Accords de reconnaissance mutuelle des Critères Communs

L'EUCC est le premier schéma de certification européen ( EU Common Criteria) à créer une harmonisation européenne de la certification qui vise à remplacer SOG-IS. La reconnaissance vaut dans toute l'Europe.

Chaque état-membre a les mêmes objectifs et règles de certification en suivant le Cybersecurity Act (Règlement (EU) 2024/482).

Cette certification européenne exige la publication du certificat ; le logo SOG-IS ne sera pas présent dessus.

Les activités de certification relatives à la sécurité publique, à la défense et à la sécurité nationale ne sont pas couvertes par EUCC et font l’objet d’une certification nationale (sans la marque EUCC présente sur le certificat)

Il est donc possible d'avoir sur un certificat le logo CCRA et/ou  EUCC ou aucun des 2.

L’accord européen de reconnaissance mutuelle du SOG-IS de 2010 permet la reconnaissance entre les États signataires de l’accord, des certificats délivrés par leur autorité de certification.

Aujourd’hui, deux domaines techniques sont couverts par le présent accord pour les hauts niveaux de reconnaissance : celui des « microcontrôleurs sécurisés et produits similaires » et celui des « équipements matériels avec boîtiers sécurisés ».

Arrangement de reconnaissance mutuelle selon les Critères communs : CCRA

La nouvelle version de l’accord du Common Criteria Recognition Arrangement (CCRA) est applicable depuis le 8 septembre 2014.

Ce nouvel accord définit un nouveau type de Profil de protection (PP) dans son annexe K : le « Collaborative PP » (cPP). Il s’agit d’un PP qui dispose d’une méthode d’évaluation dédiée raffinant les CC génériques. Ce cPP associé à sa méthode d’évaluation est rédigé par une communauté technique internationale dite iTC. Les méthodes d’évaluation spécifiques à un cPP sont approuvées dans le cadre du CCRA.

Les limites de la reconnaissance du CCRA sont désormais établies en fonction du type de démarche d’évaluation mise en œuvre :

• pour une évaluation réalisée selon les CC génériques (qu’un PP standard soit pris en compte ou non), la reconnaissance mutuelle s’applique jusqu’au niveau d’évaluation EAL2 ainsi qu’à la famille ALC_FLR ;
• pour une évaluation conforme à un cPP, la reconnaissance mutuelle s’applique jusqu’au niveau d’évaluation identifié dans le cPP. Le niveau des cPP est limité à EAL2 par défaut ; ce niveau peut être étendu à EAL4 si l’iTC peut démontrer que les travaux sont suffisamment objectifs pour être mis en œuvre par tous les schémas du CCRA.

Enfin, un plan de transition entre les deux versions de l’accord a été établi (voir article 17 du nouvel l’accord). Jusqu’au 8 septembre 2017, peuvent être reconnues jusqu’à EAL4 (i.e selon les termes de l’ancien accord) :

• les évaluations de produits si celles-ci ont été enregistrées avant le 8 septembre 2014 ;
• les maintenances ou réévaluations de produits qui disposent d’un précèdent certificat reconnu selon les termes de l’ancien accord.