Règlement d’exécution (UE) 2024/482 de la Commission du 31 janvier 2024 portant modalités d’application du règlement (UE) 2019/881 du Parlement européen et du Conseil en ce qui concerne l’adoption du schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC)

Le présent règlement établit le schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC). Le présent règlement s’applique à tous les produits des technologies de l’information et de la communication (TIC), y compris leur documentation, qui sont présentés pour certification dans le cadre de l’EUCC, ainsi qu’à tous les profils de protection qui sont présentés pour certification dans le cadre du processus TIC menant à la certification des produits TIC.

Aux fins du présent règlement, on entend par: 1) «critères communs»: les critères communs pour l’évaluation de la sécurité des technologies de l’information, tels qu’ils figurent dans la norme ISO/CEI 15408; 2) «méthode d’évaluation commune»: la méthode commune pour l’évaluation de la sécurité des technologies de l’information, telle qu’elle figure dans la norme ISO/CEI 18045; 3) «cible d’évaluation»: un produit TIC ou une partie de celui-ci, ou un profil de protection dans le cadre d’un processus TIC, qui fait l’objet d’une évaluation de la cybersécurité en vue de recevoir la certification EUCC; 4) «cible de sécurité»: une déclaration d’exigences de sécurité dépendant de la mise en œuvre d’un produit TIC spécifique; 5) «profil de protection»: un processus TIC qui définit les exigences de sécurité relatives à une catégorie spécifique de produits TIC, répondant à des besoins de sécurité indépendants de la mise en œuvre, et qui peut être utilisé pour évaluer, aux fins de leur certification, les produits TIC relevant de cette catégorie spécifique; 6) «rapport technique d’évaluation»: un document produit par un CESTI pour présenter les conclusions, les verdicts et les justifications obtenus lors de l’évaluation d’un produit TIC ou d’un profil de protection réalisée conformément aux règles et aux obligations énoncées dans le présent règlement; 7) «CESTI»: un centre d’évaluation de la sécurité des technologies de l’information, qui est un organisme d’évaluation de la conformité, au sens de l’article 2, point 13), du règlement (CE) no 765/2008, qui exécute des tâches d’évaluation; 8) «niveau AVA_VAN»: un niveau d’analyse de la vulnérabilité de l’assurance qui indique le degré des activités d’évaluation de la cybersécurité menées pour déterminer le niveau de résistance à l’exploitabilité potentielle des failles ou des faiblesses de la cible d’évaluation dans son environnement opérationnel, conformément aux critères communs; 9) «certificat EUCC»: un certificat de cybersécurité délivré au titre de l’EUCC pour des produits TIC, ou pour des profils de protection qui peuvent être utilisés exclusivement dans le cadre du processus de certification des produits TIC; 10) «produit composite»: un produit TIC évalué avec un autre produit TIC sous-jacent qui a déjà reçu un certificat EUCC et sur la fonctionnalité de sécurité duquel dépend le produit TIC composite; 11) «autorité nationale de certification de cybersécurité»: une autorité désignée par un État membre conformément à l’article 58, paragraphe 1, du règlement (UE) 2019/881; 12) «organisme de certification»: un organisme d’évaluation de la conformité, au sens de l’article 2, point 13), du règlement (CE) no 765/2008, qui exerce des activités de certification; 13) «domaine technique»: un cadre technique commun lié à une technologie particulière pour la certification harmonisée comportant un ensemble d’exigences de sécurité caractéristiques; 14) «document de référence»: un document qui spécifie les méthodes, techniques et outils d’évaluation qui s’appliquent à la certification des produits TIC ou aux exigences de sécurité d’une catégorie générique de produits TIC, ou à toutes autres exigences nécessaires pour la certification, aux fins de l’harmonisation de l’évaluation, en particulier des domaines techniques ou des profils de protection; 15) «autorité de surveillance du marché»: une autorité définie à l’article 3, paragraphe 4, du règlement (UE) 2019/1020.

Les normes suivantes s’appliquent aux évaluations réalisées dans le cadre du schéma EUCC: a) les critères communs; b) la méthode d’évaluation commune.

1 Les organismes de certification délivrent des certificats EUCC de niveau d’assurance «substantiel» ou «élevé».

2 Les certificats EUCC de niveau d’assurance «substantiel» couvrent les niveaux AVA_VAN 1 ou 2.

3 Les certificats EUCC de niveau d’assurance «élevé» couvrent les niveaux AVA_VAN 3, 4 ou 5.

4 Le niveau d’assurance confirmé dans un certificat EUCC fait la distinction entre l’utilisation conforme et l’utilisation renforcée des composants d’assurance tels que spécifiés dans les critères communs conformément à l’annexe VIII.

5 Les organismes d’évaluation de la conformité appliquent les composants d’assurance dont dépend le niveau AVA_VAN sélectionné en se conformant aux normes visées à l’article 3.

1 La certification d’un produit TIC est effectuée par rapport à la cible de sécurité du produit: a) telle qu’elle est définie par le demandeur; ou b) en intégrant un profil de protection certifié dans le cadre du processus TIC, lorsque le produit TIC relève de la catégorie de produits TIC couverte par ce profil de protection.

2 Les profils de protection sont certifiés à la seule fin de la certification des produits TIC relevant de la catégorie spécifique de produits TIC couverte par le profil de protection.

L’autoévaluation de la conformité au sens de l’article 53 du règlement (UE) 2019/881 n’est pas autorisée.

1 Un produit TIC présenté pour certification est, au minimum, évalué au regard des éléments ci-dessous: a) les éléments applicables des normes visées à l’article 3; b) les catégories d’exigences en matière d’assurance de sécurité pour l’évaluation de la vulnérabilité et les essais fonctionnels indépendants, telles que définies dans les normes d’évaluation visées à l’article 3; c) le niveau de risque associé à l’utilisation prévue des produits TIC concernés conformément à l’article 52 du règlement (UE) 2019/881 et leurs fonctions de sécurité qui soutiennent les objectifs de sécurité énoncés à l’article 51 du règlement (UE) 2019/881; d) les documents de référence applicables énumérés à l’annexe I; et e) les profils de protection certifiés applicables énumérés à l’annexe II.

2 Dans des cas exceptionnels et dûment justifiés, un organisme d’évaluation de la conformité peut demander à ne pas appliquer le document de référence pertinent. Dans ce cas, l’organisme d’évaluation de la conformité en informe l’autorité nationale de certification de cybersécurité en motivant dûment sa demande. L’autorité nationale de certification de cybersécurité évalue le motif de l’exception demandée et, lorsque cela se justifie, l’approuve. Dans l’attente de la décision de l’autorité nationale de certification de cybersécurité, l’organisme d’évaluation de la conformité ne délivre aucun certificat. L’autorité nationale de certification de cybersécurité notifie, sans retard injustifié, l’exception approuvée au groupe européen de certification de cybersécurité, qui peut émettre un avis. L’autorité nationale de certification de cybersécurité tient le plus grand compte de l’avis du groupe européen de certification de cybersécurité.

3 La certification des produits TIC au niveau AVA_VAN 4 ou 5 n’est possible que dans les scénarios suivants: a) lorsque le produit TIC relève d’un des domaines techniques énumérés à l’annexe I, il est évalué conformément aux documents de référence applicables de ces domaines techniques; b) lorsque le produit TIC relève d’une catégorie de produits TIC couverts par un profil de protection certifié comprenant les niveaux AVA_VAN 4 ou 5 et qui a été répertorié en tant que profil de protection de référence à l’annexe II, il est évalué conformément à la méthode d’évaluation spécifiée pour ce profil de protection; c) lorsque les points a) et b) du présent paragraphe ne sont pas applicables et que l’inclusion d’un domaine technique dans l’annexe I ou d’un profil de protection certifié dans l’annexe II est improbable dans un avenir prévisible, et uniquement dans des cas exceptionnels et dûment justifiés, sous réserve des conditions énoncées au paragraphe 4.

