Implementatie van het certificeringproces

Bovenstaande figuur toont hoe een certificeringproces verloopt op nationaal niveau.

Een certificaat behalen kan via een conformiteitsbeoordelingsinstantie (CAB) of, indien de mogelijkheid is voorzien, via een conformiteitszelfbeoordeling.

1. Een schema kan conformiteitszelfbeoordeling (1) voorzien. Dit betekent dat een fabrikant of aanbieder zelf evalueert of zijn ICT-product, -dienst of -proces voldoet aan de in een specifiek schema opgenomen beveiligingsvoorschriften. Wanneer deze conform is met de voorschriften in het schema, kan de fabrikant of aanbieder een certificaat behalen. Niet elk schema zal voorzien in deze mogelijkheid. Wanneer dit wel het geval is, zal dit enkel gelden voor het zekerheidsniveau ‘basis’. Enkel het EUCS voorziet zelfbeoordeling voor het zekerheidsniveau ‘basis’.
    
2. BELAC, de nationale accreditatie instantie (2) (NAB), accrediteert een conformiteitsbeoordelingsinstantie (CAB) voor maximaal 5 jaar voor een bepaald schema.

Een geaccrediteerde CAB kan op zijn beurt een fabrikant of aanbieder certificeren voor hun ICT-producten, -diensten of -processen als die voldoet aan de beveiligingsvoorschriften van het schema waarvoor certificering wordt aangevraagd. Als de fabrikant of aanbieder niet voldoet aan de voorschriften, en het certificaat wordt al dan niet tijdelijk geweigerd door een CAB, kan men beroep aantekenen bij het CCB.

Door de Cybersecurity Act is het mogelijk dat een niet-Belgische CAB met een zetel in België zich kan laten accrediteren bij BELAC. Deze valt dan onder Belgische controle. België geeft momenteel de voorkeur aan volledige of gedeeltelijke delegatie aan de door BELAC geaccrediteerde CAB’s voor de Europese cyberbeveiligingscertificaten voor zekerheidsniveau “Hoog”.