Fixed-time cybersecurity evaluation methodology for ICT products

Verified on 2026-10-29

FICHE — EN 17640 (méthode d'évaluation de cybersécurité à durée fixe, « FiT CEM »)

Norme européenne payante : cette fiche ne reproduit pas le texte. Établie le 2026-10-29.

1. Identification

ChampValeur
Référence citée« EN 17640:2018 » (règl. d'exéc. 2024/2981)
Édition publiée identifiéeEN 17640:2022, publiée en octobre 2022 ; amendement A1:2026. L'EVS publie une version consolidée EN 17640:2022+A1:2026, valide depuis le 15.07.2026.
TitreFixed-time cybersecurity evaluation methodology for ICT products
Éditeur / comitéCEN et CENELEC, CEN/CLC/JTC 13 « Cybersecurity and data protection » (secrétariat DIN)
Indication de prixEVS (Estonie) : 32,24 € TTC (PDF, éd. 2022)
Achat officielNBN (https://www.nbn.be) ; catalogue CEN : https://standards.cencenelec.eu

Point d'attention : la date citée. Aucune édition 2018 n'a été trouvée : ni catalogue EVS, ni communiqué CEN-CENELEC, ni autres catalogues. Le communiqué officiel du 27-10-2022 présente l'EN 17640 comme une nouvelle norme. La mention « EN 17640:2018 » dans 2024/2981 est donc probablement une erreur de l'acte. À signaler en formation.

2. Objet (résumé officiel, via l'EVS, traduit)

La norme décrit une méthode d'évaluation de cybersécurité des produits TIC. Elle vaut pour les trois niveaux d'assurance du règlement sur la cybersécurité (CSA) : élémentaire, substantiel et élevé. La méthode se compose de blocs d'évaluation avec des activités conformes aux exigences du CSA pour chaque niveau. Elle convient à l'évaluation par un tiers comme à l'auto-évaluation. Elle doit fournir un cadre commun à différents schémas candidats et secteurs.

D'après CEN-CENELEC, c'est la première norme qui met en œuvre dès sa conception les exigences du CSA. L'amendement A1 ajoute des éléments sur la composition.

3. Parties utiles pour eIDAS 2

  • Certification des portefeuilles EUDI (2024/2981, annexe IV) : pour l'instance de portefeuille (l'application), les Critères communs « peuvent ne pas convenir dans tous les cas ». La raison : les nombreuses variantes par type d'appareil et les mises à jour fréquentes. Les schémas nationaux doivent envisager la méthode EN 17640 :

    • a) dans le schéma lui-même ;
    • b) via des schémas nationaux fondés sur la méthode ;
    • c) via des schémas antérieurs fondés sur des principes similaires.

    Exemple pour le point c), qui relève de l'interprétation et non de l'acte : les schémas nationaux d'évaluation à durée fixe comme la CSPN française.

  • Considérant 14 de 2024/2981 : d'autres schémas nationaux peuvent servir pour des composants moins sensibles, « comme ceux établis selon la norme CEN EN 17640 ».

4. Actes eIDAS qui la citent

ActeEmplacementTeneur
Règl. d'exéc. (UE) 2024/2981 (certification des portefeuilles EUDI)Annexe IV, point sur l'évaluation de l'instance de portefeuille ; considérant 14Utilisation à envisager de la méthode EN 17640 pour l'instance de portefeuille

Source : _index/normes-referencees.csv (EU-2024-2981, annexe IV et considérants). Texte : EU-2024-2981_FR.md.

5. Qualité des sources

  • Résumé officiel bref, communiqué CEN-CENELEC et texte de l'acte.
  • Aucun texte gratuit équivalent trouvé.