4 Lorsqu’un organisme d’évaluation de la conformité considère qu’il se trouve dans un cas exceptionnel et dûment justifié visé au paragraphe 3, point c), il notifie la certification envisagée à l’autorité nationale de certification de cybersécurité en lui en expliquant les raisons et en lui proposant une méthode d’évaluation. L’autorité nationale de certification de cybersécurité évalue le motif de l’exception demandée et, lorsque cela se justifie, approuve ou modifie la méthode d’évaluation à appliquer par l’organisme d’évaluation de la conformité. Dans l’attente de la décision de l’autorité nationale de certification de cybersécurité, l’organisme d’évaluation de la conformité ne délivre aucun certificat. L’autorité nationale de certification de cybersécurité notifie, sans retard injustifié, la certification envisagée au groupe européen de certification de cybersécurité, qui peut émettre un avis. L’autorité nationale de certification de cybersécurité tient le plus grand compte de l’avis du groupe européen de certification de cybersécurité.

5 Dans le cas d’un produit TIC faisant l’objet d’une évaluation de produit composite conformément aux documents de référence pertinents, le CESTI qui a procédé à l’évaluation du produit TIC sous-jacent partage les informations pertinentes avec le CESTI qui procède à l’évaluation du produit TIC composite.

1 Un candidat à la certification EUCC fournit ou met à la disposition de l’organisme de certification et du CESTI toutes les informations nécessaires pour les activités de certification.

2 Les informations visées au paragraphe 1 comprennent tous les éléments de preuve pertinents conformément aux sections relatives aux «Éléments d’action du développeur» dans le format approprié, comme indiqué dans les sections relatives au «Contenu et présentation des éléments de preuve» des critères communs et de la méthode d’évaluation commune pour le niveau d’assurance choisi et les exigences d’assurance de sécurité associées. Les éléments de preuve comprennent, si nécessaire, des détails sur le produit TIC et son code source conformément au présent règlement, sous réserve de garanties contre toute divulgation non autorisée.

3 Les candidats à la certification peuvent fournir à l’organisme de certification et au CESTI des résultats d’évaluation appropriés provenant d’une certification antérieure en vertu: a) du présent règlement; b) d’un autre schéma européen de certification de cybersécurité adopté conformément à l’article 49 du règlement (UE) 2019/881; c) d’un schéma national visé à l’article 49 du présent règlement.

4 Lorsque les résultats de l’évaluation sont pertinents pour ses tâches, le CESTI peut réutiliser les résultats d’évaluation fournis à condition que ces preuves soient conformes aux exigences applicables et que leur authenticité soit confirmée.

5 Lorsque l’organisme de certification autorise la soumission du produit à un processus de certification de produit composite, le candidat à la certification met à la disposition de l’organisme de certification et du CESTI tous les éléments nécessaires, le cas échéant, conformément au document de référence.

6 Le candidat à la certification fournit également à l’organisme de certification et au CESTI les informations suivantes: a) le lien vers son site web contenant les informations supplémentaires en matière de cybersécurité visées à l’article 55 du règlement (UE) 2019/881; b) une description des procédures de gestion et de divulgation des vulnérabilités du demandeur.

7 Toute la documentation pertinente visée au présent article est conservée par l’organisme de certification, par le CESTI et par le demandeur pendant une période de cinq ans après l’expiration du certificat.

1 Les organismes de certification délivrent un certificat EUCC lorsque toutes les conditions suivantes sont remplies: a) la catégorie de produit TIC relève du champ d’application de l’accréditation, et le cas échéant de l’autorisation, de l’organisme de certification et du CESTI concernés par la certification; b) le candidat à la certification a signé une déclaration dans laquelle il s’engage à honorer tous les engagements énumérés au paragraphe 2; c) le CESTI a conclu l’évaluation sans objection conformément aux normes, critères et méthodes d’évaluation visés aux articles 3 et 7; d) l’organisme de certification a conclu l’examen des résultats de l’évaluation sans objection; e) l’organisme de certification a vérifié que les rapports techniques d’évaluation fournis par le CESTI sont conformes aux preuves fournies et que les normes, critères et méthodes d’évaluation visés aux articles 3 et 7 ont été appliqués correctement.

2 Le candidat à la certification prend les engagements suivants: a) fournir à l’organisme de certification et au CESTI toutes les informations nécessaires, complètes et correctes, et fournir les informations supplémentaires nécessaires si elles lui sont demandées; b) ne pas promouvoir le produit TIC comme étant certifié EUCC avant que le certificat EUCC ne soit délivré; c) promouvoir le produit TIC comme étant certifié uniquement en ce qui concerne le champ d’application défini dans le certificat EUCC; d) cesser immédiatement de promouvoir le produit TIC comme étant certifié en cas de suspension, de retrait ou d’expiration du certificat EUCC; e) s’assurer que les produits TIC vendus comme étant certifiés EUCC sont strictement identiques au produit TIC faisant l’objet de la certification; f) respecter les règles d’utilisation de la marque et de l’étiquette établies pour le certificat EUCC conformément à l’article 11.

3 Dans le cas d’un produit TIC faisant l’objet d’une certification de produit composite conformément aux documents de référence pertinents, l’organisme de certification qui a procédé à la certification du produit TIC sous-jacent partage les informations pertinentes avec l’organisme de certification qui procède à la certification du produit TIC composite.

1 Le certificat EUCC comprend au moins les informations mentionnées à l’annexe VII.

2 La portée et les limites du produit TIC certifié sont précisées sans ambiguïté dans le certificat EUCC ou dans le rapport de certification, en indiquant si l’ensemble du produit TIC a été certifié ou seulement des parties de celui-ci.

3 L’organisme de certification fournit le certificat EUCC au demandeur au moins sous forme électronique.

4 L’organisme de certification établit un rapport de certification conformément à l’annexe V pour chaque certificat EUCC qu’il délivre. Le rapport de certification se fonde sur le rapport technique d’évaluation émis par le CESTI. Le rapport technique d’évaluation et le rapport de certification indiquent les critères et méthodes d’évaluation spécifiques visés à l’article 7 utilisés pour l’évaluation.

5 L’organisme de certification fournit à l’autorité nationale de certification de cybersécurité et à l’ENISA chaque certificat EUCC et chaque rapport de certification sous forme électronique.

1 Le titulaire d’un certificat peut apposer une marque et une étiquette sur un produit TIC certifié. La marque et l’étiquette indiquent que le produit TIC a été certifié conformément au présent règlement. La marque et l’étiquette sont apposées conformément au présent article et à l’annexe IX.

2 La marque et l’étiquette sont apposées de manière visible, lisible et indélébile sur le produit TIC certifié ou sur sa plaque signalétique. Si cela est impossible ou n’est pas justifié en raison de la nature du produit, elles sont apposées sur l’emballage et sur les documents d’accompagnement. Lorsque le produit TIC certifié est livré sous la forme d’un logiciel, la marque et l’étiquette apparaissent de manière visible, lisible et indélébile dans la documentation qui l’accompagne, ou cette documentation est rendue facilement et directement accessible aux utilisateurs au moyen d’un site web.

