(1)

Le présent règlement précise les rôles, les règles et les obligations, ainsi que la structure du schéma européen de certification de cybersécurité (EUCC) fondé sur des critères communs, conformément au cadre européen de certification de cybersécurité défini dans le règlement (UE) 2019/881. L’EUCC s’appuie sur l’accord de reconnaissance mutuelle (ARM) des certificats de sécurité des technologies de l’information du groupe des hauts fonctionnaires pour la sécurité des systèmes d’information (2) (SOG-IS) utilisant les critères communs, y compris les procédures et documents du groupe.

(2)

Il convient que le schéma soit fondé sur des normes internationales établies. Les critères communs sont un ensemble de normes internationales pour l’évaluation de la sécurité de l’information publiées, par exemple, sous la référence ISO/IEC 15408 Sécurité de l’information, cybersécurité et protection de la vie privée — Critères d’évaluation pour la sécurité des technologies de l’information. Ils reposent sur une évaluation par des tiers et prévoient sept niveaux d’assurance de l’évaluation (EAL). Les critères communs sont accompagnés de la méthode d’évaluation commune, publiée, par exemple, sous la référence ISO/IEC 18045 — Sécurité de l’information, cybersécurité et protection de la vie privée — Critères d’évaluation pour la sécurité des technologies de l’information — Méthodologie pour l’évaluation de sécurité. Les spécifications et documents qui appliquent les dispositions du présent règlement peuvent se référer à une norme publiquement accessible qui reflète la norme utilisée pour la certification prévue par le présent règlement, telle que les critères communs pour l’évaluation de la sécurité des technologies de l’information et la méthodologie commune pour l’évaluation de la sécurité des technologies de l’information.

(3)

L’EUCC utilise la famille d’évaluation de la vulnérabilité des critères communs (AVA_VAN), composants 1 à 5. Ces cinq composants fournissent les principaux déterminants et les principales dépendances pour l’analyse des vulnérabilités des produits TIC. Sachant que les composants correspondent aux niveaux d’assurance prévus dans le présent règlement, ils permettent de choisir l’assurance en connaissance de cause, sur la base des évaluations réalisées des exigences de sécurité et du risque associé à l’utilisation prévue du produit TIC. Le demandeur d’un certificat EUCC devrait fournir la documentation relative à l’utilisation prévue du produit TIC et à l’analyse des niveaux de risque associés à cette utilisation afin de permettre à l’organisme d’évaluation de la conformité d’évaluer l’adéquation du niveau d’assurance choisi. Lorsque les activités d’évaluation et de certification sont réalisées par le même organisme d’évaluation de la conformité, le demandeur ne devrait soumettre les informations demandées qu’une seule fois.

(4)

Un domaine technique est un cadre de référence qui couvre un groupe de produits TIC ayant des fonctionnalités de sécurité spécifiques et similaires qui atténuent les attaques et dont les caractéristiques sont communes à un niveau d’assurance donné. Un domaine technique décrit dans des documents de référence les exigences de sécurité spécifiques ainsi que les méthodes, techniques et outils d’évaluation supplémentaires qui s’appliquent à la certification des produits TIC couverts par le domaine technique en question. Tout domaine technique favorise donc également l’harmonisation de l’évaluation des produits TIC couverts. Actuellement, deux domaines techniques sont largement utilisés pour la certification aux niveaux AVA_VAN.4 et AVA_VAN.5. Le premier domaine technique est celui des «cartes à puce et dispositifs similaires», où la fonctionnalité de sécurité requise dépend en grande partie d’éléments matériels spécifiques, adaptés et souvent séparables (par exemple, matériel de carte à puce, circuits intégrés, produits composites de carte à puce, modules de plateforme de confiance tels qu’utilisés dans les systèmes informatiques de confiance, ou cartes de tachygraphe numérique). Le deuxième domaine technique est celui des «dispositifs matériels avec boîtiers de sécurité», où la fonctionnalité de sécurité requise dépend en grande partie d’une enveloppe physique matérielle (appelée «boîtier de sécurité») conçue pour résister aux attaques directes, par exemple les terminaux de paiement, les unités de tachygraphe pour véhicules, les compteurs intelligents, les terminaux de contrôle d’accès et les modules de sécurité matériels.

