Journal des modifications
Contenu de la v0.2, errata et exigences ouvertes à la consultation publique sur le chemin vers la v1.0.
C'est la page vers laquelle pointe le badge « Draft v0.2 -> v1.0 » : elle montre ce qui a changé et ce qui est encore en consultation.
Historique des versions
De la version actuelle v0.2 à la version cible v1.0 et au premier correctif mineur. Les dates v1.0 et v1.0.1 sont des objectifs de planification et non des garanties.
v0.2
2026-05 (projet actuel)
v1.0
2026-12-01 (cible)
v1.0.1
Q2 2027 (cible)
v0.2
Brouillon actuel2026-05 (projet actuel)
Première version publique au format PCI DSS : méthodologie d'évaluation binaire, approche personnalisée, liste explicite des exigences critiques, modèles ROC et SAQ étendus.
Modifications dans cette version
- Modifié
Suppression de l'échelle numérique 0.0–1.0 ; déplacé vers une évaluation binaire : En place / Pas en place / N/A / Contrôle compensatoire.
- Ajouté
Introduction de l'approche personnalisée, calquée sur PCI DSS v4.0, comme voie de conformité alternative (sauf pour les exigences critiques).
- Modifié
Réécriture de chaque exigence B.1–B.8 en tant que procédures de test d'approche définie avec les étapes d'examen/entretien/observation/traçage.
- Ajouté
Ajout de blocs Notes d'applicabilité / Objectif / Bonnes pratiques / Exemples en ligne à chaque exigence.
- Modifié
Audit complet annuel pour tous les niveaux ; le cycle de deux ans pour le niveau 1 a été supprimé.
- ClarifiéC.2
Segment C.2 recadré autour de la dichotomie portée fournisseur-logiciel/portée appareil.
- ModifiéB.7.3
Renforcement de la surveillance de la montre uniquement SLA (B.7.3) pour le niveau 1.
- ModifiéB.8.5
La répartition géographique du personnel (B.8.5) est devenue obligatoire pour le niveau 2 et supérieur.
- SuppriméB.2
Le mappage PCI DSS Req 3.6.1 a été déplacé vers Non applicable : CCSA est plus strict que la ligne de base en matière d'entropie.
- AjoutéD.2.5
Les exigences critiques 8 sont désormais définies explicitement (Section D.2.5), divisées en CC totalement interdites et CC restreintes.
- ModifiéA3
Le modèle ROC (annexe 3) a été considérablement élargi avec une feuille de travail détaillée d'évaluation des exigences et une matrice de validation de report.
- AjoutéA4
SAQ-C1 (Annexe 4) a obtenu une bibliothèque complète de questions de référence.
v1.0
Prévu2026-12-01 (cible)
Cible de sortie. Intègre les résultats de la consultation publique ; le texte normatif est figé. Date d'entrée en vigueur 2027-01-01.
Modifications dans cette version
- Modifié
Incorporation des résultats de la consultation publique sur les exigences ouvertes (ci-dessous).
- Modifié
Le texte normatif est figé ; d'autres modifications uniquement via des versions mineures rétrocompatibles.
- AjoutéA2.3
Cryptographie post-quantique (PQC) incluse en mode conseil ; obligatoire pour le niveau 3 uniquement à partir de la v2.0 (2029).
v1.0.1
PrévuQ2 2027 (cible)
Premier patch mineur issu des premiers commentaires de la cohorte fondatrice ; rétrocompatible, avec un registre d'errata maintenu.
Modifications dans cette version
- Clarifié
Clarifications de formulation issues des premiers commentaires de la cohorte fondatrice, sans changer le sens d'aucune exigence.
- Errata
Ouverture d'un registre public d'errata : les fautes de frappe et ambiguïtés confirmées sont enregistrées et corrigées entre les versions.
Exigences en consultation publique
Questions ouvertes sur lesquelles le Conseil recueille des commentaires avant qu'elles ne soient figées dans la version cible indiquée. Ce sont des questions ouvertes et non des exigences adoptées – la formulation peut changer.
| Exigence | Question ouverte | Version cible | Commentaire |
|---|---|---|---|
| B.3.1 | Dans quelles conditions un Secure Enclave de classe mobile est acceptable pour le stockage CCM aux côtés de HSM / MPC dans le segment C.2 (B.3.1), et où se situe la ligne pour le niveau 2. | v1.0 | Commentez cette exigence |
| 0.8.3 | S'il faut conserver l'interdiction complète du contrôle compensatoire pour les exigences restreintes-CC (B.2.1, B.3.1, B.4.1, B.8.1) aux niveaux 2 et 3, ou autoriser des exceptions étroites avec l'approbation du Conseil. | v1.0 | Commentez cette exigence |
| A2.3 | Le calendrier exact et la portée de la cryptographie post-quantique obligatoire pour le niveau 3 : confirmez la fenêtre v2.0 (2029) et la durée de la période de chevauchement pour les schémas existants. | v2.0 | Commentez cette exigence |
| B.1.2 | S'il faut exiger une segmentation CME selon une approche dual-stack (GOST CSP et algorithmes internationaux en parallèle), ou accepter un seul CME avec la décision enregistrée dans le ROC (B.1.2). | v1.0 | Commentez cette exigence |
| B.8.5 | Confirmez le seuil de répartition géographique pour les détenteurs de clés au niveau 2 : le nombre minimum de juridictions et si la répartition au sein d'un seul pays est acceptable (B.8.5). | v1.0 | Commentez cette exigence |
| 0.14.2 | Qu'il s'agisse de fixer les tailles d'échantillon recommandées (Section 0.14.2) comme minimums normatifs ou de les conserver à titre informatif pour l'auditeur principal. | v1.0 | Commentez cette exigence |
| 0.2.3 | Comment l'indicateur « juridiction volontaire » est appliqué dans le registre LVCS pour les entités ne figurant pas sur la liste d'application obligatoire (Section 0.2.3). | v1.1 | Commentez cette exigence |
Errata
Il n'y a pas encore d'errata confirmé pour la v0.2. Les fautes de frappe, contradictions et ambiguïtés dans le texte normatif seront publiées ici avec l'exigence, une description et la correction. Pour signaler une éventuelle erreur, utilisez le lien « Commentaire » à côté d'une exigence.
Norme CCSA v0.2 (PDF)
Le projet de texte canonique pour diffusion et audit. La version et la somme de contrôle sont indiquées sur la carte.
v0.2
750 KB
SHA-256
9447926060b2…Suivez la version v1.0
Vous souhaitez être averti lorsque la v1.0 sera livrée et que les exigences ouvertes seront résolues ? Laissez un contact et le Conseil vous contactera.
Le Conseil répond dans les jours ouvrables 5.
Cela ouvre un e-mail dans votre client de messagerie avec le sujet pré-rempli. Le Conseil ne partage aucun contact avec des tiers.
Aucune donnée de contact n'est collectée sur le site — l'e-mail s'ouvre dans votre propre client de messagerie.
Historique des versions
De la version actuelle v0.2 à la version cible v1.0 et au premier correctif mineur. Les dates v1.0 et v1.0.1 sont des objectifs de planification et non des garanties.