3 La marque et l’étiquette figurent à l’annexe IX et contiennent: a) le niveau d’assurance et le niveau AVA_VAN du produit TIC certifié; b) l’identifiant unique du certificat, comprenant: 1) le nom du schéma; 2) le nom de l’organisme de certification qui a délivré le certificat, et le numéro de référence de son accréditation; 3) l’année et le mois de délivrance; 4) le numéro d’identification assigné par l’organisme de certification qui a délivré le certificat.

4 La marque et l’étiquette sont accompagnées d’un code QR avec un lien vers un site web contenant au moins: a) les informations sur la validité du certificat; b) les informations nécessaires relatives à la certification, telles qu’elles figurent aux annexes V et VII; c) les informations que le titulaire du certificat est tenu de mettre à la disposition du public conformément à l’article 55 du règlement (UE) 2019/881; et d) le cas échéant, les informations historiques relatives aux certifications spécifiques du produit TIC afin de permettre la traçabilité.

1 L’organisme de certification fixe la durée de validité de chaque certificat EUCC délivré en tenant compte des caractéristiques du produit TIC certifié.

2 La durée maximale de validité d’un certificat EUCC est de cinq ans.

3 Par dérogation au paragraphe 2, cette durée peut dépasser cinq ans, sous réserve de l’approbation préalable de l’autorité nationale de certification de cybersécurité. L’autorité nationale de certification de cybersécurité notifie sans délai au groupe européen de certification de cybersécurité l’approbation accordée.

1 À la demande du titulaire du certificat ou pour d’autres raisons justifiées, l’organisme de certification peut décider de réexaminer le certificat EUCC d’un produit TIC. Le réexamen est effectué conformément à l’annexe IV. L’organisme de certification détermine l’étendue du réexamen. Lorsque c’est nécessaire aux fins du réexamen, l’organisme de certification demande au CESTI de réévaluer le produit TIC certifié.

2 Sur la base des résultats du réexamen et, le cas échéant, de la réévaluation, l’organisme de certification: a) confirme le certificat EUCC; b) retire le certificat EUCC conformément à l’article 14; c) retire le certificat EUCC conformément à l’article 14 et délivre un nouveau certificat EUCC avec un champ d’application identique et une durée de validité prolongée; ou d) retire le certificat EUCC conformément à l’article 14 et délivre un nouveau certificat EUCC avec un champ d’application différent.

3 L’organisme de certification peut décider de suspendre, sans retard injustifié, le certificat EUCC conformément à l’article 30, en attendant que le titulaire du certificat EUCC prenne des mesures correctives.

1 Sans préjudice de l’article 58, paragraphe 8, point e), du règlement (UE) 2019/881, un certificat EUCC est retiré par l’organisme de certification qui l’a délivré.

2 L’organisme de certification visé au paragraphe 1 notifie le retrait du certificat à l’autorité nationale de certification de cybersécurité. Il notifie également ce retrait à l’ENISA afin de faciliter l’exécution de sa mission au titre de l’article 50 du règlement (UE) 2019/881. L’autorité nationale de certification de cybersécurité en informe les autres autorités de surveillance du marché concernées.

3 Le titulaire d’un certificat EUCC peut demander le retrait du certificat.

1 Un profil de protection est évalué, au minimum, par rapport aux éléments ci-dessous: a) les éléments applicables des normes visées à l’article 3; b) le niveau de risque associé à l’utilisation prévue des produits TIC concernés conformément à l’article 52 du règlement (UE) 2019/881 et leurs fonctions de sécurité qui soutiennent les objectifs de sécurité énoncés à l’article 51 de ce même règlement; et c) les documents de référence applicables énumérés à l’annexe I. Un profil de protection couvert par un domaine technique est certifié par rapport aux exigences définies dans ce domaine technique.

2 Dans des cas exceptionnels et dûment justifiés, un organisme d’évaluation de la conformité peut certifier un profil de protection sans appliquer les documents de référence pertinents. Dans ce cas, il en informe l’autorité nationale de certification de cybersécurité compétente en fournissant une justification pour la certification sans application des documents de référence pertinents envisagée et en proposant une méthode d’évaluation. L’autorité nationale de certification de cybersécurité évalue cette justification et, lorsque celle-ci est fondée, approuve la non-application des documents de référence pertinents, et approuve ou modifie, le cas échéant, la méthode d’évaluation à appliquer par l’organisme d’évaluation de la conformité. Dans l’attente de la décision de l’autorité nationale de certification de cybersécurité, l’organisme d’évaluation de la conformité ne délivre aucun certificat pour le profil de protection. L’autorité nationale de certification de cybersécurité notifie, sans retard injustifié, l’autorisation de ne pas appliquer les documents de référence pertinents au groupe européen de certification de cybersécurité, qui peut émettre un avis. L’autorité nationale de certification de cybersécurité tient le plus grand compte de l’avis du groupe européen de certification de cybersécurité.

Le candidat à la certification d’un profil de protection fournit ou met à la disposition de l’organisme de certification et du CESTI toutes les informations nécessaires pour les activités de certification. L’article 8, paragraphes 2, 3, 4 et 7, s’applique mutatis mutandis.

1 Le candidat à la certification fournit à l’organisme de certification et au CESTI toutes les informations nécessaires, complètes et correctes.

2 Les articles 9 et 10 s’appliquent mutatis mutandis.

3 Le CESTI évalue si un profil de protection est complet, cohérent, solide techniquement et efficace pour l’utilisation prévue et les objectifs de sécurité de la catégorie de produits TIC couverte par ce profil de protection.

4 Un profil de protection est certifié uniquement par: a) une autorité nationale de certification de cybersécurité ou un autre organisme public accrédité en tant qu’organisme de certification; ou b) un organisme de certification, après approbation préalable de l’autorité nationale de certification de cybersécurité pour chaque profil de protection individuel.

1 L’organisme de certification fixe une durée de validité pour chaque certificat EUCC.

2 La durée de validité peut être égale à la durée de vie du profil de protection concerné.

1 À la demande du titulaire du certificat ou pour d’autres raisons justifiées, l’organisme de certification peut décider de réexaminer le certificat EUCC d’un profil de protection. Le réexamen est effectué conformément aux conditions prévues à l’article 15. L’organisme de certification détermine l’étendue du réexamen. Lorsque c’est nécessaire aux fins du réexamen, l’organisme de certification demande au CESTI de réévaluer le profil de protection certifié.

2 Sur la base des résultats du réexamen et, le cas échéant, de la réévaluation, l’organisme de certification prend l’une des mesures suivantes: a) confirmer le certificat EUCC; b) retirer le certificat EUCC conformément à l’article 20; c) retire le certificat EUCC conformément à l’article 20 et délivre un nouveau certificat EUCC avec un champ d’application identique et une durée de validité prolongée; d) retire le certificat EUCC conformément à l’article 20 et délivre un nouveau certificat EUCC avec un champ d’application différent.

1 Sans préjudice de l’article 58, paragraphe 8, point e), du règlement (UE) 2019/881, un certificat EUCC de profil de protection peut être retiré par l’organisme de certification qui a délivré ce certificat. L’article 14 s’applique mutatis mutandis.

2 Un certificat pour un profil de protection délivré conformément à l’article 17, paragraphe 4, point b), est retiré par l’autorité nationale de certification de cybersécurité qui l’a approuvé.