(5)

Lors d’une demande de certification, le demandeur devrait expliquer son choix de niveau d’assurance par rapport aux objectifs énoncés à l’article 51 du règlement (UE) 2019/881, et à la sélection de composants dans le catalogue des exigences fonctionnelles de sécurité et des exigences d’assurance de sécurité incluses dans les critères communs. Les organismes de certification devraient évaluer la pertinence du niveau d’assurance choisi et veiller à ce que le niveau choisi corresponde au niveau de risque associé à l’utilisation prévue du produit TIC.

(6)

Selon les critères communs, la certification est effectuée par rapport à une cible de sécurité qui englobe une définition du problème de sécurité du produit TIC ainsi que les objectifs de sécurité qui répondent au problème de sécurité. Le problème de sécurité fournit des détails sur l’utilisation prévue du produit TIC et les risques associés à cette utilisation. Un ensemble sélectionné d’exigences de sécurité répond à la fois au problème de sécurité et aux objectifs de sécurité d’un produit TIC.

(7)

Les profils de protection sont un moyen efficace de prédéterminer les critères communs applicables à une catégorie donnée de produits TIC et, par conséquent, un élément essentiel du processus de certification des produits TIC couverts par le profil de protection. Un profil de protection est utilisé pour évaluer les futures cibles de sécurité qui relèvent de la catégorie de produits TIC visée par ce profil de protection. Il permet de rationaliser et d’améliorer encore l’efficacité du processus de certification des produits TIC et aide les utilisateurs à spécifier correctement et efficacement la fonctionnalité d’un produit TIC. Les profils de protection devraient donc être considérés comme faisant partie intégrante du processus TIC menant à la certification des produits TIC.

(8)

Afin de pouvoir jouer leur rôle dans le processus TIC soutenant le développement et la fourniture d’un produit TIC certifié, les profils de protection eux-mêmes devraient pouvoir être certifiés indépendamment de la certification du produit TIC spécifique qui relève du profil de protection en question. Il est donc essentiel d’appliquer au moins le même niveau de contrôle aux profils de protection qu’aux cibles de sécurité afin de garantir un niveau élevé de cybersécurité. Les profils de protection devraient être évalués et certifiés indépendamment du produit TIC correspondant et uniquement en appliquant la classe d’assurance des critères communs et de la méthode d’évaluation commune pour les profils de protection (APE) et, le cas échéant, pour les configurations de profils de protection (ACE). En raison de leur rôle important et sensible en tant que référence dans la certification des produits TIC, ils ne devraient être certifiés que par des organismes publics ou par un organisme de certification qui a reçu de l’autorité nationale de certification de cybersécurité l’approbation préalable pour le profil de protection concerné. Eu égard à leur rôle fondamental pour la certification au niveau d’assurance «élevé», notamment en dehors des domaines techniques, les profils de protection devraient être élaborés sous la forme de documents de référence à approuver par le groupe européen de certification de cybersécurité.

(9)

Les profils de protection certifiés devraient être inclus dans le contrôle de conformité et de respect des règles de l’EUCC par les autorités nationales de certification de cybersécurité. Lorsque la méthodologie, les outils et les compétences appliqués aux approches concernant l’évaluation des produits TIC sont disponibles pour des profils de protection certifiés spécifiques, les domaines techniques pourraient être fondés sur ces profils.

(10)

Afin d’assurer un niveau élevé de confiance et d’assurance dans les produits TIC certifiés, l’autoévaluation ne devrait pas être autorisée en vertu du présent règlement. Seule l’évaluation de la conformité par un tiers, à savoir un CESTI et un organisme de certification, devrait être autorisée.

