IV.1 Continuité de l’assurance: portée
1. Les exigences suivantes en matière de continuité de l’assurance s’appliquent aux activités de maintenance liées à ce qui suit:
a) une réévaluation pour savoir si un produit TIC certifié inchangé répond encore aux exigences de sécurité correspondantes;
b) une évaluation de l’incidence des changements apportés à un produit TIC certifié sur sa certification;
c) si elle est incluse dans la certification, l’application de correctifs conformément à un processus de gestion des correctifs évalué;
d) s’il est inclus, le réexamen des processus de production ou de gestion du cycle de vie du titulaire du certificat.
2. Le titulaire d’un certificat EUCC peut demander le réexamen du certificat dans les cas suivants:
a) le certificat EUCC expire dans les neuf mois;
b) un changement apporté au produit TIC certifié ou à un autre facteur pourrait avoir une incidence sur la fonctionnalité de sécurité du produit;
c) le titulaire du certificat exige que l’évaluation de la vulnérabilité soit effectuée à nouveau afin de reconfirmer l’assurance du certificat EUCC associée à la résistance du produit TIC contre les cyberattaques actuelles.
IV.2 Réévaluation
1. Lorsqu’il est nécessaire d’évaluer l’incidence des changements dans l’environnement des menaces d’un produit TIC certifié inchangé, une demande de réévaluation est soumise à l’organisme de certification.
2. La réévaluation est effectuée par le CESTI qui a réalisé l’évaluation précédente, en réutilisant tous les résultats qui s’appliquent encore. L’évaluation se concentre sur les activités d’assurance qui sont potentiellement affectées par la modification de l’environnement de menaces lié au produit TIC certifié, en particulier la famille AVA_VAN concernée et, en outre, la famille du cycle de vie de l’assurance (ALC) où des preuves suffisantes relatives à la maintenance de l’environnement de développement sont à nouveau collectées.
3. Le CESTI décrit les changements et détaille les résultats de la réévaluation avec une mise à jour du rapport technique d’évaluation précédent.
4. L’organisme de certification examine le rapport technique d’évaluation mis à jour et établit un rapport de réévaluation. Le statut du certificat initial est alors modifié conformément à l’article 13 ou à l’article 19. Si le processus de réévaluation est concluant, l’article 13, paragraphe 2, point a) ou c), s’applique dans le cas de la certification d’un produit et l’article 19, paragraphe 2, point a) ou c), s’applique dans le cas de la certification d’un profil de protection. Si le processus de réévaluation n’est pas concluant, l’article 13, paragraphe 2, point a) ou d), s’applique dans le cas de la certification d’un produit et l’article 19, paragraphe 2, point b) ou d), s’applique dans le cas de la certification d’un profil de protection.
5. Le rapport de réévaluation et le certificat mis à jour sont fournis à l’autorité nationale de certification de cybersécurité, ainsi qu’à l’ENISA pour publication sur son site web consacré à la certification de cybersécurité.
IV.3 Modification d’un produit TIC certifié – Maintenance et réévaluation
1. Lorsqu’un produit TIC certifié a fait l’objet de modifications, le titulaire du certificat qui souhaite tenir à jour ce certificat fournit à l’organisme de certification un rapport d’analyse d’impact.
2. Le rapport d’analyse d’impact contient les éléments suivants:
a) une introduction contenant les informations nécessaires pour identifier le rapport d’analyse d’impact et la cible d’évaluation soumise à des modifications;
b) une description des modifications apportées au produit;
c) le recensement des éléments de preuve du développeur concernés;
d) une description des modifications apportées aux éléments de preuve du développeur;
e) les constatations et les conclusions relatives à l’incidence sur l’assurance pour chaque modification.
3. L’organisme de certification examine les modifications décrites dans le rapport d’analyse d’impact afin de valider leur incidence sur l’assurance de la cible d’évaluation certifiée, comme proposé dans les conclusions du rapport d’analyse d’impact.
4. À l’issue de l’examen, l’organisme de certification détermine si l’ampleur d’une modification est mineure ou majeure en fonction de son incidence sur l’assurance indiquée dans le certificat EUCC.
5. Lorsque les modifications sont considérées comme mineures par l’organisme de certification, aucun nouveau certificat n’est délivré pour le produit TIC modifié conformément à l’article 13, paragraphe 2, point a), ou à l’article 19, paragraphe 2, point a), et un rapport de maintenance du rapport de certification initial est établi.
