Officiel Contraignant
Remarque
Critères communs CC:2022, révision 1, partie 1 : concepts et principes généraux de l'évaluation de sécurité des produits TI, modèle général d'évaluation et notion de cible d'évaluation (TOE).
Le texte intégral n'est pas reproduit ici (droits) : consultez la source officielle.
Résumé
Objet
Les critères communs (Common Criteria, CC) servent à évaluer la sécurité des produits informatiques. La partie 1 de leur version CC:2022, révision 1 (novembre 2022), en donne l’introduction et le modèle général CC:2022 R1 Part 1 :
This document establishes the general concepts and principles of IT security evaluation and specifies the general model of evaluation given by various parts of the standard which in its entirety is meant to be used as the basis for evaluation of security properties of IT products.
Elle définit la cible d’évaluation (TOE, le produit évalué), les profils de protection (PP, exigences d’une catégorie de produits) et les cibles de sécurité (ST, exigences d’un produit donné). Elle présente aussi les autres parties : composants fonctionnels (partie 2), composants d’assurance (partie 3), cadre des méthodes d’évaluation (partie 4) et niveaux d’assurance prédéfinis EAL (partie 5) CC:2022 R1 Part 1, § 1 Scope. La méthode d’évaluation elle-même relève d’un document distinct, la CEM, et l’évaluation des algorithmes cryptographiques n’est pas couverte CC:2022 R1 Part 1, Introduction.
CC:2022 a d’abord été élaborée comme norme ISO/IEC, puis publiée par les participants à l’arrangement de reconnaissance des critères communs (CCRA). La version ISO est la série ISO/IEC 15408-1 à 15408-5:2022 CC:2022 R1 Part 1, Foreword.
À qui ça s’applique
Le règlement d’exécution 2024/482 (schéma européen EUCC) définit les « critères communs » comme les normes ISO/IEC 15408-1 à -5:2022 ou la version CC:2022, parties 1 à 5, publiée par les participants à l’accord de reconnaissance Art. 2 §1. Plusieurs règlements d’exécution eIDAS reprennent cette double référence. Ils admettent un dispositif cryptographique sécurisé certifié selon les critères communs au niveau EAL 4 ou supérieur, ou sous EUCC, ou selon la FIPS PUB 140-3 niveau 3 jusqu’au 31.12.2030 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés :
| Acte et annexe | Norme adaptée | Exigence | Effet prévu |
|---|---|---|---|
| 2025/1929 Liste des normes et spécifications de référence pour les services d’horodatage qualifiés | ETSI EN 319 421 V1.3.1 ETSI EN 319 421 V1.3.1 | TIS-7.6.2-03, TIS-7.6.3-02 | présomption (lien date-heure et horloge) Art. 42 §1 bis |
| 2025/1942 Annexe | ETSI TS 119 441 V1.2.1 ETSI TS 119 441 V1.2.1 | OVR-7.5-03 (conditionnelle) | présomption (service de validation) Art. 33 §2 Art. 40 |
| 2025/1943 Annexe I Annexe II | ETSI EN 319 411-2 V2.6.1 ETSI EN 319 411-2 V2.6.1 | GEN-6.5.2-02 | présomption (certificat qualifié) Art. 28 §6 Art. 38 §6 |
| 2025/1944 Liste des normes de référence et des spécifications mentionnées à l’article 1er | ETSI EN 319 521 V1.1.1 ETSI EN 319 521 V1.1.1 | REQ-ERDSP-7.5-03 | présomption (processus d’envoi et de réception) Art. 44 §1 bis |
| 2025/1946 Liste des normes de référence et des spécifications mentionnées à l’article 2 | ETSI TS 119 511 V1.1.1 ETSI TS 119 511 V1.1.1 | OVR-7.5-05 (conditionnelle) | présomption (service de conservation) Art. 34 §1 bis Art. 40 |
| 2025/2531 Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés | ETSI EN 319 401 V3.1.1 ETSI EN 319 401 V3.1.1 | REQ-7.5-06 | présomption (registre électronique) Art. 45 terdecies §2 |
| 2025/2532 Liste des normes de référence et des spécifications applicables aux services d’archivage électronique qualifiés | CEN/TS 18170:2025 CEN/TS 18170:2025 | contrôles cryptographiques (§ 7.6), conditionnelle | présomption (service d’archivage) Art. 45 undecies §2 |
| 2025/1569 Annexe I | ETSI TS 119 471 V1.1.1 ETSI TS 119 471 V1.1.1 | REQ-EAASP-7.5.3-02 | obligation pour les deux catégories de fournisseurs Art. 3 ; « réputée » pour les attestations du secteur public Art. 45 septies §5 |
Dans la colonne « effet prévu », « présomption » renvoie au mot exact du règlement : ce qui est indiqué entre parenthèses est « présumé » respecter les exigences visées lorsqu’il respecte ces normes, spécifications et procédures ; l’exigence reste celle du règlement. L’annexe I du règlement d’exécution 2025/1569 suit un autre schéma. Les fournisseurs d’attestations électroniques d’attributs qualifiées et ceux d’attestations délivrées par un organisme du secteur public responsable d’une source authentique, ou pour son compte, sont tenus de respecter les normes de cette annexe Art. 3. Pour les attestations qualifiées, l’article d’habilitation ne contient pas de phrase de présomption Art. 45 quinquies §5. Pour les attestations du secteur public, le règlement emploie un autre mot : l’attestation est « réputée » respecter les exigences fixées au paragraphe 1 de l’article lorsqu’elle respecte les normes, spécifications et procédures visées au paragraphe 6 Art. 45 septies §5. Le règlement d’exécution 2026/1735, qui a remplacé cette annexe, est pris notamment sur ce paragraphe 6 modifiant le règlement d’exécution (UE) 2025/1569 en ce qui concerne les normes et spécifications applicables. Le détail des clés protégées figure dans le résumé de la FIPS PUB 140-3 FIPS PUB 140-3.