(11)

La communauté SOG-IS a fourni des interprétations et des approches communes pour l’application des critères communs et de la méthode d’évaluation commune à la certification, en particulier pour le niveau d’assurance «élevé» visé par les domaines techniques «cartes à puce et dispositifs similaires» et «dispositifs matériels avec boîtiers de sécurité». La réutilisation de ces documents d’appui dans le schéma EUCC garantit une transition en douceur entre les schémas SOG-IS mis en œuvre au niveau national et le schéma EUCC harmonisé. Par conséquent, il convient d’inclure dans le présent règlement des méthodes d’évaluation harmonisées applicables à l’ensemble des activités de certification. En outre, la Commission devrait pouvoir demander au groupe européen de certification de cybersécurité d’adopter un avis approuvant et recommandant l’application des méthodes d’évaluation spécifiées dans les documents de référence pour la certification de produit TIC ou de profil de protection dans le cadre du schéma EUCC. Par conséquent, le présent règlement énumère à l’annexe I les documents de référence relatifs aux activités d’évaluation menées par les organismes d’évaluation de la conformité. Le groupe européen de certification de cybersécurité devrait approuver et tenir à jour les documents de référence. Les documents de référence devraient être utilisés pour la certification. Ce n’est que dans des cas exceptionnels et dûment justifiés qu’un organisme d’évaluation de la conformité pourrait ne pas les utiliser, sous réserve de conditions spécifiques, en particulier l’approbation par l’autorité nationale de certification de cybersécurité.

(12)

La certification des produits TIC au niveau AVA_VAN 4 ou 5 ne devrait être possible que dans des conditions spécifiques et lorsqu’une méthode d’évaluation spécifique est disponible. La méthode d’évaluation spécifique peut être inscrite dans des documents de référence pertinents pour le domaine technique, ou dans des profils de protection spécifiques adoptés en tant que documents de référence pertinents pour la catégorie de produits concernée. La certification à ces niveaux d’assurance ne devrait être possible que dans des cas exceptionnels et dûment justifiés, sous réserve de conditions spécifiques, en particulier l’approbation, notamment de la méthode d’évaluation applicable, par l’autorité nationale de certification de cybersécurité. Il pourrait exister des cas exceptionnels et dûment justifiés lorsque la législation de l’Union ou la législation nationale exige la certification d’un produit TIC au niveau AVA_VAN 4 ou 5. De même, dans des cas exceptionnels et dûment justifiés, les profils de protection pourraient être certifiés sans l’application des documents de référence pertinents, sous réserve de conditions spécifiques, en particulier l’approbation, notamment de la méthode d’évaluation applicable, par l’autorité nationale de certification de cybersécurité.

(13)

Les marques et les étiquettes utilisées dans le cadre de l’EUCC visent à démontrer de manière visible la fiabilité du produit TIC certifié aux utilisateurs et à leur permettre de faire un choix éclairé lorsqu’ils achètent des produits TIC. L’utilisation des marques et des étiquettes devrait également être soumise aux règles et conditions énoncées dans la norme ISO/CEI 17065 et, le cas échéant, dans la norme ISO/CEI 17030 et ses lignes directrices applicables.

(14)

Les organismes de certification devraient décider de la durée de validité des certificats en tenant compte du cycle de vie du produit TIC concerné. La durée de validité ne devrait pas dépasser cinq ans. Les autorités nationales de certification de cybersécurité devraient s’efforcer d’harmoniser la durée de validité dans l’Union.

(15)

Lorsqu’un certificat EUCC existant voit son champ d’application réduit, il devrait être retiré et un nouveau certificat indiquant le nouveau champ d’application devrait être délivré pour que les utilisateurs soient tenus clairement informés du champ d’application et du niveau d’assurance du certificat d’un produit TIC donné.

