Projet

Ordonnance «%ASFF_YYYY_ID»

- analyse d’impact ;

- examen et vérification ;

- structure de la documentation et modèles ;

- gestion des fournisseurs ;

- processus de développement ultérieur (par ex. surveillance des produits, gestion des vulnérabilités).

2.7 Examen – Recommandation de certification

Sur la base des résultats des étapes 2.3 à 2.6, le responsable de l’audit vérifie si toutes les exigences requises pour une certification sont remplies.

2.8 Décision de certification

En se fondant sur l’examen fait par le responsable de l’audit, un comité indépendant doit examiner la recommandation de certification. Il statue ensuite sur la délivrance du certificat.

2.9 Attestation, licence

L’organisme de certification octroie au requérant le droit d’utiliser une marque de certification. Il peut réutiliser une marque existante à cet effet.

2.10. Surveillance

Les audits de cybersécurité doivent être garantis. À cet effet, l’application certifiée pour des applications mobiles doit être constamment actualisée et l’organisme de certification doit mener des activités de surveillance tous les 12 mois au moins à compter de la décision de certification. Les activités de surveillance doivent comprendre au minimum les éléments suivants :

- surveillance des incidents : preuve que le requérant surveille son application et traite les incidents de manière adaptée ;

- gestion des modifications : modalités d’exécution des mises à jour et manière de garantir la sécurité de ces dernières ;

audit : entretiens avec les partenaires concernés au sujet de la gestion des modifications et de l’amélioration continue.

Toutes les modifications apportées au produit ou aux processus de soutien doivent être systématiquement catégorisées sur la base de leur incidence sur les objectifs de sécurité et le niveau de confiance. Les modifications sont réputées mineures ou majeures :

- modifications mineures : modifications qui n’influent pas sur la fonctionnalité centrale, le modèle de menaces ou la conformité (par ex. mises à jour superficielles, optimisations de performance, améliorations de la documentation) ; en général, elles nécessitent seulement des mises à jour de la documentation ou une vérification limitée ;