La loi sur la cyber-résilience (CRA) est le premier texte législatif de l'UE qui définit des exigences contraignantes en matière de cybersécurité pour les produits comportant des éléments numériques. Ce règlement est entré en vigueur le 11 décembre 2024. Les entreprises disposent désormais de trois ans pour se conformer à ces exigences. Voici ce qu’elles doivent déjà prendre en compte.
Ces produits sont couverts par le Cyber Resilience Act
Le règlement confère aux fabricants une plus grande responsabilité dans la garantie de la sécurité des produits matériels et logiciels. La loi se concentre sur de nouvelles obligations pour les fabricants de fournir des mises à jour de logiciels qui corrigent les failles de sécurité et offrent une assistance en matière de sécurité aux consommateurs. En améliorant Transparence en ce qui concerne les cyber-risques et la sécurité des produits, la loi permet aux consommateurs de prendre des décisions plus éclairées sur les produits disponibles sur le marché de l'UE.
Tous les produits vendus dans l'UE qui contiennent des „ éléments numériques “ doivent satisfaire aux exigences du CRA. Cela concerne aussi bien les produits grand public bon marché que les logiciels B2B et les systèmes industriels haut de gamme complexes. Les „ produits comportant des éléments numériques “ sont définis dans le CRA comme des produits pouvant être connectés à un appareil ou à un réseau ; ils englobent aussi bien les produits matériels dotés de fonctions connectées (par exemple, les smartphones, les ordinateurs portables, les produits pour la maison connectée, les montres connectées, les jouets connectés, mais aussi les microprocesseurs, pare-feu et compteurs intelligents) que des produits purement logiciels (par exemple, des logiciels de comptabilité, des jeux vidéo, des applications mobiles).
Les logiciels open source à usage non commercial sont exclus du champ d'application de la CRA et ne sont donc pas tenus de se conformer à ses exigences.
Voici ce qui se passe avec le Cyber Resilience Act
Les produits sont munis du marquage CE afin d'indiquer qu'ils satisfont aux exigences du règlement. Les principales obligations prévues par la loi s'appliqueront à compter du 11 décembre 2027.
- 12.2024 : Entrée en vigueur de la CRA
- 12.2026 : Les organismes d'évaluation de la conformité peuvent évaluer la conformité aux exigences du CRA.
- 12/2027 : Les nouveaux produits doivent satisfaire à toutes les exigences de la CRA.
Le site Office fédéral allemand pour la sécurité informatique (BSI) recommande aux entreprises de prendre en compte les exigences du CRA dès la phase de développement des produits. Les fabricants doivent procéder à une évaluation des risques liés à leurs produits et remédier aux éventuels risques en matière de cybersécurité.
Conformément au principe de conception „ secure by design “, les produits connectés doivent être conçus dans une optique de cybersécurité, par exemple en veillant à ce que les données stockées ou transmises par le produit soient chiffrées et à ce que la surface d'attaque soit réduite au minimum.
Conformément au principe de configuration „ secure by default “, les paramètres par défaut des produits connectés doivent contribuer à renforcer leur sécurité, par exemple en interdisant les mots de passe par défaut peu sûrs, en installant automatiquement les mises à jour de sécurité, etc.
Dès la phase de développement, il convient de prendre en compte la gestion rigoureuse des vulnérabilités des produits. Cela passe par l'intégration d'outils permettant de créer une nomenclature logicielle (SBOM). Une SBOM est, pour un logiciel, l’équivalent d’une liste d’ingrédients pour un produit alimentaire. Elle répertorie les bibliothèques et autres composants logiciels utilisés dans le produit. La CRA impose la création d’une SBOM, mais celle-ci ne doit pas nécessairement être publiée.
Conseil de lecture : Directive NIS 2 – les entreprises concernées
Autres exigences de la CRA
Déclaration de conformité
Les fabricants doivent fournir une déclaration de conformité afin de prouver que le produit concerné, comportant des éléments numériques, répond à toutes les exigences de la CRA. La procédure d'évaluation de la conformité applicable dépend de la catégorie du produit. Pour la plupart des produits, il s'agit d'une auto-évaluation réalisée par le fabricant ; pour quelques-uns seulement, il s'agit d'une évaluation effectuée par un organisme notifié.
Déclaration obligatoire
Afin de faciliter l'échange d'informations sur les vulnérabilités activement exploitées et les incidents de sécurité graves, une nouvelle plateforme centrale de signalement est mise en place. Ces signalements de vulnérabilités doivent être effectués via cette plateforme.
Support obligatoire
Tout au long du cycle de vie du produit, des mises à jour de sécurité doivent être mises à la disposition de l'utilisateur final.
La loi sur la cyber-résilience complète le cadre de cybersécurité NIS2, entré en vigueur l'année dernière. Elle s'inscrit dans une série de mesures de grande envergure prises par l'UE pour renforcer la cybersécurité dans une Europe de plus en plus numérique et interconnectée.
German 
English 
Italian 
French