EUCC : European Common Criteria-based cybersecurity certification scheme
Sécurité
EUCC : European Common Criteria-based cybersecurity certification scheme, schéma européen de certification de cybersécurité fondé sur les Critères communs. « Le tampon européen unique qui atteste qu'un produit a été évalué selon la méthode des Critères communs, reconnu dans tous les États membres », par analogie avec le permis de conduire européen : même examen pour tous, mêmes droits partout, et toujours quelqu'un pour regretter l'ancien format.
Base juridique : Premier schéma adopté au titre du règlement européen sur la cybersécurité (Cybersecurity Act, règlement (UE) 2019/881), par le règlement d'exécution (UE) 2024/482. Il s'applique depuis le 27 février 2025 et remplace progressivement les schémas nationaux fondés sur les Critères communs, dont celui que l'ANSSI opérait en France.
Méthode : Les produits (composants matériels, logiciels, cartes à puce, modules cryptographiques…) sont évalués par des laboratoires agréés selon les Critères communs (norme ISO/IEC 15408) et la méthode d'évaluation associée (ISO/IEC 18045). Deux niveaux d'assurance existent, « substantiel » et « élevé », reliés aux niveaux EAL et à la résistance aux attaques visée.
Obligations du titulaire : Le fabricant certifié doit suivre les vulnérabilités de son produit, les signaler et les corriger ; un certificat peut être suspendu ou retiré. La certification devient ainsi un engagement dans la durée plutôt qu'une photographie flatteuse prise un jour de beau temps.
Ce qui arrive si on s'en passe
Un acheteur qui ignore EUCC compare des produits sur la foi de fiches commerciales ou de certifications qui ne portent pas sur la même cible, la même version ni le même niveau d'attaque. Il peut ainsi déployer un module cryptographique dont seule une configuration particulière a été évaluée, ou une version postérieure jamais examinée. Un fabricant qui l'ignore découvre, lui, au moment de répondre à un marché public ou réglementé, que son certificat national ancien ne suffit plus, et que l'évaluation prend des mois.
Explication de la marmotte
Quand on achète un produit de sécurité, comme une carte à puce ou un boîtier qui protège des clés secrètes, on veut savoir s'il résiste vraiment aux attaques. EUCC est un système européen dans lequel des laboratoires agréés testent ces produits selon une méthode internationale commune, appelée Critères communs. Si le produit réussit, il reçoit un certificat reconnu dans tous les pays de l'Union européenne. Le fabricant doit ensuite continuer à surveiller et corriger les failles de son produit pour garder ce certificat.
Où ce terme est utilisé
- Lire une certification FIPS 140-3 ou Critères Communs d'un HSM (2 occurrences)