1 Un organisme de certification est autorisé par l’autorité nationale de certification de cybersécurité à délivrer des certificats EUCC de niveau d’assurance «élevé» lorsque cet organisme démontre, en plus de répondre aux exigences énoncées à l’article 60, paragraphe 1, et à l’annexe du règlement (UE) 2019/881 concernant l’accréditation des organismes d’évaluation de la conformité: a) qu’il a l’expertise et les compétences requises pour la décision de certification au niveau d’assurance «élevé»; b) qu’il mène ses activités de certification en coopération avec un CESTI autorisé conformément à l’article 22; et c) qu’il a les compétences requises et a mis en place les mesures techniques et opérationnelles appropriées pour protéger efficacement les informations confidentielles et sensibles pour le niveau d’assurance «élevé», en plus des exigences énoncées à l’article 43.

2 L’autorité nationale de certification de cybersécurité évalue si un organisme de certification respecte toutes les exigences énoncées au paragraphe 1. Cette évaluation comprend au moins des entretiens structurés et un examen d’au moins une certification pilote réalisés par l’organisme de certification conformément au présent règlement. Dans son évaluation, l’autorité nationale de certification de cybersécurité peut réutiliser tout élément de preuve approprié provenant d’une autorisation préalable ou d’activités similaires octroyées en vertu: a) du présent règlement; b) d’un autre schéma européen de certification de cybersécurité adopté conformément à l’article 49 du règlement (UE) 2019/881; c) d’un schéma national visé à l’article 49 du présent règlement.

3 L’autorité nationale de certification de cybersécurité établit un rapport d’autorisation qui fait l’objet d’un examen par les pairs conformément à l’article 59, paragraphe 3, point d), du règlement (UE) 2019/881.

4 L’autorité nationale de certification de cybersécurité précise les catégories de produit TIC et les profils de protection auxquels l’autorisation s’étend. L’autorisation est valable pour une période n’excédant pas la durée de validité de l’accréditation. Elle peut être renouvelée sur demande, à condition que l’organisme de certification continue de respecter les exigences énoncées dans le présent article. Aucune évaluation pilote n’est requise pour le renouvellement de l’autorisation.

5 L’autorité nationale de certification de cybersécurité retire l’autorisation de l’organisme de certification lorsque celui-ci ne remplit plus les conditions énoncées dans le présent article. En cas de retrait de l’autorisation, l’organisme de certification cesse immédiatement de se présenter comme un organisme de certification autorisé.

1 Un CESTI est autorisé par l’autorité nationale de certification de cybersécurité à procéder à l’évaluation de produits TIC qui font l’objet d’une certification au niveau d’assurance «élevé» lorsqu’il démontre, en plus de répondre aux exigences énoncées à l’article 60, paragraphe 1, et à l’annexe du règlement (UE) 2019/881 concernant l’accréditation des organismes d’évaluation de la conformité, qu’il respecte l’ensemble des conditions suivantes: a) il a l’expertise nécessaire pour effectuer les opérations d’évaluation visant à déterminer la résistance aux cyberattaques de pointe perpétrées par des acteurs disposant de compétences et de ressources importantes; b) pour les domaines techniques et les profils de protection qui font partie du processus TIC de ces produits TIC, il a: 1) l’expertise nécessaire pour réaliser les opérations d’évaluation spécifiques nécessaires pour déterminer méthodiquement la résistance d’une cible d’évaluation face à des attaquants compétents dans son environnement opérationnel, en cas d’attaque au potentiel «modéré» ou «élevé», comme indiqué dans les normes visées à l’article 3; 2) les compétences techniques spécifiées dans les documents de référence énumérés à l’annexe I; c) il a les compétences requises et a mis en place les mesures techniques et opérationnelles appropriées pour protéger efficacement les informations confidentielles et sensibles pour le niveau d’assurance «élevé», en plus des exigences énoncées à l’article 43.

2 L’autorité nationale de certification de cybersécurité évalue si un CESTI remplit toutes les exigences énoncées au paragraphe 1. Cette évaluation comprend au moins des entretiens structurés et un examen d’au moins une évaluation pilote réalisée par le CESTI conformément au présent règlement.

3 Dans son évaluation, l’autorité nationale de certification de cybersécurité peut réutiliser tout élément de preuve approprié provenant d’une autorisation préalable ou d’activités similaires octroyées en vertu: a) du présent règlement; b) d’un autre schéma européen de certification de cybersécurité adopté conformément à l’article 49 du règlement (UE) 2019/881; c) d’un schéma national visé à l’article 49 du présent règlement.

4 L’autorité nationale de certification de cybersécurité établit un rapport d’autorisation qui fait l’objet d’un examen par les pairs conformément à l’article 59, paragraphe 3, point d), du règlement (UE) 2019/881.

5 L’autorité nationale de certification de cybersécurité précise les catégories de produit TIC et les profils de protection auxquels l’autorisation s’étend. L’autorisation est valable pour une période n’excédant pas la durée de validité de l’accréditation. Elle peut être renouvelée sur demande, à condition que le CESTI continue de respecter les exigences énoncées dans le présent article. Aucune évaluation pilote ne devrait être requise pour le renouvellement de l’autorisation.

6 L’autorité nationale de certification de cybersécurité retire l’autorisation du CESTI si ce dernier ne remplit plus les conditions énoncées dans le présent article. Dès le retrait de l’autorisation, le CESTI cesse de se présenter comme un CESTI autorisé.

1 L’autorité nationale de certification de cybersécurité notifie à la Commission les organismes de certification présents sur son territoire et dont l’accréditation confirme qu’ils sont compétents pour délivrer des certificats de niveau d’assurance «substantiel».

2 L’autorité nationale de certification de cybersécurité notifie à la Commission les organismes de certification présents sur son territoire et dont l’accréditation et la décision d’autorisation confirment qu’ils sont compétents pour délivrer des certificats de niveau d’assurance «élevé».

3 Lorsqu’elle notifie un organisme de certification à la Commission, l’autorité nationale de certification de cybersécurité fournit au moins les informations suivantes: a) le ou les niveaux d’assurance pour lesquels l’organisme de certification est compétent en matière de délivrance de certificats EUCC; b) les informations suivantes relatives à l’accréditation: 1) la date de l’accréditation; 2) le nom et l’adresse de l’organisme de certification; 3) les pays d’enregistrement de l’organisme de certification; 4) le numéro de référence de l’accréditation; 5) le champ et la durée de validité de l’accréditation; 6) l’adresse, l’emplacement et le lien vers le site web de l’organisme national d’accréditation; et c) les informations suivantes relatives à l’autorisation pour le niveau «élevé»: 1) la date de l’autorisation; 2) le numéro de référence de l’autorisation; 3) la durée de validité de l’autorisation; 4) le champ de l’autorisation, y compris le niveau AVA_VAN le plus élevé et, le cas échéant, le domaine technique couvert.

4 L’autorité nationale de certification de cybersécurité envoie à l’ENISA une copie de la notification visée aux paragraphes 1 et 2 aux fins de la publication, sur le site web consacré à la certification de cybersécurité, d’informations précises concernant l’éligibilité des organismes de certification.

5 L’autorité nationale de certification de cybersécurité examine sans retard excessif toute information concernant un changement de statut de l’accréditation fournie par l’organisme national d’accréditation. En cas de retrait de l’accréditation ou de l’autorisation, l’autorité nationale de certification de cybersécurité en informe la Commission et peut lui soumettre une demande conformément à l’article 61, paragraphe 4, du règlement (UE) 2019/881.

Les obligations de notification incombant aux autorités nationales de certification de cybersécurité, énoncées à l’article 23, s’appliquent également aux CESTI. La notification inclut l’adresse du CESTI, l’accréditation en cours de validité et, le cas échéant, l’autorisation en cours de validité de ce CESTI.

