Rapport explicatif

3.2 Annexe 1 de l’OTR 2

L’annexe 1 contient les modèles de formulaires qui permettront de visualiser la durée quotidienne ou hebdomadaire du travail, de la conduite et du repos lors des contrôles. Ces modèles devront être pris en considération lors du développement des applications électroniques (art. 16c, al. 1, let. f), en vue de garantir que les données provenant d’applications différentes pourront être présentées de manière uniforme aux autorités d’exécution.

3.3 Annexe 2 de l’OTR 2

Cette annexe est destinée à l’organisme de certification (art. 16d, al. 1, et 16e).

Le ch. 1 précise les exigences imposées à l’organisme de certification. Celui-ci devra élaborer et actualiser le schéma de certification en se fondant sur les exigences de l’OTR 2 et définir les critères de contrôle conformément aux normes internationales pertinentes (par ex. SN EN ISO/CEI 15408, 2023, Information security, cybersecurity and privacy protection – Evaluation criteria for IT security [Common Criteria] ; SN ISO/CEI 62443-4-1, 2018 et 62443-4-2, 2019 Sécurité des systèmes d’automatisation et de commande industriels ; SN EN ISO/CEI 27034:2023 Information technology– Security techniques — Application security, NF EN ETSI 303645, 2024 CYBER - Cybersécurité pour l’Internet des objets grand public : Exigences de base¹²; Mobile Application Security Verification Standards [MASVS], v2.1.0, de l’Open Worldwide Application Security Project [OWASP]¹³). Il collaborera en outre avec divers acteurs, parmi lesquels des organismes d’accréditation nationaux, des représentants de l’industrie et d’autres organismes de certification. Il sera tenu compte des exigences de l’OTR 2.

Toutes les parties impliquées dans la certification seront tenues de respecter le principe de neutralité et d’éviter les conflits d’intérêts. Seront protégées les informations confidentielles telles que le code source et les documents de sécurité, c’est-à-dire les processus et les tests utilisés pour le développement de l’application.

Le ch. 2 décrit les éléments de la vérification de la conformité. Les exigences techniques reposent sur les Common Criteria ainsi que sur le MASVS, v2.1.0, de l’OWASP. Cadre de référence reconnu en matière de contrôles de sécurité des applications mobiles, le MASVS permet de protéger ces dernières contre les menaces auxquelles elles sont exposées.

Étant donné que les applications mobiles conformes à l’OTR 2 seront tributaires de matériel informatique externe et de systèmes d’exploitation, la procédure d’examen est conçue comme une combinaison de l’évaluation d’un produit et de celle d’un processus. La planification de l’examen sera établie conjointement par l’organisme de certification et le requérant. La première étape consistera à examiner tous les documents concernant la sécurité à la lumière des normes pertinentes reconnues. Le niveau de détail de l’examen ira d’un examen de base à un examen par échantillonnage, en passant par un examen critique. Les méthodes d’examen incluent la réalisation de propres tests, la validation de rapports de tests externes ainsi que l’observation de tests, qui inclut la réalisation et la documentation de certains examens.

Avant toute observation de tests, les plans de ces derniers et les instruments utilisés par le requérant devront être présentés, en vue d’une évaluation notamment de leur pertinence ainsi que des preuves de validation des instruments de test. Durant l’examen, le responsable de l’audit s’assurera que toutes les prescriptions sont respectées et veillera à ce que les éventuels écarts soient documentés. Les personnes effectuant l’observation ne devront pas intervenir activement dans le déroulement des tests. Une fois ceux-ci achevés, les résultats devront être documentés en détail.

Une deuxième étape consistera à réaliser un audit et à le soumettre à plusieurs contrôles. Si ces derniers sont concluants, le certificat pourra être délivré.

Une surveillance annuelle est prévue après la première certification. Il s’agira en l’occurrence d’examiner comment les incidents et les modifications sont gérés ainsi que d’effectuer des audits. Si des lacunes sont constatées, la validité du certificat pourra être provisoirement suspendue. Les lacunes graves ou