Information security, cybersecurity and privacy protection — Evaluation criteria for IT security; Methodology for IT security evaluation

Verified on 2026-10-29

FICHE — ISO/IEC 15408 (Critères communs) et ISO/IEC 18045 (CEM)

Le texte ISO est payant pour les éditions citées (2022 et antérieures). Le contenu technique est disponible gratuitement sous la forme des Common Criteria publiés par le CCRA, téléchargés dans cette base (§ 3). De plus, l'édition 2026 est proposée gratuitement (CHF 0) sur la boutique ISO. Établie le 2026-10-29.

1. Identification

PartieÉdition citée par les actesÉdition ISO en vigueur (2026-10-29)Prix ISO (édition en vigueur)
15408-1 Introduction and general model2009 (2016/650) ; 2022 (actes 2025)ISO/IEC 15408-1:2026 (5e éd., 2026-05-19, 138 p.)CHF 0
15408-2 Security functional components2008 (2016/650) ; 2022ISO/IEC 15408-2:2026 (243 p.)CHF 0
15408-3 Security assurance components2008 (2016/650) ; 2022 (2024/2981 : « EN ISO/IEC 15408-3:2022 »)ISO/IEC 15408-3:2026 (176 p.)CHF 0
15408-4 Framework for the specification of evaluation methods and activities2022ISO/IEC 15408-4:2026 (16 p.)CHF 0
15408-5 Pre-defined packages of security requirements2022ISO/IEC 15408-5:2026 (27 p.)CHF 0
18045 Methodology for IT security evaluation (CEM)2008 (2016/650)ISO/IEC 18045:2026 (4e éd., 447 p.)CHF 0
  • Éditeur et comité : ISO et IEC, ISO/IEC JTC 1/SC 27.
  • Titre commun depuis 2022 : Information security, cybersecurity and privacy protection — Evaluation criteria for IT security.
  • Les éditions 2022 sont retirées depuis la publication de 2026 (stade 95.99).
  • Achat ou obtention : https://www.iso.org/standard/88134.html (partie 1), 88135, 88136, 88138, 88140 (parties 2 à 5) et 88141 (18045). Panier ISO, compte requis : le téléchargement n'a pas été automatisé.
  • Adoption européenne : EN ISO/IEC 15408-x:2022 et EN ISO/IEC 18045:2022 (CEN/CENELEC JTC 13), via NBN en Belgique.

2. Objet et champ d'application (résumé officiel ISO, partie 1, traduit)

La partie 1 établit les concepts et principes généraux de l'évaluation de sécurité des TI. Elle définit le modèle général d'évaluation des propriétés de sécurité des produits TI. Elle introduit :

  • la cible d'évaluation (TOE) ;
  • les profils de protection (PP), modules et configurations de PP, les paquets et les cibles de sécurité (ST), avec les types de conformité ;
  • les opérations sur les composants fonctionnels (partie 2) et d'assurance (partie 3) ;
  • les méthodes et activités d'évaluation dérivées de 18045 (partie 4) ;
  • les niveaux EAL prédéfinis (partie 5).

3. Équivalents gratuits téléchargés (textes officiels CCRA)

Selon l'avant-propos de CC:2022 (partie 1), « CC:2022 et CEM:2022 ont été élaborés d'abord comme normes ISO/IEC puis publiés par le CCRA ». La version ISO de CC:2022 est publiée en cinq parties, ISO/IEC 15408-1:2022 à 15408-5:2022 ; celle de la CEM:2022 en une partie, ISO/IEC 18045:2022.