1 Sans préjudice de l’article 58, paragraphe 7, du règlement (UE) 2019/881, l’autorité nationale de certification de cybersécurité contrôle: a) si l’organisme de certification et le CESTI respectent les obligations qui leur incombent en vertu du présent règlement et du règlement (UE) 2019/881; b) les titulaires d’un certificat EUCC respectent les obligations qui leur incombent en vertu du présent règlement et du règlement (UE) 2019/881; c) si les produits TIC certifiés respectent les exigences énoncées dans le schéma EUCC; d) si l’assurance indiquée dans le certificat EUCC concernant l’évolution du paysage des menaces est respectée.

2 L’autorité nationale de certification de cybersécurité exerce ses activités de contrôle sur la base notamment: a) des informations provenant des organismes de certification, des organismes nationaux d’accréditation et des autorités compétentes de surveillance du marché; b) des informations issues de ses propres audits et enquêtes ou de ceux d’une autre autorité; c) de l’échantillonnage effectué conformément au paragraphe 3; d) des plaintes reçues.

3 L’autorité nationale de certification de cybersécurité, en coopération avec d’autres autorités de surveillance du marché, prélève chaque année un échantillon d’au moins 4 % des certificats EUCC, tel que déterminé par une évaluation des risques. Sur demande et au nom de l’autorité nationale de certification de cybersécurité compétente, les organismes de certification et, si nécessaire, le CESTI aident cette autorité à contrôler la conformité.

4 L’autorité nationale de certification de cybersécurité sélectionne l’échantillon de produits TIC certifiés à contrôler sur la base de critères objectifs, y compris: a) la catégorie de produits; b) les niveaux d’assurance des produits; c) le titulaire d’un certificat; d) l’organisme de certification et, le cas échéant, le CESTI sous-traitant; e) toute autre information portée à la connaissance de l’autorité.

5 L’autorité nationale de certification de cybersécurité informe les titulaires du certificat EUCC des produits TIC sélectionnés et des critères de sélection.

6 L’organisme de certification qui a certifié le produit TIC échantillonné procède, à la demande de l’autorité nationale de certification de cybersécurité, avec l’aide du CESTI respectif, à un examen complémentaire conformément à la procédure prévue à l’annexe IV, section IV.2, et informe l’autorité nationale de certification de cybersécurité des résultats.

7 Lorsque l’autorité nationale de certification de cybersécurité a des raisons suffisantes de croire qu’un produit TIC certifié n’est plus conforme au présent règlement ou au règlement (UE) 2019/881, elle peut mener des enquêtes ou faire usage de tout autre pouvoir de contrôle énoncé à l’article 58, paragraphe 8, du règlement (UE) 2019/881.

8 L’autorité nationale de certification de cybersécurité informe l’organisme de certification et le CESTI concerné des enquêtes en cours concernant les produits TIC sélectionnés.

9 Lorsque l’autorité nationale de certification de cybersécurité constate qu’une enquête en cours concerne des produits TIC certifiés par des organismes de certification établis dans d’autres États membres, elle en informe les autorités nationales de certification de cybersécurité des États membres concernés afin qu’elles collaborent aux enquêtes, le cas échéant. Ladite autorité nationale de certification de cybersécurité informe également le groupe européen de certification de cybersécurité des enquêtes transfrontières et de leurs résultats.

1 L’organisme de certification contrôle: a) le respect, par les titulaires d’un certificat, de leurs obligations au titre du présent règlement et du règlement (UE) 2019/881 à l’égard du certificat EUCC qui a été délivré par l’organisme de certification; b) la conformité des produits TIC qu’il a certifiés avec les exigences de sécurité correspondantes; c) l’assurance indiquée dans les profils de protection certifiés.

2 L’organisme de certification fonde ses activités de contrôle sur: a) les informations fournies sur la base des engagements du candidat à la certification visés à l’article 9, paragraphe 2; b) les informations provenant des activités des autres autorités compétentes de surveillance du marché; c) les plaintes reçues; d) les informations relatives aux vulnérabilités susceptibles d’avoir une incidence sur les produits TIC qu’il a certifiés.

3 L’autorité nationale de certification de cybersécurité peut fixer des règles afin d’établir un dialogue régulier entre les organismes de certification et les titulaires de certificats EUCC pour vérifier le respect des engagements pris en vertu de l’article 9, paragraphe 2 et pour rendre compte dudit respect, sans préjudice des activités liées à d’autres autorités de surveillance du marché compétentes.

1 Le titulaire d’un certificat EUCC effectue les tâches suivantes pour contrôler la conformité du produit TIC certifié avec les exigences de sécurité correspondantes: a) surveiller les informations relatives aux vulnérabilités concernant le produit TIC certifié, y compris les dépendances connues, par ses propres moyens mais aussi en tenant compte: 1) d’une publication ou d’une soumission contenant des informations sur les vulnérabilités de la part d’un utilisateur ou d’un chercheur dans le domaine de la sécurité tel que visé à l’article 55, paragraphe 1, point c), du règlement (UE) 2019/881; 2) des informations communiquées par toute autre source; b) contrôler l’assurance indiquée dans le certificat EUCC.

2 Le titulaire d’un certificat EUCC travaille en coopération avec l’organisme de certification, le CESTI et, le cas échéant, l’autorité nationale de certification de cybersécurité pour soutenir leurs activités de contrôle.

1 Lorsqu’un produit TIC ou un profil de protection certifié n’est pas conforme aux exigences énoncées dans le présent règlement et dans le règlement (UE) 2019/881, l’organisme de certification informe le titulaire du certificat EUCC de la non-conformité constatée et lui demande de prendre des mesures correctives.

2 Lorsqu’un cas de non-conformité avec les dispositions du présent règlement pourrait affecter la conformité avec une autre législation pertinente de l’Union prévoyant la possibilité de démontrer la présomption de conformité avec les exigences de l’acte juridique en question au moyen du certificat EUCC, l’organisme de certification en informe l’autorité nationale de certification de cybersécurité dans les meilleurs délais. L’autorité nationale de certification de cybersécurité notifie immédiatement le cas de non-conformité détecté à l’autorité de surveillance du marché responsable de l’autre acte législatif pertinent de l’Union.

3 Dès réception des informations visées au paragraphe 1, le titulaire du certificat EUCC propose à l’organisme de certification, dans le délai fixé par ce dernier, qui ne peut dépasser 30 jours, les mesures correctives nécessaires pour remédier à la non-conformité.

4 L’organisme de certification peut suspendre, sans retard injustifié, le certificat EUCC conformément à l’article 30 en cas d’urgence ou si le titulaire du certificat EUCC ne coopère pas dûment avec l’organisme de certification.

5 L’organisme de certification procède à un réexamen conformément aux articles 13 et 19, afin d’évaluer si la mesure corrective permet de remédier à la non-conformité.

6 Si le titulaire du certificat EUCC ne propose pas de mesure corrective appropriée au cours de la période visée au paragraphe 3, le certificat est suspendu conformément à l’article 30 ou retiré conformément aux articles 14 ou 20.

7 Le présent article ne s’applique pas aux cas de vulnérabilités concernant un produit TIC certifié, traités au chapitre VI.

1 Lorsque l’organisme de certification constate que: a) le titulaire du certificat EUCC ou le candidat à la certification ne respecte pas ses engagements et obligations définis à l’article 9, paragraphe 2, à l’article 17, paragraphe 2, et aux articles 27 et 41; ou b) le titulaire du certificat EUCC ne respecte pas l’article 56, paragraphe 8, du règlement (UE) 2019/881 ou le chapitre VI du présent règlement; il fixe un délai ne dépassant pas 30 jours dans lequel le titulaire du certificat EUCC prend des mesures correctives.

