ISO/IEC 19896-1:2025

Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 1: Overview and concepts

This document establishes an organized set of concepts and relationships to understand the competency requirements for information security conformance-testing and evaluation specialists, thereby establishing a basis for shared understanding of the concepts and principles central to the ISO/IEC 19896 series across its user communities.

Sécurité de l'information, cybersécurité et protection de la vie privée ― Exigences relatives aux compétences du personnel des organismes d'évaluation de la conformité de la sécurité TI — Partie 1: Vue d'ensemble et concepts

Le présent document établit un ensemble structuré de concepts et leurs relations pour comprendre les exigences de compétences des spécialistes des essais de conformité et de l'évaluation de la sécurité de l'information, établissant ainsi la base d'une compréhension partagée des concepts et des principes centraux de la série ISO/IEC 19896 à travers ses communautés d'utilisateurs.

General Information

• Status: Published
• Publication Date: 18-Nov-2025
• ICS: 35.030 - IT Security
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Current Stage: 6060 - International Standard published
• Start Date: 19-Nov-2025
• Due Date: 22-Jan-2026
• Completion Date: 19-Nov-2025

Relations

• Revises: ISO/IEC 19896-1:2018 - IT security techniques — Competence requirements for information security testers and evaluators — Part 1: Introduction, concepts and general requirements
• Effective Date: 06-Jun-2022

Standards Content (Sample)

International
Standard
ISO/IEC 19896-1
Second edition
Information security, cybersecurity
2025-11
and privacy protection —
Requirements for the competence
of IT security conformance
assessment body personnel —
Part 1:
Overview and concepts
Sécurité de l'information, cybersécurité et protection de la vie
privée ― Exigences relatives aux compétences du personnel des
organismes d'évaluation de la conformité de la sécurité TI —
Partie 1: Vue d'ensemble et concepts
Reference number
© ISO/IEC 2025
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
© ISO/IEC 2025 – All rights reserved
ii
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Concepts . 3
5 Elements of competence . 4
5.1 Competences . . .4
5.2 Knowledge .4
5.3 Skills . .5
5.3.1 General .5
5.3.2 Testers and evaluators .5
5.3.3 Validators and reviewers .6
6 Competency levels . 6
6.1 General .6
6.2 Testers and evaluators .7
6.2.1 Competency level 1 . .7
6.2.2 Competency level 2 . .7
6.2.3 Competency level 3 . .7
6.3 Validators and reviewers .7
6.3.1 Competency level 1 . .7
6.3.2 Competency level 2 . .8
6.3.3 Competency Level 3 .8
7 Measurement of elements of competence . 8
7.1 Knowledge .8
7.2 Skills . .8
7.3 Recording elements of competence .9
Annex A (informative) Framework for describing competence requirements .10
Annex B (informative) Example records of experience and competence .11
Bibliography .12

© ISO/IEC 2025 – All rights reserved
iii
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical activity.
ISO and IEC technical committees collaborate in fields of mutual interest. Other international organizations,
governmental and non-governmental, in liaison with ISO and IEC, also take part in the work.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the different types
of document should be noted. This document was drafted in accordance with the editorial rules of the ISO/
IEC Directives, Part 2 (see www.iso.org/directives or www.iec.ch/members_experts/refdocs).
ISO and IEC draw attention to the possibility that the implementation of this document may involve the
use of (a) patent(s). ISO and IEC take no position concerning the evidence, validity or applicability of any
claimed patent rights in respect thereof. As of the date of publication of this document, ISO and IEC had not
received notice of (a) patent(s) which may be required to implement this document. However, implementers
are cautioned that this may not represent the latest information, which may be obtained from the patent
database available at www.iso.org/patents and https://patents.iec.ch. ISO and IEC shall not be held
responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and expressions
related to conformity assessment, as well as information about ISO's adherence to the World Trade
Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www.iso.org/iso/foreword.html.
In the IEC, see www.iec.ch/understanding-standards.
This document was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Information security, cybersecurity and privacy protection, in collaboration with the
European Committee for Standardization (CEN) Technical Committee CEN/CLC/JTC 13, Cybersecurity and
data protection, in accordance with the Agreement on technical cooperation between ISO and CEN (Vienna
Agreement).
This second edition cancels and replaces the first edition (ISO/IEC 19896-1:2018), which has been technically
revised.
The main changes are as follows:
— the document has been restructured;
— subclauses related to experience, education and effectiveness have been deleted;
— technical changes have been introduced;
— competence concepts for the validators and the reviewers have been added;
— deleted elements of competence, experience, education and effectiveness except for knowledge and skills
according to comments from ISO/CASCO.
A list of all parts in the ISO/IEC 19896 series can be found on the ISO and IEC websites.
Any feedback or questions on this document should be directed to the user’s national standards
body. A complete listing of these bodies can be found at www.iso.org/members.html and
www.iec.ch/national-committees.