(16)

La certification des profils de protection est différente de celle des produits TIC car elle concerne un processus TIC. Sachant qu’un profil de protection couvre une catégorie de produits TIC, l’évaluation et la certification d’un profil de protection ne peuvent être effectuées sur la base d’un seul produit TIC. Étant donné qu’un profil de protection regroupe les exigences générales de sécurité concernant une catégorie de produits TIC, indépendamment de la manifestation du produit TIC par son vendeur, la période de validité d’un certificat EUCC pour un profil de protection devrait, en principe, couvrir cinq ans au minimum et pouvoir être étendue à la durée de vie du profil de protection.

(17)

Un organisme d’évaluation de la conformité est un organisme qui effectue des opérations d’évaluation de la conformité, comme l’étalonnage, les essais, la certification et l’inspection. Afin de garantir une qualité élevée des services, le présent règlement précise que les opérations d’essai, d’une part, et les opérations de certification et d’inspection, d’autre part, devraient être effectuées par des entités opérant indépendamment les unes des autres, à savoir, respectivement, les centres d’évaluation de la sécurité des technologies de l’information («CESTI») et les organismes de certification. Ces deux types d’organismes d’évaluation de la conformité devraient être accrédités et, dans certains cas, autorisés.

(18)

Un organisme de certification devrait être accrédité conformément à la norme ISO/CEI 17065 par l’organisme national d’accréditation pour les niveaux d’assurance «substantiel» et «élevé». En plus d’être accrédités conformément au règlement (UE) 2019/881, lu conjointement avec le règlement (CE) no 765/2008, les organismes d’évaluation de la conformité devraient satisfaire à des exigences spécifiques afin de garantir leur compétence technique en vue de l’évaluation des exigences de cybersécurité au niveau d’assurance «élevé» du schéma EUCC, qui est confirmée par une «autorisation». Afin de soutenir le processus d’autorisation, il convient que des documents de référence pertinents soient élaborés, et qu’ils soient publiés par l’ENISA après approbation du groupe européen de certification de cybersécurité.

(19)

La compétence technique d’un CESTI devrait être évaluée au moyen de l’accréditation des laboratoires d’essai prévue par la norme ISO/CEI 17025 et complétée par la norme ISO/CEI 23532-1 pour l’ensemble des activités d’évaluation qui sont pertinentes pour le niveau d’assurance et spécifiées dans la norme ISO/CEI 18045, conjointement avec la norme ISO/CEI 15408. L’organisme de certification ainsi que le CESTI devraient établir et tenir à jour un système approprié de gestion des compétences du personnel qui s’inspire de la norme ISO/CEI 19896-1 pour les éléments et les niveaux de compétence et pour l’appréciation des compétences. En ce qui concerne le niveau de connaissances, d’aptitudes, d’expérience et de formation, les exigences applicables aux évaluateurs devraient être inspirées de la norme ISO/CEI 19896-3. L’équivalence des dispositions et mesures prises pour combler les écarts avec ces systèmes de gestion des compétences devrait être démontrée, au regard des objectifs du système.

(20)

Pour être autorisé, il y a lieu que le CESTI démontre sa capacité à déterminer l’absence de vulnérabilités connues, la mise en œuvre correcte et cohérente de fonctionnalités de sécurité de pointe pour la technologie spécifique concernée et la résistance du produit TIC ciblé par des attaques menées par des acteurs compétents. En outre, pour obtenir des autorisations dans le domaine technique des «cartes à puce et dispositifs similaires», il y a également lieu que le CESTI démontre les capacités techniques nécessaires aux activités d’évaluation et aux tâches connexes définies dans le document d’appui «Minimum ITSEF requirements for security evaluations of smart cards and similar devices» (3) (Exigences minimales du CESTI pour l’évaluation de la sécurité des cartes à puce et des dispositifs similaires, en anglais) dans le cadre des critères communs. Pour l’autorisation dans le domaine technique «dispositifs matériels avec boîtiers de sécurité», le CESTI devrait, en outre, démontrer les exigences techniques minimales nécessaires à la réalisation des activités d’évaluation et des tâches connexes relatives aux dispositifs matériels avec boîtiers de sécurité, conformément aux recommandations du GECC. Dans le cadre des exigences minimales, le CESTI devrait être en mesure de mener les différents types d’attaques décrits dans le document d’appui «Application of Attack Potential to Hardware Devices with Security Boxes» (Application du potentiel d’attaque aux dispositifs matériels avec boîtiers de sécurité, en anglais) dans le cadre des critères communs. Ces capacités englobent les connaissances et les compétences de l’évaluateur, ainsi que l’équipement et les méthodes d’évaluation nécessaires pour déterminer et évaluer les différents types d’attaques.

