Cyber Resilience Act : comment préparer la conformité de vos produits numériques
Cyber Resilience Act : pourquoi la préparation documentaire doit commencer maintenant
Le règlement (UE) 2024/2847 relatif aux exigences de cybersécurité applicables aux produits comportant des éléments numériques, dit Cyber Resilience Act (CRA), est entré en vigueur le 11 décembre 2024 [lu : règlement (UE) 2024/2847, article 71]. Ses dispositions principales s'appliqueront aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques dans les délais prévus par le texte. Le CRA couvre tout produit connecté directement ou indirectement à un réseau : logiciels, objets connectés, équipements industriels intelligents. Il impose au fabricant une obligation de sécurité par conception, un suivi des vulnérabilités pendant toute la durée de support du produit, et une notification des incidents actifs dans des délais stricts. Optivalue.ai guide les organisations dans la constitution du dossier documentaire CRA, depuis la classification du produit jusqu'à la déclaration de conformité. La préparation documentaire doit débuter avant la mise sur le marché, car la conformité est présumée sur la base d'une documentation technique complète, et non sur la base de déclarations unilatérales.
Quels produits sont concernés et comment les classer ?
Le CRA s'applique aux produits comportant des éléments numériques mis sur le marché de l'Union européenne, à l'exception des produits déjà couverts par d'autres règlements sectoriels qui satisfont aux exigences du CRA [lu : règlement (UE) 2024/2847, article 2]. Le règlement établit deux classes de risque au-dessus de la catégorie par défaut : la classe I couvre les produits présentant un risque de cybersécurité plus élevé, listés dans l'annexe III du règlement ; la classe II couvre les produits présentant un risque encore plus élevé, listés dans l'annexe IV. Les produits non listés relèvent de la catégorie par défaut et peuvent faire l'objet d'une auto-évaluation. La classification détermine la procédure d'évaluation de conformité applicable et, pour les classes I et II, impose le recours à un organisme notifié ou à des normes harmonisées. L'étape de classification est donc critique et doit être documentée avec les éléments de justification.
Quelles sont les obligations de sécurité pendant le cycle de vie du produit ?
Le CRA impose aux fabricants de concevoir et développer leurs produits avec un niveau approprié de cybersécurité, de livrer les produits sans vulnérabilités connues exploitables, et de fournir des mises à jour de sécurité pendant toute la durée de support [lu : règlement (UE) 2024/2847, annexe I]. Les obligations opérationnelles incluent : la gestion d'un inventaire des composants logiciels (SBOM -- Software Bill of Materials), la surveillance continue des vulnérabilités connues dans ces composants, la publication d'une politique de divulgation coordonnée des vulnérabilités, et la notification à l'ENISA de tout incident actif affectant la sécurité du produit dans un délai de 24 heures après prise de connaissance, selon l'article 14 du règlement. Ces obligations s'étendent au-delà de la mise sur le marché et durent pendant toute la période de support définie par le fabricant. Le logiciel GRC qui centralise les obligations du CRA avec celles de NIS2 permet de gérer ces exigences dans un référentiel commun.
Comment conduire l'évaluation de conformité CRA ?
L'évaluation de conformité varie selon la classe de risque du produit. Pour les produits de la catégorie par défaut, le fabricant peut conduire une auto-évaluation fondée sur des normes harmonisées ou sur une évaluation interne documentée. Pour les produits de classe I, le règlement prévoit le recours à une norme harmonisée ou à un organisme notifié selon les conditions fixées à l'article 32 du règlement (UE) 2024/2847. Pour les produits de classe II, l'intervention d'un organisme notifié est requise. L'évaluation aboutit à la rédaction d'une déclaration de conformité UE et au marquage CE du produit. Le dossier technique doit rester disponible pendant dix ans après la mise sur le marché du produit et inclure la description du produit, la conception de sécurité, les résultats des tests, la politique de traitement des vulnérabilités et les procédures de mise à jour. NIS2 et DORA, textes complémentaires du CRA, couvrent la résilience des opérateurs et des entités financières et doivent être traités conjointement avec le CRA pour les organisations concernées.
Comment un logiciel GRC couvre-t-il les obligations documentaires du CRA ?
Un logiciel GRC adapté au CRA structure la documentation technique requise par le règlement dans un référentiel centralisé. Il gère le registre des produits avec leur classification, leur durée de support et leur statut de conformité. Il héberge le SBOM et assure le suivi des vulnérabilités CVE associées aux composants listés. Il produit les tableaux de bord de surveillance des délais de notification d'incidents et de publication des mises à jour de sécurité. Il archive les versions de la déclaration de conformité UE et du dossier technique avec les dates de mise à jour. Il relie les obligations CRA aux obligations NIS2 et DORA lorsque l'organisation est soumise à ces trois textes. Optivalue.ai fournit les gabarits de dossier technique et les modèles de politique de divulgation des vulnérabilités adaptés aux exigences du règlement (UE) 2024/2847.
FAQ
Le CRA s'applique-t-il aux logiciels distribués gratuitement ou en open source ?
Le règlement (UE) 2024/2847 prévoit des exemptions pour les logiciels libres développés en dehors d'une activité commerciale. Un logiciel open source distribué dans le cadre d'une activité commerciale reste soumis aux obligations CRA. Le règlement définit l'activité commerciale par des critères liés à la monétisation du produit ou aux conditions de son développement. Les organisations qui distribuent des composants open source dans leurs produits commerciaux doivent intégrer ces composants dans leur SBOM et surveiller les vulnérabilités qui leur sont associées.
Quelle est la différence entre le CRA et NIS2 pour un fabricant de produits numériques ?
NIS2 s'applique aux opérateurs de services essentiels et aux entités importantes qui fournissent des services numériques ; il régit la cybersécurité des systèmes d'information de ces organisations. Le CRA s'applique aux fabricants qui mettent sur le marché des produits comportant des éléments numériques ; il régit la sécurité des produits eux-mêmes. Un fabricant de logiciels industriels peut être soumis simultanément au CRA (pour son produit) et à NIS2 (pour ses propres systèmes d'information). Les deux textes sont complémentaires et doivent être traités dans un programme de conformité intégré.
Qu'est-ce qu'un SBOM et pourquoi est-il obligatoire dans le cadre du CRA ?
Un Software Bill of Materials (SBOM) est un inventaire structuré des composants logiciels constituant un produit, incluant les bibliothèques tierces, leurs versions et leurs licences. Le CRA impose au fabricant d'identifier et de surveiller les vulnérabilités connues dans ses composants, selon l'annexe I du règlement (UE) 2024/2847. Sans SBOM, le fabricant ne peut pas démontrer qu'il surveille les composants à risque ni qu'il publie des correctifs dans les délais requis. Le SBOM est un élément clé du dossier technique CRA et doit être maintenu à jour tout au long du cycle de vie du produit.
Dans quel délai le fabricant doit-il notifier un incident actif à l'ENISA ?
L'article 14 du règlement (UE) 2024/2847 impose au fabricant de notifier à l'ENISA et à l'autorité nationale compétente tout incident actif ayant un impact sur la sécurité de son produit dans un délai de 24 heures après avoir pris connaissance de l'incident. Cette notification précoce doit être suivie d'un rapport intermédiaire puis d'un rapport final. Le non-respect de ces délais constitue un manquement réglementaire susceptible de donner lieu à des sanctions et à des mesures de correction imposées par l'autorité de surveillance du marché.
Découvrez comment Optivalue.ai guide la conformité CRA de vos produits numériques
Haut de page
Sur le même sujet