© ISO/IEC 2025 – All rights reserved
iv
Introduction
The objective of the ISO/IEC 19896 series is to provide the fundamental concepts related to the topic of
the competence of personnel responsible for performing information technology (IT) product security
evaluations and conformance testing as well as those personnel performing review and validations. The
ISO/IEC 19896 series provides the framework and the specialized requirements that specify the minimum
competence of personnel performing IT product security evaluations and conformance testing, reviews
and validation using International Standards. This document provides fundamental information to users of
ISO/IEC 19896-2 and ISO/IEC 19896-3.
In pursuit of this objective, the ISO/IEC 19896 series comprises the following:
a) the terms and definitions relating to the topic of competence in IT product security testers and
evaluators;
b) the fundamental concepts relating to competence in IT product security and conformance testing and
evaluation;
c) the minimum competence requirements for IT product security testers and evaluator to conduct IT
product testing/evaluation;
d) the terms and definitions relating to the topic of competence in IT product security validators and
reviewers;
e) the fundamental concepts relating to competence in IT product security validation and reviews; and
f) the minimum competence requirements for IT product security validators and reviewers to conduct IT
product validation/review.
The ISO/IEC 19896 series is of interest to:
g) information security conformance-testing and evaluation specialists;
h) information security review bodies for evaluation;
i) information security validation authorities for conformance-testing;
j) information security conformance-testing and evaluation laboratories;
k) vendors or technology providers whose IT products can be the subject to information security
conformance-testing or evaluations; and
l) organizations offering professional credentials or recognitions.
The ISO/IEC 19896 series is organized into parts to address the competence of testing and evaluation
personnel as follows.
This document provides an overview of the definitions, fundamental concepts and a general description of
the framework used to communicate the competence concepts for certain specialized areas. This document
aims to provide the fundamental knowledge necessary to use the framework presented in the other parts of
the ISO/IEC 19896 series.
ISO/IEC 19896-2 describes the minimum set of competence requirements at each competency level for
conformance testers and validators working with ISO/IEC 19790 and ISO/IEC 24759.
ISO/IEC 19896-3 describes the minimum set of competence requirements at each competency level for
information security evaluators and reviewers working with the ISO/IEC 15408 series and ISO/IEC 18045.

© ISO/IEC 2025 – All rights reserved
v
International Standard ISO/IEC 19896-1:2025(en)
Information security, cybersecurity and privacy protection —
Requirements for the competence of IT security conformance
assessment body personnel —
Part 1:
Overview and concepts
1 Scope
This document establishes an organized set of concepts and relationships to understand the competency
requirements for information security conformance-testing and evaluation specialists, thereby establishing
a basis for shared understanding of the concepts and principles central to the ISO/IEC 19896 series across
its user communities.
2 Normative references
There are
...

Norme
internationale
ISO/IEC 19896-1
Deuxième édition
Sécurité de l'information,
2025-11
cybersécurité et protection de la
vie privée ― Exigences relatives
aux compétences du personnel
des organismes d'évaluation de la
conformité de la sécurité TI —
Partie 1:
Vue d'ensemble et concepts
Information security, cybersecurity and privacy protection —
Requirements for the competence of IT security conformance
assessment body personnel —
Part 1: Overview and concepts
Numéro de référence
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2025
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
© ISO/IEC 2025 – Tous droits réservés
ii
Sommaire Page
Avant-propos .iv
Introduction .vi
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Concepts . 3
5 Éléments de compétence . 4
5.1 Compétences . . .4
5.2 Connaissances .4
5.3 Savoir-faire . .5
5.3.1 Généralités .5
5.3.2 Testeurs et évaluateurs .5
5.3.3 Validateurs et examinateurs .6
6 Niveaux de compétence . 6
6.1 Généralités .6
6.2 Testeurs et évaluateurs.7
6.2.1 Niveau de compétence 1 .7
6.2.2 Niveau de compétence 2 .7
6.2.3 Niveau de compétence 3 .7
6.3 Validateurs et examinateurs .7
6.3.1 Niveau de compétence 1 .7
6.3.2 Niveau de compétence 2 .8
6.3.3 Niveau de compétence 3 .8
7 Mesure des éléments de compétence . 8
7.1 Connaissances .8
7.2 Savoir-faire . .8
7.3 Enregistrement des éléments de compétence .9
Annexe A (informative) Cadre pour la description des exigences en matière de compétences .10
Annexe B (informative) Exemples de registres d'expérience et de compétences .12
Bibliographie .13