Fichier localContenu
CC-2022-R1-Part1.md à Part5CC:2022 révision 1, parties 1 à 5 (≙ ISO/IEC 15408-1 à -5:2022)
CC-2022-R1-CEM.mdCEM:2022 R1 (≙ ISO/IEC 18045:2022)
CC-2022-Errata-CCMB-2025-001-v1.2.mdErrata et interprétations CC/CEM:2022 (CCMB-2025-001 v1.2)
CC-2022-Transition-Policy.mdPolitique de transition CC 3.1 → CC:2022 (CCMC-2023-04-001)
CC-3.1-R5-Part1.md à Part3, CC-3.1-R5-CEM.mdCC v3.1 R5 et CEM v3.1 R5 (2017), contenu aligné sur la lignée ISO/IEC 15408:2008/2009 et 18045:2008 citée par 2016/650

4. Parties utiles pour eIDAS 2

  • Évaluation des QSCD (dispositifs qualifiés de création de signature ou de cachet) : la décision d'exécution 2016/650 (art. 30(3) et 39(2)) fixe la norme d'évaluation de sécurité. Il renvoie à ISO/IEC 15408-1:2009, -2:2008, -3:2008 et à ISO/IEC 18045:2008, appliqués avec les profils de protection de la série EN 419 211 (voir FICHE-CEN-EN-419211.md).

  • Certification des portefeuilles EUDI (2024/2981, annexe IV) : WSCD et WSCA font l'objet d'une analyse de vulnérabilité AVA_VAN.5 selon EN ISO/IEC 15408-3:2022, sauf justification (annexe I du règl. 2024/482). La WSCD est évaluée de préférence sous EUCC, avec un PP recommandé.

  • Systèmes et produits fiables des prestataires qualifiés : les actes de 2025 et 2026 sur la QEAA (2025/1569, modifié par 2026/1735), l'horodatage (2025/1929), la validation (2025/1942), les certificats qualifiés (2025/1943), l'envoi recommandé (2025/1944), la conservation (2025/1946), les registres électroniques (2025/2531) et l'archivage (2025/2532) exigent des modules cryptographiques et produits certifiés :

    • selon ISO/IEC 15408 ou CC:2022 au niveau EAL 4+ ;
    • ou sous EUCC ;
    • ou selon FIPS 140-3 niveau 3 jusqu'au 31.12.2030.

    Ces actes admettent CC 3.1 jusqu'au 31.08.2027 (formulation de 2025/1569 consolidé, annexe I).

  • Composants clés pour les formations :

    • partie 3, classe AVA (analyse de vulnérabilité) et familles ALC ;
    • partie 5, paquets EAL ;
    • CEM, méthode d'évaluation ;
    • partie 4, méthodes et activités d'évaluation.

5. Actes eIDAS qui la citent

ActeEmplacementTeneur
2016/650 (normes QSCD)AnnexeISO/IEC 15408-1:2009, -2:2008, -3:2008 ; ISO/IEC 18045:2008
2025/1569 (consolidé)Annexes I et IVISO/IEC 15408 ou CC (3.1 jusqu'au 31.08.2027, ou CC:2022), EAL 4+ ; EUCC
2025/1929, 2025/1942, 2025/1943, 2025/1944, 2025/1946, 2025/2531, 2025/2532, 2026/1735Annexe(s)« Common Criteria … as set out in ISO/IEC 15408 [réf.] or in CC:2022, Parts 1 through 5 … EAL 4 or higher » ; réf. ISO/IEC 15408:2022 (parties 1 à 5)
2024/2981 (certification du portefeuille)Annexe IV ; art. 22 ; considérantsEN ISO/IEC 15408-3:2022, AVA_VAN.5 ; EUCC
2024/2979 (consolidé), 2026/1731Annexe IMention des Critères communs (informations de certification WSCD ou keystore)

Remarque : plusieurs actes de 2025 écrivent « CC:2002 » au lieu de « CC:2022 ». Le CSV d'entrée a extrait les deux valeurs. Le contexte (« Parts 1 through 5 ») ne correspond qu'à CC:2022 : il s'agit d'une coquille dans les actes eux-mêmes.

Source : _index/normes-referencees.csv, lignes « ISO/IEC 15408* », « EN ISO/IEC 15408-3 », « ISO/IEC 18045 », « Common Criteria* ».

6. Qualité des sources

  • Excellente. Les textes CCRA sont officiels, gratuits et équivalents aux éditions ISO 2022.
  • L'édition ISO 2026 est gratuite, mais n'a pas été téléchargée (panier avec compte). Les actes citent 2022.
  • Le portail CC ne publie pas encore de « CC:2026 » (vérifié le 2026-10-29 sur commoncriteriaportal.org/cc/).

7. Sources