Transition Policy to CC:2022 and CEM:2022

Remarque

Politique du Common Criteria Recognition Arrangement (CCMC-2023-04-001, 20 avril 2023) visant une transition ordonnée des Critères communs v3.1 vers CC:2022 et CEM:2022.

Résumé

Objet

Le document CCMC-2023-04-001 du comité de gestion de l’arrangement de reconnaissance des critères communs (CCRA), daté du 20 avril 2023, fixe la politique de transition de la version 3.1 des critères communs vers CC:2022 et CEM:2022 CCMC-2023-04-001 :

Il dit jusqu’à quand une certification de produit ou de profil de protection fondée sur CC v3.1 révision 5 peut être commencée ou réutilisée, et dans quels cas des résultats obtenus selon une version peuvent servir dans une certification selon l’autre CCMC-2023-04-001, _Introduction_ ~~es~~.

À qui ça s’applique

La politique vise les développeurs, les centres d’évaluation (ITSEF) et les organismes de certification qui travaillent dans le cadre du CCRA CCMC-2023-04-001, _Introduction_ ~~es~~. Un organisme de certification peut y déroger dans des cas exceptionnels, qui devraient rester rares et indispensables CCMC-2023-04-001, Exceptions.

Aucun acte du corpus, consulté le 30-10-2026, ne cite cette politique. Le droit de l’Union prévoit ses propres règles de transition, à ne pas confondre avec elle :

• L’EUCC. Jusqu’au 31 décembre 2027, un certificat EUCC peut encore être délivré selon les éditions antérieures (ISO/IEC 15408:2008/2009, ISO/IEC 18045:2008, critères communs et méthode commune 3.1 révision 5) Art. 3 §2. Jusqu’à la même date, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon ces éditions antérieures Art. 3 §3. Sans date dans l’article, un certificat selon les normes de 2022 peut aussi attester la conformité à un profil de protection établi selon les critères communs 3.1, révisions 1 à 4, lorsque l’utilisation de ce profil est requise notamment par le règlement 910/2014 ou par la décision d’exécution 2016/650 Art. 3 §4.
• Les attestations électroniques d’attributs qualifiées et celles du secteur public. L’annexe I du règlement d’exécution 2025/1569 s’impose aux fournisseurs de ces deux catégories d’attestations Art. 3. Cette annexe admet les critères communs version 3.1 « jusqu’au 31.8.2027 » Annexe I.

Points clés

• Trois règles de base, adoptées après la publication de CC:2022 en novembre 2022 CCMC-2023-04-001, _Introduction_ ~~es~~ :
  • la révision 5 est la dernière de la version 3.1 ; elle peut servir aux évaluations de produits et de profils de protection commencées au plus tard le 30 juin 2024 ;
  • une cible de sécurité conforme à CC:2022 et fondée sur un profil de protection certifié selon CC v3.1 est acceptée jusqu’au 31 décembre 2027 ;
  • après le 30 juin 2024, des réévaluations et réexamens fondés sur une évaluation CC v3.1 peuvent être commencés pendant deux ans à compter de la date de la certification initiale.
• Un délai plus long pour la conformité exacte. Une certification de produit selon CC v3.1 révision 5, par rapport à un profil de protection exigeant une conformité exacte, peut être commencée jusqu’au 31 décembre 2025 CCMC-2023-04-001, Initial certifications.
• Des réutilisations croisées. Une certification CC:2022 peut réutiliser des résultats d’évaluation du cycle de vie (classe ALC) obtenus selon CC v3.1 révision 5, et un certificat de plateforme 3.1 révision 5 peut servir dans une certification composite CC:2022 CCMC-2023-04-001, ALC Evaluation Results CCMC-2023-04-001, Composite Certifications.
• Les profils en version 3.1. Le document donne des recommandations pour résoudre les conflits entre une cible CC:2022 et un profil 3.1, et indique que l’organisme de certification devrait veiller, s’il s’en écarte, à ne pas réduire le niveau d’assurance CCMC-2023-04-001, Protection Profiles.

Liens

• Versions concernées : CC v3.1 révision 5, parties 1 et 2 CC v3.1 R5 Part 1 CC v3.1 R5 Part 2 ; CC:2022 CC:2022 R1 Part 1 ; CEM:2022 CEM:2022 R1.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.