Un achat de produit connecté peut engager des données sensibles, des opérations industrielles ou des services essentiels. Pour comparer les garanties annoncées par les fabricants, l’Union européenne développe des schémas communs de certification de cybersécurité.
Le schéma EUCC, établi par le règlement d’exécution (UE) 2024/482, porte sur des produits et profils de protection évalués selon les critères communs. Comprendre ses niveaux, ses contrôles et ses limites aide à lire un certificat sans le confondre avec une garantie absolue.
A retenir :
- Référentiel européen harmonisé pour l’évaluation des produits TIC
- Niveaux d’assurance adaptés au risque d’utilisation prévu
- Évaluation indépendante par des organismes compétents et accrédités
- Suivi des certificats, des changements et des vulnérabilités
EUCC : comprendre le schéma européen de certification
Ce cadre commun transforme des pratiques nationales en règles harmonisées à l’échelle européenne. Il s’inscrit dans le Cybersecurity Act, règlement qui organise le cadre européen de certification des technologies de l’information.
Critères communs et portée de l’évaluation
Dans ce cadre, les critères communs servent à examiner les fonctions de sécurité d’un produit TIC. L’évaluation s’appuie également sur une méthode commune et sur une cible de sécurité qui décrit les menaces, l’usage prévu et les exigences retenues.
Un fabricant de routeurs, par exemple, ne fait pas certifier automatiquement toute son entreprise : le certificat concerne un produit, une version et un périmètre précis. Selon le règlement EUCC, l’autoévaluation n’est pas admise pour ce schéma ; des tiers réalisent l’évaluation et la certification.
« L’autoévaluation de la conformité n’est pas autorisée. Seule une évaluation par des tiers est prévue pour le schéma. »
Commission européenne, règlement d’exécution (UE) 2024/482
Niveaux d’assurance et domaines techniques
La gradation distingue les niveaux d’assurance « substantiel » et « élevé », associés à différents niveaux d’analyse des vulnérabilités. Le niveau doit correspondre au risque lié à l’usage prévu, et non simplement à une ambition commerciale.
Pour des cartes à puce ou des dispositifs dotés d’un boîtier de sécurité, des méthodes spécialisées encadrent les évaluations les plus poussées. Selon l’ENISA, le cadre européen prévoit des schémas couvrant produits, services et processus TIC ; l’EUCC porte spécifiquement sur les produits et profils concernés par son règlement.
La comparaison des niveaux devient plus concrète lorsqu’on examine les responsabilités respectives du laboratoire et de l’organisme certificateur.
Niveaux d’assurance du schéma EUCC :
- Niveau substantiel : analyse de vulnérabilité AVA_VAN 1 ou 2
- Niveau élevé : analyse de vulnérabilité AVA_VAN 3, 4 ou 5
- Niveaux AVA_VAN 4 et 5 : conditions techniques spécifiques
- Choix du niveau : cohérence avec l’usage et le risque
Élément
Niveau substantiel
Niveau élevé
Analyse AVA_VAN
1 ou 2
3, 4 ou 5
Évaluation
Par un tiers
Par un tiers autorisé lorsque requis
Organismes
Organisme accrédité
Organismes accrédités et autorisés selon les exigences
Niveaux 4 et 5
Non concernés par la correspondance
Domaines ou conditions spécifiques applicables
« Les certificats EUCC couvrent les niveaux d’assurance substantiel ou élevé. Le niveau retenu doit être adapté au produit évalué. »
Commission européenne, règlement d’exécution (UE) 2024/482
Certification EUCC : acteurs, contrôles et validité
Après le choix du niveau, la fiabilité dépend de la séparation des tâches et de la surveillance exercée après délivrance du certificat. Cette organisation évite qu’une simple étiquette remplace l’examen des preuves techniques.
CESTI, certificateurs et autorités nationales
Le CESTI effectue les activités d’évaluation et documente ses constats dans un rapport technique. L’organisme de certification examine ces résultats, tandis que l’autorité nationale supervise le respect des règles et peut enquêter.
Selon le règlement, l’ENISA publie notamment les certificats et leur statut, ainsi que des informations sur les organismes accrédités ou autorisés. Les acheteurs peuvent ainsi vérifier le périmètre certifié et repérer une suspension, un retrait ou une expiration.
« La portée et les limites du produit TIC certifié sont précisées sans ambiguïté. Le certificat doit permettre d’identifier le produit concerné. »
Commission européenne, règlement d’exécution (UE) 2024/482
Validité, vulnérabilités et usage du certificat
La durée de validité d’un certificat de produit ne dépasse normalement pas cinq ans, sous réserve des dérogations prévues. Une modification importante ou une nouvelle vulnérabilité peut entraîner un réexamen, une suspension ou un retrait.
Une entreprise qui intègre un composant certifié doit donc vérifier sa version, ses conditions d’exploitation et son statut actuel. La certification cloud relève d’un autre périmètre : l’EUCS désigne un schéma européen associé aux services cloud, distinct de l’EUCC consacré aux produits TIC.
Repères pratiques pour vérifier un certificat :
- Identification exacte du produit et de sa version évaluée
- Niveau d’assurance et périmètre des fonctions couvertes
- Statut public du certificat et durée de validité indiquée
- Conditions d’installation, de configuration et de déploiement sécurisé
Acteur
Responsabilité principale
CESTI
Réalisation des évaluations et rapport technique
Organisme de certification
Examen des résultats et délivrance du certificat
Autorité nationale
Contrôle du schéma et surveillance des obligations
ENISA
Publication d’informations sur certificats et organismes
« Le titulaire établit les procédures nécessaires de gestion des vulnérabilités. Il analyse l’impact des failles potentielles sur le produit certifié. »
Commission européenne, règlement d’exécution (UE) 2024/482
Une certification apporte une assurance cybersécurité documentée, mais ne garantit pas l’absence de toute faille ni la sécurité de chaque déploiement. Pour juger la conformité européenne, il faut lire le certificat avec son périmètre, son niveau et ses conditions d’usage.
Cette distinction compte aussi pour les organisations qui comparent plusieurs schémas européens. Un certificat répond à un cadre précis ; il ne remplace ni les mesures de sécurité internes ni l’analyse des risques propres à chaque environnement.
Source : Commission européenne, « Règlement d’exécution (UE) 2024/482 », Journal officiel de l’Union européenne, 20 février 2024.