2 Si le titulaire du certificat EUCC ne propose pas de mesure corrective appropriée au cours du délai visé au paragraphe 1, le certificat est suspendu conformément à l’article 30 ou retiré conformément aux articles 14 et 20.

3 Le non-respect continu ou récurrent par le titulaire du certificat EUCC des obligations visées au paragraphe 1 déclenche le retrait du certificat EUCC conformément à l’article 14 ou 20.

4 L’organisme de certification informe l’autorité nationale de certification de cybersécurité des constatations visées au paragraphe 1. Lorsque le cas de non-conformité affecte la conformité avec d’autres législations pertinentes de l’Union, l’autorité nationale de certification de cybersécurité informe immédiatement du cas de non-conformité constaté l’autorité de surveillance du marché responsable de ces autres législations pertinentes de l’Union.

1 Lorsque le présent règlement fait référence à la suspension d’un certificat EUCC, l’organisme de certification suspend le certificat EUCC concerné pendant une période adaptée aux circonstances ayant déclenché la suspension, qui ne dépasse pas 42 jours. La période de suspension commence le jour suivant celui de la décision de l’organisme de certification. La suspension n’affecte pas la validité du certificat.

2 L’organisme de certification notifie la suspension au titulaire du certificat et à l’autorité nationale de certification de cybersécurité dans les meilleurs délais, en indiquant les motifs de la suspension, les mesures demandées et la période de suspension.

3 Les titulaires de la certification notifient aux acheteurs des produits TIC concernés la suspension et les raisons invoquées par l’organisme de certification pour justifier la suspension, à l’exception de celles dont la divulgation constituerait un risque pour la sécurité ou qui contiennent des informations sensibles. Ces informations sont également mises à la disposition du public par le titulaire du certificat.

4 Lorsqu’une autre législation pertinente de l’Union prévoit une présomption de conformité fondée sur des certificats délivrés en vertu des dispositions du présent règlement, l’autorité nationale de certification de cybersécurité informe l’autorité de surveillance du marché responsable de cette autre législation pertinente de l’Union de la suspension.

5 La suspension d’un certificat est notifiée à l’ENISA conformément à l’article 42, paragraphe 3.

6 Dans des cas dûment justifiés, l’autorité nationale de certification de cybersécurité peut autoriser une prolongation de la période de suspension d’un certificat EUCC. La période totale de suspension ne peut dépasser un an.

1 Si un organisme de certification, ou l’organisme de certification concerné en cas de non-conformité d’un CESTI, ne respecte pas ses obligations, l’autorité nationale de certification de cybersécurité procède aux actions suivantes, dans les meilleurs délais: a) identifier, avec l’aide du CESTI concerné, les certificats EUCC potentiellement concernés; b) demander, le cas échéant, que des opérations d’évaluation soient effectuées sur un ou plusieurs produits TIC ou profils de protection, soit par le CESTI qui a procédé à l’évaluation, soit par tout autre CESTI accrédité et, le cas échéant, autorisé qui pourrait être le mieux placé techniquement pour aider à cette identification; c) analyser les conséquences de cette non-conformité; d) notifier le titulaire du certificat EUCC concerné par cette non-conformité.

2 Sur la base des mesures visées au paragraphe 1, l’organisme de certification adopte l’une ou l’autre des décisions suivantes pour chaque certificat EUCC concerné: a) maintenir le certificat EUCC en l’état; b) retirer le certificat EUCC conformément à l’article 14 ou 20 et, le cas échéant, délivrer un nouveau certificat EUCC.

3 Sur la base des mesures visées au paragraphe 1, l’autorité nationale de certification de cybersécurité: a) signale, le cas échéant, à l’organisme national d’accréditation la non-conformité de l’organisme de certification ou du CESTI correspondant; b) évalue, le cas échéant, l’incidence potentielle sur l’autorisation.

Le présent chapitre s’applique aux produits TIC pour lesquels un certificat EUCC a été délivré.

1 Le titulaire d’un certificat EUCC établit et tient à jour toutes les procédures de gestion des vulnérabilités nécessaires conformément aux règles énoncées dans la présente section et, le cas échéant, complétées par les procédures définies dans la norme EN ISO/IEC 30111.

2 Le titulaire d’un certificat EUCC tient à jour et publie des méthodes appropriées pour recevoir des informations sur les vulnérabilités liées à ses produits de la part de sources externes, y compris les utilisateurs, les organismes de certification et les chercheurs dans le domaine de la sécurité.

3 Lorsque le titulaire d’un certificat EUCC détecte ou reçoit des informations sur une vulnérabilité potentielle touchant un produit TIC certifié, il l’enregistre et procède à une analyse d’impact de la vulnérabilité.

4 Lorsqu’une vulnérabilité potentielle a une incidence sur un produit composite, le titulaire du certificat EUCC informe de cette vulnérabilité potentielle le titulaire de certificats EUCC dépendants.

5 En réponse à une demande raisonnable de l’organisme de certification qui a délivré le certificat, le titulaire d’un certificat EUCC transmet toutes les informations pertinentes concernant les vulnérabilités potentielles à cet organisme de certification.

1 L’analyse d’impact d’une vulnérabilité fait référence à la cible d’évaluation et aux déclarations d’assurance figurant dans le certificat. L’analyse de l’impact d’une vulnérabilité est effectuée dans un délai adapté à l’exploitabilité et à la criticité de la vulnérabilité potentielle du produit TIC certifié.

2 Le cas échéant, un calcul du potentiel d’attaque est effectué selon la méthode pertinente incluse dans les normes visées à l’article 3 et aux documents de référence pertinents énumérés à l’annexe I, afin de déterminer l’exploitabilité de la vulnérabilité. Le niveau AVA_VAN du certificat EUCC est pris en compte.

1 Le titulaire établit un rapport d’analyse d’impact d’une vulnérabilité lorsque l’analyse d’impact montre qu’une vulnérabilité a une incidence probable sur la conformité du produit TIC avec son certificat.

2 Le rapport d’analyse d’impact d’une vulnérabilité contient l’évaluation des éléments suivants: a) l’incidence de la vulnérabilité sur le produit TIC certifié; b) les risques éventuels liés à la proximité ou à la disponibilité d’une attaque; c) la possibilité de remédier à la vulnérabilité; d) s’il est possible de remédier à la vulnérabilité, les résolutions possibles de cette vulnérabilité.

3 Le rapport d’analyse d’impact d’une vulnérabilité contient, le cas échéant, des détails sur les moyens d’exploitation possibles de la vulnérabilité. Les informations relatives aux moyens d’exploitation possibles de la vulnérabilité sont traitées conformément aux mesures de sécurité appropriées afin de protéger leur confidentialité et de garantir, le cas échéant, leur diffusion limitée.

4 Le titulaire d’un certificat EUCC transmet sans retard injustifié le rapport d’analyse d’impact d’une vulnérabilité à l’organisme de certification ou à l’autorité nationale de certification de cybersécurité conformément à l’article 56, paragraphe 8, du règlement (UE) 2019/881.

5 Lorsque le rapport d’analyse d’impact d’une vulnérabilité établit que la vulnérabilité n’est pas résiduelle au sens des normes visées à l’article 3 et qu’il est possible d’y remédier, l’article 36 s’applique.

6 Lorsque le rapport d’analyse d’impact d’une vulnérabilité établit que la vulnérabilité n’est pas résiduelle et qu’il n’est pas possible d’y remédier, le certificat EUCC est retiré conformément à l’article 14.