Points clés
- Le niveau EAL 4. Les actes exigent une certification « au niveau EAL 4 ou supérieur » Annexe ; ce niveau est défini dans la partie 5 CC:2022 R1 Part 5, § 4.4.5.1 Package name.
- Pas de révision précisée. Les actes citent « CC:2022, parties 1 à 5 » sans numéro de révision Annexe ; le corpus contient la révision 1 CC:2022 R1 Part 1.
- La version 3.1 pour un temps. L’annexe I du règlement d’exécution 2025/1569, qui s’impose aux fournisseurs d’attestations électroniques d’attributs qualifiées et à ceux d’attestations délivrées par un organisme du secteur public responsable d’une source authentique ou pour son compte Art. 3, admet aussi la version 3.1 « jusqu’au 31.8.2027 » Annexe I ; voir CC v3.1 révision 5 CC v3.1 R5 Part 1.
- Le portefeuille. Le règlement d’exécution 2024/2981 prévoit une évaluation de la vulnérabilité de niveau AVA_VAN.5 au sens d’EN ISO/IEC 15408-3:2022, sauf justification dûment présentée à l’organisme de certification. Elle vaut pour l’application cryptographique sécurisée du portefeuille (WSCA) et, lorsque les conditions prévues par le règlement sont remplies Art. 3 §3, b), pour tout ou partie du dispositif cryptographique sécurisé (WSCD) § 2. Activités d’évaluation liées au dispositif cryptographique sécurisé de portefeuille (WSCD) § 3. Activités d’évaluation liées à l’application cryptographique sécurisée de portefeuille (WSCA) ; voir la partie 3 CC:2022 R1 Part 3.
Liens
- Autres parties : 2 CC:2022 R1 Part 2, 3 CC:2022 R1 Part 3, 4 CC:2022 R1 Part 4, 5 CC:2022 R1 Part 5 ; méthode CEM:2022 CEM:2022 R1 ; errata CCMB-2025-001 v1.2 ; fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
- Parcours : étape 5, certification et normes.
Version citée
Plusieurs actes du tableau citent une norme intermédiaire dans une version plus ancienne que la dernière publiée selon l’index des normes ETSI du corpus, consulté le 31-10-2026 : ETSI TS 119 441 V1.2.1 (2025/1942 ; index : V1.3.1) Annexe ETSI TS 119 441 V1.2.1, ETSI TS 119 511 V1.1.1 (2025/1946 ; index : V1.2.1) Liste des normes de référence et des spécifications mentionnées à l’article 2 ETSI TS 119 511 V1.1.1, ETSI EN 319 401 V3.1.1 (2025/2531) Liste des spécifications techniques et des normes de référence applicables aux registres électroniques distribués qualifiés ETSI EN 319 401 V3.1.1, dont la V3.2.1 figure dans le corpus ETSI EN 319 401 V3.2.1. Les actes nomment les versions indiquées. Des actes du corpus visent l’édition 2022 de la norme ISO/IEC 15408, dont CC:2022 est le pendant publié par les participants à l’arrangement de reconnaissance des critères communs Art. 2 §1. Selon notre fiche, établie le 29-10-2026, l’édition ISO en vigueur est celle de 2026, et l’édition 2022 est retirée § 1. Identification.
Coquille dans l'acte
Dans plusieurs de ces annexes, la voie des critères communs renvoie à la « version CC: 2002, parties 1 à 5 » : exigence TIS-7.6.3-02 du règlement d’exécution 2025/1929, exigence GEN-6.5.2-02 des annexes I et II du règlement d’exécution 2025/1943, exigence REQ-ERDSP-7.5-03 du règlement d’exécution 2025/1944. La version anglaise de ces actes porte la même mention Liste des normes et spécifications de référence pour les services d’horodatage qualifiés Annexe I Annexe II Liste des normes de référence et des spécifications mentionnées à l’article 1er. Il s’agit probablement de la version CC:2022, que l’exigence TIS-7.6.2-03 du règlement d’exécution 2025/1929 cite dans une formule identique Liste des normes et spécifications de référence pour les services d’horodatage qualifiés. Cette lecture est la nôtre, non une correction officielle. L’intitulé de l’annexe II du règlement d’exécution 2025/1943 mentionne, en français, les « certificats qualifiés de signature électronique » ; la version anglaise dit electronic seals, et cette annexe correspond aux certificats qualifiés de cachet électronique Annexe II Art. 1. Lecture probable : « certificats qualifiés de cachet électronique ».
Consolidation sans valeur officielle
Ce résumé cite les versions consolidées, publiées sur EUR-Lex, du règlement 910/2014 et des règlements d’exécution 2024/482 et 2025/1569 Règlement (UE) n° 910/2014 — version consolidée au 18/10/2024 Règlement d'exécution (UE) 2024/482 — version consolidée au 29/12/2025 Règlement d'exécution (UE) 2025/1569 — version consolidée au 11/08/2026. Elles servent de documentation : seuls les textes publiés au Journal officiel font foi.
Rédaction Asphalia.