Quel lien entre la certification EUCC et le Cyber Resilience Act ?
L'EUCC est le schéma européen de certification de cybersécurité fondé sur des critères communs, établi par le règlement d'exécution (UE) 2024/482. Les articles du Cyber Resilience Act (règlement (UE) 2024/2847) ne le nomment pas : ils renvoient aux schémas européens adoptés en vertu du règlement (UE) 2019/881, dont l'EUCC fait partie, et ses considérants le citent expressément.
Ce qu'est l'EUCC
Selon son article premier, le règlement d'exécution (UE) 2024/482 « établit le schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC) ». Il s'applique aux produits des technologies de l'information et de la communication, y compris leur documentation, présentés pour certification, ainsi qu'aux profils de protection. Les organismes de certification « délivrent des certificats EUCC de niveau d'assurance «substantiel» ou «élevé» » : le niveau « substantiel » couvre les niveaux AVA_VAN 1 ou 2, le niveau « élevé » les niveaux AVA_VAN 3, 4 ou 5.
Ce que le Cyber Resilience Act prévoit
- Présomption de conformité (article 27, paragraphe 8). Les produits pour lesquels un certificat de cybersécurité européen a été délivré dans le cadre d'un schéma adopté conformément au règlement (UE) 2019/881 « sont présumés conformes aux exigences essentielles de cybersécurité énoncées à l'annexe I », dans la mesure où celles-ci sont couvertes par le certificat.
- Actes délégués (article 27, paragraphe 9). La Commission peut préciser par acte délégué quels schémas peuvent être utilisés ; la délivrance d'un certificat au titre de tels schémas, « au minimum au niveau d'assurance dit «substantiel» », supprime l'obligation d'une évaluation de la conformité par un tiers pour les exigences correspondantes.
- Produits importants de classe II (article 32, paragraphe 3). Parmi les procédures possibles figure, « lorsqu'il est disponible et s'il y a lieu », un schéma européen de certification conformément à l'article 27, paragraphe 9, au minimum au niveau « substantiel ».
- Produits critiques (article 8 et article 32, paragraphe 4). La Commission peut, par acte délégué, imposer à certains produits de l'annexe IV d'obtenir un certificat de cybersécurité européen « au minimum au niveau d'assurance dit «substantiel» », à condition qu'un schéma couvrant ces catégories ait été adopté et soit à la disposition des fabricants.
Les considérants nomment l'EUCC. L'un indique que les catégories de produits critiques de l'annexe « relèvent également du schéma européen de certification de cybersécurité fondé sur des critères communs (EUCC) ». Le considérant 82 prévoit que la Commission puisse préciser par acte délégué « comment la certification EUCC crée une présomption de conformité » et comment un certificat EUCC peut éliminer le recours à une évaluation par un tiers. Ces effets dépendent donc d'actes délégués : le texte du règlement ne les rend pas automatiques.
Pour aller plus loin
Les exigences visées par cette présomption sont celles de l'annexe I : voir Que contient l'annexe I du Cyber Resilience Act ? Pour situer votre activité, voir Le Cyber Resilience Act concerne-t-il les ESN ? et Cyber Resilience Act : comment se mettre en conformité par étapes. Le texte officiel fait foi : l'application de ces dispositions à votre produit relève de votre propre analyse.
Et votre propre environnement ?
Le Cyber Resilience Act porte sur les produits comportant des éléments numériques que vous mettez sur le marché, et non sur les outils internes avec lesquels vous les développez et les maintenez. Si ces outils passent par Microsoft 365 (messagerie, partages de documents et de code, échanges sur les vulnérabilités), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de sécurité de cet environnement-là. Ce diagnostic ne sera ni une évaluation de vos produits au titre du Cyber Resilience Act, ni une certification, ni une garantie de conformité.
SYAGA Audit pour votre propre Microsoft 365 : diagnostic gratuit, ouverture prochaine
Gratuit: votre score + vos écarts. Le rapport détaillé et le constat étayé : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Sources : règlement (UE) 2024/2847 et règlement d'exécution (UE) 2024/482 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.