7 Le titulaire du certificat EUCC surveille les éventuelles vulnérabilités résiduelles afin de s’assurer qu’elles ne pourront pas être exploitées en cas de modification de l’environnement opérationnel.

Le titulaire du certificat EUCC soumet une proposition de mesure corrective appropriée à l’organisme de certification. L’organisme de certification réexamine le certificat conformément à l’article 13. La portée de ce réexamen est déterminée par la mesure proposée pour remédier à la vulnérabilité.

1 Les informations fournies par l’organisme de certification à l’autorité nationale de certification de cybersécurité comprennent tous les éléments nécessaires à l’autorité nationale de certification de cybersécurité pour comprendre l’incidence de la vulnérabilité, les changements à apporter au produit TIC et, le cas échéant, toute information provenant de l’organisme de certification sur les implications au sens large de la vulnérabilité pour d’autres produits TIC certifiés.

2 Les informations fournies conformément au paragraphe 1 ne contiennent pas de précisions sur les moyens d’exploitation de la vulnérabilité. La présente disposition est sans préjudice des pouvoirs d’enquête de l’autorité nationale de certification de cybersécurité.

1 L’autorité nationale de certification de cybersécurité communique les informations pertinentes reçues conformément à l’article 37 aux autres autorités nationales de certification de cybersécurité et à l’ENISA.

2 D’autres autorités nationales de certification de cybersécurité peuvent décider de poursuivre l’analyse de la vulnérabilité ou, après avoir informé le titulaire du certificat EUCC, demander aux organismes de certification concernés d’évaluer si la vulnérabilité peut avoir une incidence sur d’autres produits TIC certifiés.

Dès le retrait d’un certificat, le titulaire du certificat EUCC divulgue et enregistre toute vulnérabilité du produit TIC connue du public et corrigée, soit dans la base de données européenne des vulnérabilités établie conformément à l’article 12 de la directive (UE) 2022/2555 du Parlement européen et du Conseil , soit dans les autres répertoires en ligne visés à l’article 55, paragraphe 1, point d), du règlement (UE) 2019/881.

1 Les CESTI et les organismes de certification ont un système d’archivage contenant tous les documents créés dans le cadre de chaque évaluation et certification qu’ils effectuent.

2 Les organismes de certification et les CESTI stockent les archives en toute sécurité et les conservent pendant la période nécessaire aux fins du présent règlement et pendant au moins cinq ans après le retrait des certificats EUCC concernés. Lorsque l’organisme de certification a délivré un nouveau certificat EUCC conformément à l’article 13, paragraphe 2, point c), il conserve, avec ce nouveau certificat EUCC et pour la même durée, la documentation du certificat EUCC retiré.

1 Les informations visées à l’article 55 du règlement (UE) 2019/881 sont rendues disponibles dans un langage aisément accessible aux utilisateurs.

2 Le titulaire d’un certificat EUCC conserve les éléments suivants de manière sécurisée pendant la période nécessaire aux fins du présent règlement et pendant au moins cinq ans après le retrait du certificat EUCC concerné: a) les archives des informations fournies à l’organisme de certification et au CESTI au cours de la procédure de certification; b) un spécimen du produit TIC certifié.

3 Lorsque l’organisme de certification a délivré un nouveau certificat EUCC conformément à l’article 13, paragraphe 2, point c), le titulaire conserve, avec ce nouveau certificat EUCC et pour la même durée, la documentation du certificat EUCC retiré.

4 À la demande de l’organisme de certification ou de l’autorité nationale de certification de cybersécurité, le titulaire d’un certificat EUCC met à disposition les archives et les copies visées au paragraphe 2.

1 L’ENISA publie les informations suivantes sur le site web visé à l’article 50, paragraphe 1, du règlement (UE) 2019/881: a) tous les certificats EUCC; b) les informations relatives au statut d’un certificat EUCC, notamment celles permettant de savoir s’il est valide ou s’il a été suspendu, retiré ou expiré; c) les rapports de certification correspondant à chaque certificat EUCC; d) la liste des organismes d’évaluation de la conformité accrédités; e) la liste des organismes d’évaluation de la conformité autorisés; f) les documents de référence énumérés à l’annexe I; g) les avis du groupe européen de certification de cybersécurité visés à l’article 62, paragraphe 4, point c), du règlement (UE) 2019/881; h) les rapports d’évaluation par les pairs établis conformément à l’article 47.

2 Les informations visées au paragraphe 1 sont mises à disposition au moins en anglais.

3 Les organismes de certification et, le cas échéant, les autorités nationales de certification de cybersécurité informent l’ENISA dans les meilleurs délais de leurs décisions affectant le contenu ou le statut d’un certificat EUCC visé au paragraphe 1, point b).

4 L’ENISA veille à ce que les informations publiées en vertu du paragraphe 1, points a), b) et c), identifient clairement les versions d’un produit TIC certifié qui sont couvertes par un certificat EUCC.

Les organismes d’évaluation de la conformité, les autorités nationales de certification de cybersécurité, le GECC, l’ENISA, la Commission et toutes les autres parties veillent à la sécurité et à la protection des secrets d’affaires et autres informations confidentielles, y compris les secrets commerciaux, ainsi qu’à la préservation des droits de propriété intellectuelle, et prennent les mesures techniques et organisationnelles nécessaires et appropriées.

1 Les pays tiers qui souhaitent certifier leurs produits conformément au présent règlement et qui souhaitent que cette certification soit reconnue dans l’Union concluent un accord de reconnaissance mutuelle avec l’Union.

2 L’accord de reconnaissance mutuelle couvre les niveaux d’assurance applicables aux produits TIC certifiés et, le cas échéant, aux profils de protection.

3 Les accords de reconnaissance mutuelle visés au paragraphe 1 ne peuvent être conclus qu’avec des pays tiers qui: a) disposent d’une autorité qui: 1) est un organisme public, indépendant, du point de vue de la structure organisationnelle et juridique, du financement et des prises de décisions, des entités qu’il supervise et contrôle; 2) dispose de pouvoirs de contrôle et de surveillance appropriés pour mener des enquêtes et est habilitée à prendre des mesures correctives appropriées pour garantir la conformité; 3) dispose d’un système de sanctions efficace, proportionné et dissuasif pour garantir la conformité; 4) accepte de collaborer avec le groupe européen de certification de cybersécurité et l’ENISA pour échanger les meilleures pratiques et les évolutions pertinentes dans le domaine de la certification de cybersécurité et pour œuvrer à une interprétation uniforme des critères et méthodes d’évaluation actuellement applicables, notamment en appliquant une documentation harmonisée équivalente aux documents de référence énumérés à l’annexe I; b) disposent d’un organisme d’accréditation indépendant effectuant des accréditations sur la base de normes équivalentes à celles visées dans le règlement (CE) no 765/2008; c) s’engagent à ce que les processus et procédures d’évaluation et de certification soient menés de manière dûment professionnelle, en tenant compte du respect des normes internationales visées dans le présent règlement, en particulier à l’article 3; d) ont la capacité de signaler des vulnérabilités non détectées précédemment et ont établi une procédure adéquate de gestion et de divulgation des vulnérabilités; e) ont mis en place des procédures leur permettant d’introduire et de traiter efficacement les plaintes et d’offrir un recours juridique effectif aux plaignants; f) établissent un mécanisme de coopération avec d’autres organismes de l’Union et des États membres concernés par la certification de cybersécurité au titre du présent règlement, y compris le partage d’informations sur la non-conformité éventuelle des certificats, le suivi des évolutions pertinentes dans le domaine de la certification et l’adoption d’une approche commune en matière de maintien et d’examen de la certification.