(21)

L’autorité nationale de certification de cybersécurité devrait contrôler le respect, par les organismes de certification, le CESTI et les titulaires de certificats, de leurs obligations découlant du présent règlement et du règlement (UE) 2019/881. L’autorité nationale de certification de cybersécurité devrait utiliser toute source d’information appropriée à cette fin, y compris les informations reçues des participants au processus de certification ou obtenues au cours de ses propres enquêtes.

(22)

Les organismes de certification devraient coopérer avec les autorités compétentes de surveillance du marché et tenir compte de toute information relative à la vulnérabilité qui pourrait concerner les produits TIC pour lesquels ils ont délivré des certificats. Les organismes de certification devraient contrôler les profils de protection qu’ils ont certifiés afin de déterminer si les exigences de sécurité définies pour une catégorie de produits TIC continuent de refléter les dernières évolutions en matière de cybermenace.

(23)

À l’appui du contrôle de conformité, les autorités nationales de certification de cybersécurité devraient coopérer avec les autorités de surveillance du marché concernées, conformément à l’article 58 du règlement (UE) 2019/881 et au règlement (UE) 2019/1020 du Parlement européen et du Conseil (4). Les opérateurs économiques de l’Union sont tenus de partager des informations et de coopérer avec les autorités de surveillance du marché, conformément à l’article 4, paragraphe 3, du règlement (UE) 2019/1020.

(24)

Les organismes de certification devraient contrôler si les titulaires de certificats respectent leurs obligations et contrôler la conformité de tous les certificats délivrés au titre de l’EUCC. Ce contrôle devrait garantir que tous les rapports d’évaluation fournis par un CESTI, les conclusions qui y sont tirées ainsi que les critères et méthodes d’évaluation sont appliqués de manière cohérente et correcte dans toutes les activités de certification.

(25)

Lorsque des problèmes de non-conformité potentiels sont détectés pour un produit TIC certifié, il est important d’assurer une réaction proportionnelle. Les certificats pourront donc être suspendus. Cette suspension devrait entraîner certaines limitations concernant la promotion et l’utilisation du produit TIC en question, sans affecter la validité du certificat. La suspension devrait être notifiée aux acheteurs des produits TIC concernés par le titulaire du certificat européen, et aux autorités compétentes de surveillance du marché par l’autorité nationale de certification de cybersécurité. Pour informer le public, l’ENISA devrait publier des informations sur la suspension en question sur un site web prévu à cet effet.

(26)

Le titulaire d’un certificat EUCC devrait mettre en œuvre les procédures de gestion des vulnérabilités nécessaires et veiller à ce que ces procédures soient intégrées dans son organisation. Lorsqu’il a connaissance d’une vulnérabilité potentielle, le titulaire du certificat EUCC devrait effectuer une analyse d’impact de la vulnérabilité. Si cette analyse confirme que la vulnérabilité peut être exploitée, le titulaire du certificat devrait envoyer un rapport d’évaluation à l’organisme de certification qui, à son tour, devrait en informer l’autorité nationale de certification de cybersécurité. Ce rapport devrait indiquer l’incidence de la vulnérabilité, les changements nécessaires ou les mesures correctives requises, ainsi que les éventuelles implications plus larges de la vulnérabilité et les solutions correctives pour d’autres produits. Le cas échéant, la norme EN ISO/CEI 29147 devrait compléter la procédure de divulgation de la vulnérabilité.

