTCPEC等多国标准，旨在统一全球安全评估标准，其评估依据为ISO/IEC 15408标准。

经过二十余年的发展，CC认证已被36个国家采纳，其中包括日本、韩国、美国、加拿大等安全强国，形成了被称为CCRA（Common Criteria Recognition Arrangement）的国际互认体系。CCRA成员国之间可互认认证结果，这使得CC认证成为ICT安全产品国际流通的重要通行证。

2. 核心结构与认证层级

CC认证体系以安全目标（ST）为核心，通过评估产品在定义的安全功能（SFR）和安全保证（SAR）方面的满足度，确定其可信等级。
认证等级分为EAL1–EAL7七个层级，从“功能性测试”到“形式化验证”逐步提升。

等级	名称	技术要求概述
EAL1	Functionally Tested	基本功能验证
EAL2	Structurally Tested	结构性测试
EAL3	Methodically Tested and Checked	系统化测试
EAL4	Methodically Designed, Tested and Reviewed	设计与审查验证
EAL5	Semi-Formally Designed and Tested	半形式化设计验证
EAL6	Semi-Formally Verified Design and Tested	半形式化验证设计
EAL7	Formally Verified Design and Tested	形式化验证最高级别

---

三、EUCC认证体系：欧洲自主网络安全认证框架的核心

1. EUCC的战略定位

相比之下，EUCC认证是欧盟在网络安全战略背景下推出的自主认证体系。EUCC由欧洲网络安全局（ENISA）主导制定，是欧盟《网络安全法案》下首个高等级网络安全认证方案。EUCC的核心目标在于统一欧盟内部ICT安全认证体系，实现各成员国间的证书互认，减少重复认证成本，强化欧盟数字主权。换言之，EUCC既是CC认证在欧洲的继承与扩展，也是欧盟数字安全治理框架的重要组成部分。

2. 标准基础与技术框架

EUCC的技术基础依然源自ISO/IEC 15408标准，保持了与CC认证的结构一致性，但在认证层级、监管机制和合规框架方面进行了重大调整。EUCC采用了“Basic、Substantial、High”三层保证级别的结构设计，代替CC认证的EAL1–EAL7模式。

这种分层体系更契合欧盟市场监管需求：Basic级用于低风险ICT产品，Substantial级适用于中高风险系统，而High级则面向关键基础设施或高安全等级产品，如密码芯片、安全模块、数字身份系统等。其次，EUCC在评估内容中引入了供应链安全、生命周期管理以及隐私保护等新要素，使其评估范围不仅局限于产品功能安全，更涵盖数据安全与运营安全。

---

四、EUCC vs CC认证：核心差异与互补分析

对比维度	CC认证	EUCC认证
管理机构	CCRA成员国机制	欧盟委员会、ENISA
适用范围	全球多国互认体系	欧盟成员国内部统一认证
法律基础	国际互认协定（CCRA）	欧盟《网络安全法案》
评估等级	EAL1–EAL7	Basic / Substantial / High
技术文档	ISO/IEC 15408	基于CC标准 + 欧洲法规 2019/881号和2024/482号等
互认机制	CCRA国际互认	欧盟成员国互认

从结构上看，EUCC是CC在欧洲的本地化版本，但其在法律约束、认证互认、市场整合方面更具体系化优势。可以认为，CC是“全球互认的安全基准”，而EUCC是“欧盟内部统一的安全法定认证”。

---

五、技术与合规的融合：EUCC与CRA合规

值得注意的是，EUCC不仅是技术认证，更是欧盟整体网络安全政策的重要工具。在《网络弹性法案》（CRA）中，EUCC认证结果可以作为产品满足安全设计与开发要求的合规依据。

这种政策机制意味着，EUCC认证不仅代表产品技术安全可信，更是企业进入欧盟市场的合规门槛。

---

六、产业影响与企业应对策略

从产业角度看，EUCC的推出将深刻影响全球ICT企业的市场策略。对于欧洲本土厂商而言，EUCC提供了统一的认证渠道，简化了合规流程，降低了市场准入成本；对于非欧盟厂商，尤其是希望进入欧洲市场的国际企业而言，必须考虑EUCC兼容性和欧盟合规要求。厂商不仅要满足技术安全标准，还需遵循欧盟的安全合规要求。

对于中国厂商而言，EUCC的兴起既是挑战也是机遇。一方面，欧盟通过EUCC强化了市场准入门槛，对未通过认证的产品限制较多；另一方面，中国厂商若能率先布局EUCC认证，将在欧洲市场竞争中获得显著优势。企业应当在CC认证体系的基础上，积极研究EUCC技术要求，提前准备产品安全架构和合规文档。此外，随着EUCC与CRA、NIS2等法规的深度结合，合规要求的跨领域性更强，中国厂商可借助具有国际认证经验的专业咨询机构，降低认证难度与成本。

望安科技专注产品安全认证和形式化验证技术，欢迎关注获取更多信息。