© ISO/IEC 2025 – Tous droits réservés
iii
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique internationale)
forment le système spécialisé de la normalisation mondiale. Les organismes nationaux membres de l'ISO ou
de l’IEC participent au développement de Normes internationales par l'intermédiaire des comités techniques
créés par l'organisation concernée afin de s'occuper des domaines particuliers de l'activité technique.
Les comités techniques de l'ISO et de l’IEC collaborent dans des domaines d'intérêt commun. D'autres
organisations internationales, gouvernementales et non gouvernementales, en liaison avec l'ISO et l’IEC,
participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a
été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir
www.iso.org/directives ou www.iec.ch/members_experts/refdocs).
L’ISO et l’IEC attirent l’attention sur le fait que la mise en application du présent document peut entraîner
l’utilisation d’un ou de plusieurs brevets. L’ISO et l’IEC ne prennent pas position quant à la preuve, à la
validité et à l’applicabilité de tout droit de brevet revendiqué à cet égard. À la date de publication du présent
document, L’ISO et l’IEC n'avaient pas reçu notification qu’un ou plusieurs brevets pouvaient être nécessaires
à sa mise en application. Toutefois, il y a lieu d’avertir les responsables de la mise en application du présent
document que des informations plus récentes sont susceptibles de figurer dans la base de données de
brevets, disponible à l'adresse www.iso.org/brevets et https://patents.iec.ch. L’ISO et l’IEC ne sauraient être
tenues pour responsables de ne pas avoir identifié tout ou partie de tels droits de propriété.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions spécifiques
de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de l'ISO aux
principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles techniques au commerce
(OTC), voir www.iso.org/iso/avant-propos. Pour l'IEC, voir www.iec.ch/understanding-standards.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée, en collaboration
avec le comité technique CEN/CLC/JTC 13, Cybersécurité et protection des données, du Comité européen de
normalisation (CEN), conformément à l'Accord de coopération technique entre l'ISO et le CEN (Accord de
Vienne).
Cette deuxième édition annule et remplace la première édition (ISO/IEC 19896-1:2018), qui a fait l'objet
d'une révision technique.
Les principales modifications sont les suivantes:
— le document a été restructuré;
— les paragraphes liés à l'expérience, à l'instruction et à l'efficacité ont été supprimés;
— des modifications techniques ont été introduites;
— des concepts de compétence pour les validateurs et les examinateurs ont été ajoutés;
— les éléments de compétence, d'expérience, d'instruction et d'efficacité ont été supprimés, conformément
aux commentaires de l'ISO/du CASCO, à l'exception des éléments de connaissances et de savoir-faire.
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur les sites Web de l'ISO et de l'IEC.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes se
trouve à l’adresse www.iso.org/members.html et www.iec.ch/national-committees.

© ISO/IEC 2025 – Tous droits réservés
iv
© ISO/IEC 2025 – Tous droits réservés
v
Introduction
La série ISO/IEC 19896 a pour objectif de fournir les concepts fondamentaux concernant la compétence du
personnel chargé d'effectuer les évaluations en matière de sécurité des produits informatiques (TI) et les
essais de conformité ainsi que du personnel réalisant l'examen et les validations. La série ISO/IEC 19896
fournit le cadre et les exigences spécifiques qui définissent la compétence minimale du personnel effectuant
des évaluations en matière de sécurité des produits informatiques et les essais de conformité, les examens
et la validation sur la base de Normes internationales. Le présent document fournit des informations
fondamentales aux utilisateurs de l'ISO/IEC 19896-2 et l'ISO/IEC 19896-3.
Pour atteindre cet objectif, la série ISO/IEC 19896 comprend les éléments suivants:
a) les termes et définitions relatifs au thème de la compétence des testeurs et des évaluateurs en matière
de sécurité des produits TI;
b) les concepts fondamentaux relatifs à la compétence en matière de sécurité des produits TI, d'essais de
conformité et d'évaluation;
c) les exigences minimales de compétence pour les testeurs et les évaluateurs en matière de sécurité des
produits TI en vue de réaliser les essais/l'évaluation des produits TI;
d) les termes et définitions relatifs au thème de la compétence des validateurs et des examinateurs en
matière de sécurité des produits TI;
e) les concepts fondamentaux relatifs à la compétence en matière de validation et d'examens de la sécurité
des produits TI; et
f) les exigences minimales de compétence pour les validateurs et les examinateurs en matière de sécurité
des produits TI en vue de réaliser la validation/l'examen des produits TI.
La série ISO/IEC 19896 présente un intérêt pour:
g) les spécialistes des essais de conformité et de l'évaluation de la sécurité de l'information;
h) les organismes d'examen de la sécurité de l'information pour l'évaluation;
i) les autorités de validation de la sécurité de l'information pour les essais de conformité;
j) les laboratoires d'essais de conformité et d'évaluation de la sécurité de l'information;
k) les vendeurs ou fournisseurs de technologie dont les produits TI peuvent faire l'objet d'essais de
conformité ou d'évaluations de la sécurité de l'information; et
l) les organismes proposant des certifications ou des reconnaissances professionnelles.
La série ISO/IEC 19896 est organisée en différentes parties afin d'aborder la compétence du personnel des
essais et de l'évaluation comme suit.
Le présent document donne une vue d'ensemble des définitions, des concepts fondamentaux et une
description générale du cadre utilisé pour communiquer les concepts de compétence pour certains domaines
spécialisés. Le présent document vise à fournir les connaissances fondamentales nécessaires pour utiliser le
cadre présenté dans les autres parties de la série ISO/IEC 19896.
L'ISO/I
...