1. L’article 18 précise les exigences applicables au cycle de vie de la certification, en particulier la réalisation d’activités d’évaluation régulières. Ces activités comprennent au moins les éléments suivants:
a) une évaluation complète de l’objet de l’évaluation de la conformité dans l’évaluation initiale et lors de chaque évaluation de recertification, comprenant une mise à jour de tout composant du produit;
b) une évaluation de la vulnérabilité dans l’évaluation initiale et lors de chaque évaluation de recertification, et au moins tous les deux ans dans les évaluations de surveillance, couvrant au moins les changements intervenus dans l’objet de l’évaluation de la conformité et les changements intervenus dans l’environnement de menace depuis la dernière évaluation de la vulnérabilité;
c) des activités supplémentaires telles que des tests d’intrusion en cas d’augmentation du niveau de risque ou d’apparition de nouvelles menaces;
d) une évaluation de l’efficacité opérationnelle des processus de maintenance au moins une fois par an dans les évaluations de surveillance et de recertification, couvrant au moins les processus de contrôle des versions, de mise à jour et de gestion de la vulnérabilité;
e) à la suite d’un examen concluant et d’une décision de certification, la délivrance d’un certificat de conformité après l’évaluation initiale et après chaque évaluation de recertification.
2. Un calendrier de référence est fourni dans le tableau 1 sur la base d’un cycle de 4 ans, dans lequel:
a) l’année 1 commence à la première délivrance du certificat de conformité; et
b) toutes les activités d’évaluation sont réalisées dans un délai de 12 mois à compter de l’évaluation de l’année précédente.
3. Le calendrier figurant dans le tableau 1 est une recommandation visant à garantir une recertification en temps utile et à éviter les perturbations dans la fourniture de la solution du portefeuille. D’autres calendriers sont envisageables, pour autant que la validité du certificat de conformité ne dépasse pas cinq ans, comme le prévoit l’article 5 quater, paragraphe 4, du règlement (UE) no 910/2014.
4. Outre les évaluations régulières, une évaluation spéciale peut être déclenchée à la demande de l’organisme de certification ou du titulaire du certificat de conformité, à la suite d’une modification importante de l’objet de la certification ou de l’environnement de menace.
5. Toute évaluation, y compris les évaluations de surveillance et les évaluations spéciales, pourrait conduire à la délivrance d’un nouveau certificat de conformité, en particulier en cas de modifications importantes de l’objet de la certification, mais avec la même date d’expiration que le certificat de conformité initial.
Tableau 1
Un cycle d’évaluation complet de 4 ans
| Temps | Type d’éval. | Activités
| Année 0 | Initiale |
— Évaluation complète de l’objet de la certification, comprenant l’évaluation de la vulnérabilité
— Y compris une fonction permettant d’effectuer des mises à jour sur chaque composant logiciel
— Évaluation des processus de maintenance, à l’exclusion de leur efficacité opérationnelle
— Délivrance du certificat de conformité et début du cycle de 4 ans
| Année 1 | Surveillance |
— Évaluation de l’efficacité opérationnelle des processus de maintenance
— Au moins contrôle de version, mise à jour, gestion de la vulnérabilité
— Évaluation des modifications ayant une incidence sur la sécurité du produit
| Année 2 | Surveillance |
— Évaluation de la vulnérabilité de la solution complète
— Évaluation de l’efficacité opérationnelle des processus de maintenance
— Au moins contrôle de version, mise à jour, gestion de la vulnérabilité
— Évaluation des modifications ayant une incidence sur la sécurité du produit
| Année 3 | Surveillance |
— Évaluation de l’efficacité opérationnelle des processus de maintenance
— Au moins contrôle de version, mise à jour, gestion de la vulnérabilité
— Évaluation des modifications ayant une incidence sur la sécurité du produit
| Année 4 | Recertification |
1) Évaluation complète de l’objet de la certification, comprenant l’évaluation de la vulnérabilité
2) Évaluation simplifiée des éléments/processus qui n’ont pas été modifiés
3) Y compris une fonction permettant d’effectuer des mises à jour sur chaque composant logiciel
4) Évaluation des processus de maintenance, y compris leur efficacité opérationnelle
5) Délivrance d’un nouveau certificat de conformité