Certification EUCC

Qu'est-ce que la certification EUCC ?

L'EUCC est le nouveau système basé sur les Common Criteria établi en vertu du règlement d'exécution (UE) 2024/482 de la Commission européenne. Tous les produits TIC peuvent être certifiés en utilisant les règles du nouveau système de certification.

Applus+ Laboratories, fort de plus de 20 ans d'expérience dans les évaluations des Common Criteria et de la cybersécurité, peut agir en tant que laboratoire d'évaluation (ITSEF)* pour les fournisseurs et fabricants de produits TIC, démontrant la conformité de leurs produits avec les niveaux d'assurance « substantiel » ou « élevé » exploités par le système EUCC. Cela facilite non seulement l'accès au marché intérieur de l'UE, mais renforce également la confiance des consommateurs dans la sécurité des produits TIC.

Avantages de la certification EUCC

Voici quelques-uns des avantages de la certification EUCC :

• Confiance : La certification EUCC est un certificat de qualité et de sécurité qui renforce la confiance des utilisateurs et des clients dans les produits TIC.
• Conformité réglementaire : Elle facilite la conformité des produits TIC avec les réglementations et normes européennes en matière de cybersécurité, ce qui est essentiel pour opérer sur le marché européen.
• Compétitivité du marché : Les produits certifiés dans le cadre du système EUCC se distinguent sur le marché, ce qui leur confère un avantage concurrentiel important.
• Réduction des risques : L'évaluation et la certification permettent d'identifier et d'atténuer les risques de sécurité, protégeant ainsi les fournisseurs et les utilisateurs finaux contre les cybermenaces potentielles.

Champ d'évaluation de l'EUCC : Produits et niveaux d'assurance

Le système EUCC s'applique à un large éventail de produits TIC ou de profils de protection destinés au marché intérieur de l'Union européenne. Ces produits doivent essentiellement satisfaire aux niveaux d'assurance « substantiel » ou « élevé » spécifiés dans le cadre du système EUCC par la loi sur la cybersécurité (CSA), en intégrant notamment des exigences de sécurité issues de la partie 2 des Common Criteria.

Exemples de produits TIC :

• Dispositifs de réseau tels que points d'accès, pare-feu, équilibreurs de charge, etc.
• Systèmes d'exploitation et applications comme Linux, applications mobiles, etc.
• Boîtiers de sécurité matériels comme les terminaux de paiement, tachygraphes numériques, etc.
• Cartes à puce et dispositifs similaires, tels que documents de voyage lisibles par machine, éléments sécurisés, plateformes JavaCard/MULTOS, etc.

Comment obtenir la certification EUCC ?

Pour entamer un processus d'évaluation, tenez compte des étapes suivantes :

1. Choisissez le niveau d'assurance pour votre produit en fonction de vos attentes en matière de sécurité.
2. Rédigez votre objectif de sécurité basé sur un profil de protection (annexe II), s'il existe.
3. Si le niveau d'assurance est élevé, tenez compte des derniers documents relatifs aux domaines techniques.
4. Préparez la documentation technique à évaluer (article 7).
5. Préparez les informations sur la surveillance des vulnérabilités et la gestion des correctifs (article 27 et annexe IV.3).
6. Mettez en place des procédures pour les actions correctives en cas de non-conformité (article 29).
7. Engagez votre ITSEF et CB, et lancez le processus de certification. Applus+ Laboratories peut vous accompagner.

Applus+ Laboratories est-il accrédité et autorisé à réaliser des évaluations EUCC ?

Applus+ Laboratories est un ITSEF EUCC accrédité pour les niveaux CSA Substantial (AVA_VAN.1 et AVA_VAN.2) et High (à partir de AVA_VAN.3). Applus+ Laboratories est en cours d’autorisation. 

Applus+ Laboratories réalise avec succès des évaluations selon les Critères Communs dans le cadre des schémas nationaux actuels et SOGI-S, et peut vous offrir les meilleurs services d’évaluation grâce à sa vaste et reconnue expertise dans le domaine des Critères Communs, en proposant :

• Évaluations basées sur les EAL.
• Évaluations basées sur les PP.
• Domaines techniques (pour une garantie élevée).

Dates clés et lignes directrices pour la mise en œuvre de l'EUCC

Le schéma EUCC est entré officiellement en vigueur le 27 février 2024, avec une date limite pour finaliser les projets sous les schémas nationaux des Common Criteria fixée au 27 février 2026. Actuellement, l’EUCC fonctionne comme un schéma volontaire, laissant aux fabricants—ou en réponse aux exigences finales des clients—le choix de se soumettre à une évaluation de sécurité selon les Common Criteria (désormais EUCC).

Cependant, des régulations telles que le Cyber Resilience Act (CRA) pourraient imposer une conformité obligatoire avec l’EUCC pour certains produits. Bien qu'il soit encore possible de réaliser des évaluations sous les schémas nationaux, celles-ci doivent être achevées avant février 2026. Toutefois, cette approche est déconseillée en raison du risque de ne pas respecter l’échéance.