(27)

Aux fins de la certification, les organismes d’évaluation de la conformité et les autorités nationales de certification de cybersécurité obtiennent des données confidentielles et sensibles et des secrets d’affaires, également liés à la propriété intellectuelle ou au contrôle de la conformité, qui nécessitent une protection adéquate. Ils devraient donc disposer des compétences et des connaissances techniques nécessaires et mettre en place des systèmes de protection des informations. Les exigences et conditions relatives à la protection des informations devraient être respectées tant pour l’accréditation que pour l’autorisation.

(28)

L’ENISA devrait fournir la liste des profils de protection certifiés sur son site web de certification de cybersécurité et indiquer leur statut, conformément au règlement (UE) 2019/881.

(29)

Le présent règlement fixe les conditions des accords de reconnaissance mutuelle avec les pays tiers. Ces accords de reconnaissance mutuelle peuvent être bilatéraux ou multilatéraux et devraient remplacer les accords similaires actuellement en place. Pour que la transition vers ces accords de reconnaissance mutuelle se fasse en douceur, les États membres peuvent continuer d’appliquer pendant un temps limité les accords de coopération existants conclus avec des pays tiers.

(30)

Les organismes de certification délivrant des certificats EUCC au niveau d’assurance «élevé», ainsi que les CESTI associés, devraient faire l’objet d’évaluations par les pairs. L’objectif des évaluations par les pairs devrait consister à déterminer si les statuts et les procédures d’un organisme de certification évalué par les pairs restent conformes aux exigences du schéma EUCC. L’évaluation par les pairs est différente de l’examen par les pairs dont font l’objet les autorités nationales de certification de cybersécurité conformément à l’article 59 du règlement (UE) 2019/881. Les évaluations par les pairs devraient permettre de vérifier que les organismes de certification travaillent de manière harmonisée et produisent des certificats de même qualité. Elles devraient également permettre de recenser toute force ou faiblesse potentielle dans les performances des organismes de certification, notamment en vue de partager les meilleures pratiques. Étant donné qu’il existe différents types d’organisme de certification, il conviendrait d’autoriser différents types d’évaluation par les pairs. Dans des cas plus complexes, tels que celui des organismes de certification délivrant des certificats à différents niveaux AVA_VAN, plusieurs types d’évaluation par les pairs peuvent être utilisés, à condition que toutes les exigences soient respectées.

(31)

Le groupe européen de certification de cybersécurité devrait jouer un rôle important dans le maintien du schéma. Pour ce faire, il devrait, entre autres, coopérer avec le secteur privé, créer des sous-groupes spécialisés et réaliser les travaux préparatoires et l’assistance demandés par la Commission. Le groupe européen de certification de cybersécurité joue un rôle important dans l’approbation des documents de référence. Lors de l’approbation et de l’adoption des documents de référence, il devrait être dûment tenu compte des éléments visés à l’article 54, paragraphe 1, point c), du règlement (UE) 2019/881. Les domaines techniques et les documents de référence devraient être publiés à l’annexe I du présent règlement. Les profils de protection qui ont été adoptés en tant que documents de référence devraient être publiés à l’annexe II. Afin de garantir le caractère dynamique de ces annexes, la Commission peut les modifier, conformément à la procédure prévue à l’article 66, paragraphe 2, du règlement (UE) 2019/881, et en tenant compte de l’avis du groupe européen de certification de cybersécurité. L’annexe III contient des profils de protection recommandés qui, au moment de l’entrée en vigueur du présent règlement, ne sont pas des documents de référence. Ils devraient être publiés sur le site web de l’ENISA visé à l’article 50, paragraphe 1, du règlement (UE) 2019/881.

(32)

Le présent règlement devrait commencer à s’appliquer douze mois après son entrée en vigueur. Les exigences du chapitre IV et de l’annexe V ne nécessitent pas de période de transition et devraient donc s’appliquer dès l’entrée en vigueur du présent règlement.

(33)

Les mesures prévues au présent règlement sont conformes à l’avis du comité européen de certification de cybersécurité institué par l’article 66 du règlement (UE) 2019/881,