4 Outre les conditions énoncées au paragraphe 3, un accord de reconnaissance mutuelle visé au paragraphe 1 et portant sur le niveau d’assurance «élevé» ne peut être conclu avec des pays tiers que si les conditions suivantes sont également remplies: a) le pays tiers dispose d’une autorité de certification indépendante et publique en matière de cybersécurité qui effectue ou délègue les activités d’évaluation nécessaires pour autoriser la certification au niveau d’assurance «élevé», qui sont équivalentes aux exigences et aux procédures établies pour les autorités nationales de cybersécurité dans le présent règlement et dans le règlement (UE) 2019/881; b) l’accord de reconnaissance mutuelle établit un mécanisme commun équivalent à l’évaluation par les pairs pour la certification EUCC afin de renforcer l’échange de pratiques et de résoudre conjointement les problèmes dans le domaine de l’évaluation et de la certification.

1 Un organisme de certification délivrant des certificats EUCC de niveau d’assurance «élevé» fait l’objet d’une évaluation par les pairs à intervalles réguliers et au moins tous les cinq ans. Les différents types d’évaluation par les pairs figurent à l’annexe VI.

2 Le groupe européen de certification de cybersécurité établit et tient à jour un calendrier des évaluations par les pairs en veillant à ce que cette périodicité soit respectée. Sauf dans des cas dûment justifiés, les évaluations par les pairs sont effectuées sur place.

3 L’évaluation par les pairs peut s’appuyer sur des éléments de preuve recueillis au cours d’évaluations par les pairs antérieures ou de procédures équivalentes de l’organisme de certification évalué par les pairs ou de l’autorité nationale de certification de cybersécurité, à condition que: a) les résultats ne datent pas de plus de cinq ans; b) les résultats soient accompagnés d’une description des procédures d’évaluation par les pairs établies pour ce schéma lorsqu’ils se rapportent à une évaluation par les pairs réalisée dans le cadre d’un schéma de certification différent; c) le rapport d’évaluation par les pairs visé à l’article 47 précise quels résultats ont été réutilisés avec ou sans nouvelle évaluation.

4 Lorsqu’une évaluation par les pairs couvre un domaine technique, le CESTI concerné est lui aussi évalué.

5 L’organisme de certification évalué par les pairs et, le cas échéant, l’autorité nationale de certification de cybersécurité veillent à ce que toutes les informations pertinentes soient mises à la disposition de l’équipe d’évaluation par les pairs.

6 L’évaluation par les pairs est effectuée par une équipe dédiée constituée comme indiqué à l’annexe VI.

1 Au cours de la phase préparatoire, les membres de l’équipe d’évaluation par les pairs examinent la documentation de l’organisme de certification portant sur ses politiques et procédures, y compris l’utilisation de documents de référence.

2 Au cours de la phase de visite du site, l’équipe d’évaluation par les pairs évalue la compétence technique de l’organisme et, le cas échéant, la compétence d’un CESTI qui a réalisé au moins une évaluation de produit TIC couverte par l’évaluation par les pairs.

3 La durée de la phase de visite du site peut être prolongée ou réduite en fonction de facteurs tels que la possibilité de réutiliser des preuves et des résultats d’une évaluation par les pairs existante ou le nombre de CESTI et de domaines techniques pour lesquels l’organisme de certification délivre des certificats.

4 Le cas échéant, l’équipe d’évaluation par les pairs détermine la compétence technique de chaque CESTI en visitant son ou ses laboratoires techniques et en s’entretenant avec les évaluateurs en ce qui concerne le domaine technique et les méthodes d’attaque spécifiques qui s’y rapportent.

5 Au cours de la phase d’établissement du rapport, l’équipe d’évaluation consigne ses constatations dans un rapport d’évaluation par les pairs comprenant un verdict et, le cas échéant, la liste des non-conformités observées, chacune classée selon un niveau de criticité.

6 Le rapport d’évaluation par les pairs doit d’abord faire l’objet de discussions avec l’organisme de certification évalué par les pairs. À la suite de ces discussions, l’organisme de certification évalué par les pairs établit un calendrier des mesures à prendre pour donner suite aux constatations.

1 L’équipe d’évaluation par les pairs fournit à l’organisme de certification évalué par les pairs un projet de rapport d’évaluation par les pairs.

2 L’organisme de certification évalué par les pairs soumet à l’équipe d’évaluation par les pairs des observations concernant les constatations et une liste d’engagements visant à remédier aux lacunes recensées dans le projet de rapport d’évaluation par les pairs.

3 L’équipe d’évaluation par les pairs soumet au groupe européen de certification de cybersécurité un rapport final d’évaluation par les pairs, qui comprend également les commentaires formulés et les engagements pris par l’organisme de certification évalué par les pairs. L’équipe d’évaluation par les pairs fait également part de sa position quant aux commentaires et indique si les engagements sont suffisants pour remédier aux lacunes constatées.

4 Lorsque des non-conformités sont recensées dans le rapport d’évaluation par les pairs, le groupe européen de certification de cybersécurité peut fixer un délai approprié pour que l’organisme de certification évalué par les pairs remédie à ces non-conformités.

5 Le groupe européen de certification de cybersécurité adopte un avis sur le rapport d’évaluation par les pairs: a) lorsque le rapport d’évaluation par les pairs ne recense pas de non-conformités ou lorsque les non-conformités ont été traitées de manière appropriée par l’organisme de certification évalué par les pairs, le groupe européen de certification de cybersécurité peut émettre un avis positif et tous les documents pertinents sont publiés sur le site web de certification de l’ENISA; b) lorsque l’organisme de certification évalué par les pairs ne traite pas les non-conformités de manière appropriée dans le délai imparti, le groupe européen de certification de cybersécurité peut émettre un avis négatif à publier sur le site web de certification de l’ENISA, avec le rapport d’évaluation par les pairs et tous les documents pertinents.

6 Avant la publication de l’avis, toutes les informations sensibles, personnelles ou propriétaires sont retirées des documents publiés.

1 La Commission peut demander au groupe européen de certification de cybersécurité d’adopter un avis en vue de tenir à jour le schéma EUCC et d’entreprendre les travaux préparatoires nécessaires.

2 Le groupe européen de certification de cybersécurité peut adopter un avis afin d’approuver des documents de référence.

3 Les documents de référence qui ont été approuvés par le groupe européen de certification de cybersécurité sont publiés par l’ENISA.

1 Conformément à l’article 57, paragraphe 1, du règlement (UE) 2019/881 et sans préjudice de l’article 57, paragraphe 3, dudit règlement, tous les schémas nationaux de certification de cybersécurité et les procédures connexes pour les produits TIC et les processus TIC qui sont couverts par le schéma EUCC cessent de produire leurs effets 12 mois après l’entrée en vigueur du présent règlement.

2 Par dérogation à l’article 50, un processus de certification peut être engagé dans le cadre d’un schéma national de certification de cybersécurité dans les 12 mois suivant l’entrée en vigueur du présent règlement, pour autant qu’il soit achevé au plus tard 24 mois après celle-ci.

3 Les certificats délivrés en vertu de schémas nationaux de certification de cybersécurité peuvent faire l’objet d’un réexamen. Les nouveaux certificats remplaçant les certificats réexaminés sont délivrés conformément au présent règlement.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à partir du 27 février 2025. Le chapitre IV et l’annexe V sont applicables à partir de la date d’entrée en vigueur du présent règlement.