Common Methodology for Information Technology Security Evaluation CEM:2022 Revision 1

Remarque

Méthodologie commune d'évaluation CEM:2022, révision 1 : définit les actions minimales de l'évaluateur pour mener une évaluation selon les Critères communs.

Résumé

Objet

La méthode d’évaluation commune (Common Methodology for Information Technology Security Evaluation, CEM) dans sa version CEM:2022, révision 1, accompagne les critères communs CEM:2022 R1 :

C’est la première révision majeure depuis la CEM v3.1 révision 5 de 2017. Comme CC:2022, elle a d’abord été élaborée comme norme ISO/IEC, puis publiée par les participants à l’arrangement de reconnaissance des critères communs (CCRA) ; sa version ISO est la norme ISO/IEC 18045:2022 CEM:2022 R1, Foreword.

À qui ça s’applique

Elle s’adresse d’abord aux évaluateurs qui appliquent les critères communs et aux certificateurs qui confirment leurs travaux. Elle ne répond pas à toutes les questions : chaque schéma de certification décide comment traiter les interprétations nécessaires CEM:2022 R1, Introduction.

Aucun acte eIDAS du corpus ne cite la CEM:2022 ni la norme ISO/IEC 18045:2022 par leur nom (constat au 30-10-2026). Le lien passe par le schéma européen EUCC :

• le règlement d’exécution 2024/482 définit la « méthode d’évaluation commune » comme la norme ISO/IEC 18045:2022 ou la version CEM:2022 publiée par les participants à l’accord de reconnaissance Art. 2 §2, et l’applique aux évaluations réalisées dans le cadre de l’EUCC Art. 3 §1 ;
• plusieurs règlements d’exécution eIDAS admettent un dispositif cryptographique sécurisé certifié sous l’EUCC au niveau EAL 4 ou supérieur Annexe ; le détail figure dans le résumé de la partie 1 des critères communs CC:2022 R1 Part 1.

Points clés

• Les principaux changements : type de conformité « exacte », profils de protection à justification directe, évaluations modulaires, évaluation « multi-assurance » et composition de l’assurance CEM:2022 R1, Foreword.
• Trois verdicts. Réussite, échec ou non concluant ; tout verdict est d’abord non concluant. Le verdict global n’est une réussite que si tous les verdicts qui le composent le sont CEM:2022 R1, § 9.1.5 Evaluator verdicts.
• Le potentiel d’attaque. Une annexe explique comment calculer le potentiel d’attaque, qui sert à l’analyse de vulnérabilité CEM:2022 R1, Determining the attack potential CEM:2022 R1, Calculation of attack potential.
• Une valeur reprise par le portefeuille. L’annexe I ter du règlement d’exécution 2024/2979 exige la valeur iso_18045_high pour le stockage des clés et l’authentification de l’utilisateur lorsqu’une attestation de clé mentionne le dispositif cryptographique sécurisé du portefeuille (WSCD) Annexe I ter. OpenID4VCI rattache cette valeur au potentiel d’attaque « High » au sens d’ISO/IEC 18045 OpenID4VCI 1.0, [D.2.](#appendix-D.2) [Attack Potential Resistance](#name-attack-potential-resistance).
• L’édition précédente. La décision d’exécution 2016/650 cite encore ISO/IEC 18045:2008 pour l’évaluation des dispositifs qualifiés de création de signature et de cachet Annexe ; jusqu’au 31 décembre 2027, un certificat EUCC peut encore être délivré en appliquant l’édition 2008 ou la CEM 3.1 révision 5 Art. 3 §2.

Liens

• Critères communs CC:2022 : parties 1 à 5 CC:2022 R1 Part 1 CC:2022 R1 Part 2 CC:2022 R1 Part 3 CC:2022 R1 Part 4 CC:2022 R1 Part 5 ; errata CCMB-2025-001 v1.2, Errata / Interpretation for CEM:2022 ; CEM v3.1 révision 5 CEM v3.1 R5.
• Fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.