Cybersecurity Act européen — Cadre européen de cer...

Vue d'ensemble

Le Cybersecurity Act européen (règlement 2019/881) renforce le rôle de l'ENISA en tant qu'Agence de l'Union européenne pour la cybersécurité et crée un cadre européen complet de certification de cybersécurité. Le règlement instaure une approche structurée pour évaluer la sécurité des produits, services et processus TIC à l'échelle du marché unique.

Le schéma EUCC (European Common Criteria-based) est le premier schéma de certification adopté dans ce cadre, permettant la certification de produits TIC au regard de standards de sécurité reconnus internationalement. Pour la PKI, cela signifie que la certification des logiciels d'autorité de certification, des modules matériels de sécurité (HSM) et des services de confiance devient une exigence tangible pour les environnements à haut niveau d'assurance.

Les organisations peuvent démontrer leur posture de sécurité au travers d'une infrastructure certifiée, en bénéficiant d'un avantage concurrentiel dans les processus d'achat et en consolidant la confiance avec leurs partenaires et clients dans toute l'UE. Le cadre prend également en charge des schémas sectoriels pour le cloud, la 5G et d'autres technologies critiques.

Exigences clés

Cadre de certification de l'ENISA

L'ENISA supervise le développement et la maintenance d'un cadre européen de certification de cybersécurité, garantissant une évaluation cohérente de la sécurité dans tous les États membres.

Schéma EUCC (Critères communs)

Le schéma européen de certification fondé sur les Critères communs évalue les produits TIC selon des standards de sécurité reconnus à l'international, incluant les logiciels d'AC et les HSM.

Niveaux d'assurance de la certification

Trois niveaux d'assurance — Élémentaire, Substantiel et Élevé — définissent la profondeur de l'évaluation de sécurité requise selon le profil de risque et l'usage prévu des produits TIC.

Auto-évaluation de conformité

Pour le niveau d'assurance Élémentaire, les fabricants peuvent procéder à des auto-évaluations dans le cadre du dispositif, réduisant les coûts tout en maintenant leur responsabilité quant aux affirmations de sécurité.

Autorités nationales de certification

Chaque État membre désigne une autorité nationale de certification de cybersécurité chargée de superviser et de faire appliquer les schémas de certification sur son territoire.

Reconnaissance mutuelle dans l'UE

Les certificats de cybersécurité délivrés au titre des schémas européens sont reconnus dans tous les États membres, ce qui évite des certifications répétées et facilite les échanges transfrontaliers.

Grandes étapes

2017

Proposition

La Commission européenne propose le Cybersecurity Act afin de renforcer l'ENISA et d'établir un cadre de certification de cybersécurité à l'échelle de l'UE.

2019

Entrée en vigueur

Le règlement (UE) 2019/881 entre en vigueur en juin 2019, conférant à l'ENISA un mandat permanent et posant les bases des schémas de certification.

2020

Mandat permanent de l'ENISA

L'ENISA assume son rôle élargi et permanent d'Agence de l'UE pour la cybersécurité, avec des capacités opérationnelles renforcées.

2024 En vigueur

Adoption du schéma EUCC

Le schéma européen de certification de cybersécurité fondé sur les Critères communs (EUCC) est officiellement adopté pour les produits TIC.

2025 Application

Schémas sectoriels

Élaboration et adoption de schémas sectoriels de certification pour les services cloud, les réseaux 5G et d'autres technologies critiques.

Impact sur la PKI et les certificats

Le Cybersecurity Act européen a des implications significatives pour l'infrastructure PKI, notamment via le schéma de certification EUCC. Les organisations qui s'appuient sur des certificats numériques doivent considérer les domaines suivants :

Certification des logiciels d'AC et des HSM

Les logiciels d'autorité de certification et les modules matériels de sécurité peuvent être certifiés au titre du schéma EUCC, offrant une assurance formelle de leurs propriétés de sécurité dans les environnements à forte confiance.

PKI certifiée pour les usages à haute assurance

Les organisations des secteurs critiques exigent de plus en plus des composants PKI certifiés pour répondre aux standards d'achat et démontrer leur posture de sécurité auprès des régulateurs et des partenaires.

Maintien de la posture de certification

Maintenir le statut certifié exige une gestion continue du cycle de vie des certificats — suivi de la validité, renouvellements en temps voulu et documentation continue de la conformité.

Alignement de la certification des services de confiance

Les services de confiance fondés sur la PKI doivent aligner leur infrastructure sur les attentes de certification européennes, en s'assurant que les composants sous-jacents atteignent les niveaux d'assurance requis.

Evertrust & EU CSA

PKI certifiée ANSSI alignée sur EUCC — L'infrastructure PKI de Stream, certifiée ANSSI, s'aligne sur les attentes EUCC, fournissant une base de sécurité formellement évaluée pour vos services de confiance.

Suivi du statut de certification — Horizon suit le statut de certification de tous les composants PKI de votre infrastructure, vous garantissant une visibilité continue sur vos actifs certifiés.

Application des politiques pour les configurations certifiées — Imposez des politiques de certificats garantissant que seuls des algorithmes, tailles de clé et configurations certifiés sont utilisés dans votre infrastructure.

Pistes d'audit pour le maintien de la certification — Générez des pistes d'audit complètes et des rapports de conformité pour soutenir les évaluations et renouvellements de certification continus.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté

EU CSA Réglementation

En bref