5 bis. En cas de modification des mesures d’assurance dans l’environnement de développement, y compris l’ajout d’exigences en matière d’assurance de la famille de CC ALC_FLR (correction des anomalies), l’organisme de certification peut demander au CESTI de procéder à l’évaluation d’un sous-ensemble des mesures d’assurance concernées. Le CESTI publie un rapport technique d’évaluation partielle, sur la base duquel l’organisme de certification confirme que les modifications sont mineures ou majeures. Lorsque l’organisme de certification confirme que les modifications sont mineures, le point IV.3, 5, s’applique. Lorsque l’organisme de certification confirme que les modifications sont majeures, le point IV.3, 7, s’applique.
6. Le rapport de maintenance mentionné au point 5 est fourni à l’ENISA pour publication sur son site web de certification de cybersécurité.
7. Lorsque les modifications sont considérées comme majeures, une réévaluation est effectuée dans le contexte de l’évaluation précédente et en réutilisant tous les résultats de l’évaluation précédente qui s’appliquent encore.
8. Une fois l’évaluation de la nouvelle cible d’évaluation terminée, le CESTI établit un nouveau rapport technique d’évaluation. L’organisme de certification examine le rapport technique d’évaluation mis à jour et, le cas échéant, établit un nouveau certificat accompagné d’un nouveau rapport de certification.
9. Le nouveau certificat et le nouveau rapport de certification sont transmis à l’ENISA pour publication.
IV.4 Gestion des correctifs
1. Une procédure de gestion des correctifs prévoit un processus structuré de mise à jour d’un produit TIC certifié. La procédure de gestion des correctifs, y compris le mécanisme tel qu’il est mis en œuvre dans le produit TIC par le candidat à la certification, peut être utilisée après la certification du produit TIC sous la responsabilité de l’organisme d’évaluation de la conformité.
2. Le candidat à la certification peut inclure dans la certification du produit TIC un mécanisme de correctif dans le cadre d’une procédure de gestion certifiée mise en œuvre dans le produit TIC dans l’une des conditions suivantes:
a) les fonctionnalités concernées par le correctif sont en dehors de la cible d’évaluation du produit TIC certifié;
b) le correctif concerne une modification mineure prédéterminée du produit TIC certifié;
c) le correctif concerne une vulnérabilité confirmée ayant des effets critiques sur la sécurité du produit TIC certifié.
3. Si le correctif concerne une modification majeure de la cible d’évaluation du produit TIC certifié, en lien avec une vulnérabilité non détectée précédemment et n’ayant pas d’effets critiques sur la sécurité du produit TIC, les dispositions de l’article 13 s’appliquent.
4. La procédure de gestion des correctifs pour un produit TIC se compose des éléments suivants:
a) le processus de développement et de publication du correctif pour le produit TIC;
b) le mécanisme technique et les fonctions pour l’adoption du correctif dans le produit TIC;
c) un ensemble d’activités d’évaluation liées à l’efficacité et à la performance du mécanisme technique.
5. Au cours de la certification du produit TIC:
a) le candidat à la certification du produit TIC fournit la description de la procédure de gestion des correctifs;
b) le CESTI vérifie les éléments suivants:
1) le développeur a mis en œuvre les mécanismes de correctifs dans le produit TIC conformément à la procédure de gestion des correctifs qui a été soumise à la certification;
2) les limites de la cible d’évaluation sont séparées de manière que les modifications apportées aux processus séparés n’affectent pas la sécurité de la cible d’évaluation;
3) le mécanisme de correctif technique fonctionne conformément aux dispositions de la présente section et aux déclarations du demandeur;
c) l’organisme de certification inclut dans le rapport de certification le résultat de l’évaluation de la procédure de gestion des correctifs.
6. Le titulaire du certificat peut appliquer au produit TIC certifié concerné le correctif créé conformément à la procédure certifiée de gestion des correctifs et prend les mesures suivantes dans un délai de 5 jours ouvrables dans les cas suivants:
a) dans le cas visé au point 2 a), il signale le correctif concerné à l’organisme de certification qui ne modifie pas le certificat EUCC correspondant;
b) dans le cas visé au point 2 b), il soumet le correctif concerné au CESTI pour examen. Le CESTI informe l’organisme de certification de la réception du correctif, après quoi l’organisme de certification prend les mesures appropriées pour délivrer une nouvelle version du certificat EUCC correspondant et pour mettre à jour le rapport de certification;
c) dans le cas visé au point 2 c), il soumet le correctif concerné au CESTI pour la réévaluation nécessaire, mais peut déployer le correctif en parallèle. Le CESTI en informe l’organisme de certification, après quoi ce dernier entame les activités de certification correspondantes.