Cybersécurité des produits numériques

Le 20.11.2024, le règlement sur la cyberrésilience, la nouvelle loi sur les exigences de cybersécurité pour les produits contenant des éléments numériques, a été publié au Journal officiel de l'UE. 

Le nouveau Règlement entrera en vigueur vingt jours après sa publication au Journal officiel de l'UE (10 décembre 2024) et sera directement applicable dans chaque État membre de l'UE 36 mois après cette entrée en vigueur, à savoir à partir du 11 décembre 2027.

Certaines dispositions s'appliqueront plus tôt : 

• 11 juin 2026 : les dispositions relatives à la notification des organismes d’évaluation de la conformité s’appliquent.
• 11 septembre 2026 : les obligations de notification des vulnérabilités activement exploitées et des incidents graves prévues à l’article 14 du CRA s’appliquent.
• 11 décembre 2027 : les autres dispositions du CRA deviennent en principe applicables.
   

Le nouveau règlement sur la cyberrésilience vise à garantir une plus grande sécurité des produits numériques pour les particuliers et les entreprises. Les fabricants de ces produits, qu’il s’agisse de matériel ou de logiciels, seront tenus de corriger les vulnérabilités à l’aide de mises à jour logicielles et d’informer les utilisateurs finaux de leurs produits des risques potentiels en matière de cybersécurité. 

En outre, le Règlement définit des exigences en matière de développement logiciel et met ainsi l’accent sur le principe de « sécurité dès la conception » (Security by Design) déjà requis par la « Cyber Security Act » actuellement en vigueur.
 

Le règlement sur la cyberrésilience a pour objectif général d’améliorer la cybersécurité des produits matériels et logiciels sur le marché intérieur de l’UE. La Commission concrétise les objectifs de l'acte législatif sous la forme de 4 mesures :  

1. Assurer que les fabricants renforcent la sécurité des produits contenant des éléments numériques dès la phase de conception et de développement et tout au long de leur cycle de vie.
2. Un cadre cohérent pour la cybersécurité sera garanti, facilitant la conformité des fabricants de matériel et de logiciels
3. La transparence des caractéristiques de sécurité des produits contenant des éléments numériques sera améliorée
4. Les entreprises et les consommateurs pourront utiliser en toute sécurité les produits contenant des éléments numériques
    

La lecture du champ d'application du Règlement permet de constater que ce domaine est très large :

"Le présent règlement s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau."

En raison de son champ d’application étendu, le règlement couvre aussi bien les produits matériels, tels que les machines et les appareils IoT, que les produits logiciels.

Le champ d'application mentionne également des exceptions, par exemple les dispositifs médicaux visés par le Règlement (UE) 2017/745 n'entrent pas dans le champ d'application de le règlement prévu.

L'acte juridique règle également la future interaction avec le règlement délégué 2022/30, qui exige déjà exigences de sécurité pour les équipements connectés à Internet au sens de la équipements radioélectriques 2014/53/UE. Bruxelles a ainsi annoncé que, pour éviter tout chevauchement, le Règlement 2022/30 serait abrogé. L'acte juridique correspondant a été publié le 29 avril 2026 au Journal officiel de l'Union européenne et fixe au 12 décembre 2027 la date d'entrée en vigueur du CRA.
 

À l’instar d’autres actes législatifs de l’Union européenne, tels que la directive Machines et la directive Basse Tension, le règlement sur la cyberrésilience prévoit également une procédure d’évaluation de la conformité.

L’un des éléments essentiels de cette procédure est l’évaluation des risques de cybersécurité – que nous désignons ci-après, par analogie avec l’appréciation du risque dans le domaine de la sécurité des machines, par le terme « appréciation du risque cyber ». Cette analogie est particulièrement pertinente pour les fabricants de machines.

L’article 13, paragraphe 2, du CRA prévoit à cet égard :

" (...) les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et tiennent compte des résultats de cette évaluation au cours des phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit comportant des éléments numériques, en vue de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d'en réduire au minimum leurs répercussions, y compris en ce qui concerne la santé et la sécurité des utilisateurs."

Selon la criticité des produits, la procédure d'évaluation de la conformité distingue entre une autocertification et deux procédures nécessitant l'intervention d'organismes notifiés. Pour plus de détails, voir Factsheet sur la Cyber Resiliance Act (en anglais).

Les dispositions de l'annexe VII, paragraphe 2, du Règlement sont à notre avis particulièrement remarquables pour les fabricants. Le document cite ici différents aspects (conception, développement, production, analyse des vulnérabilités) comme contenus de la documentation technique. Cela signifie que dans le processus de développement logiciel, les décisions d'architecture logicielle ainsi que les décisions relatives au processus de développement et de construction devront être documentées à l'avenir - si l'on en croit la Commission européenne. Pour les fabricants, il peut en résulter des exigences supplémentaires en matière de documentation. Le développement technologique rapide des outils de développement de logiciels (par exemple pour les processus de construction) placera certainement les entreprises devant des défis organisationnels maîtrisables, mais non négligeables.

Le contenu en texte intégral :

"CONTENU DE LA DOCUMENTATION TECHNIQUE

(...)

une description de la conception, du développement et de la fabrication du produit comportant des éléments numériques et des processus de gestion des vulnérabilités, y compris:

(a) les informations nécessaires sur la conception et le développement du produit comportant des éléments numériques, y compris, le cas échéant, des dessins et des schémas et/ou une description de l'architecture du système expliquant comment les composants logiciels s'appuient les uns sur les autres ou s'alimentent et s'intègrent dans le traitement global;

(b) les informations et spécifications nécessaires concernant le processus de gestion des vulnérabilités mis en place par le fabricant, en ce compris la nomenclature des logiciels, la politique coordonnée de divulgation des vulnérabilités, la preuve de la fourniture d'une adresse de contact pour le signalement des vulnérabilités et une description des solutions techniques choisies pour la distribution sécurisée des mises à jour;

(c) les informations et spécifications nécessaires concernant les processus de production et de suivi du produit comportant des éléments numériques et la validation de ces processus;"
 

L'Office fédéral allemand de la sécurité des technologies de l’information (BSI) propose, avec la publication de la directive technique TR-03183, une aide à l'identification des exigences du CRA pour les fabricants. Pour en savoir plus, consultez notre article technique "Directive technique sur les exigences de cyber-résilience" (en anglais).
 

À compter du 11 septembre 2026, les obligations de déclaration prévues par le règlement sur la cyberrésilience entreront en vigueur. À partir de cette date, les fabricants devront signaler les vulnérabilités activement exploitées ainsi que les incidents de sécurité graves affectant les produits comportant des éléments numériques.

Pour ces signalements, l’ENISA met à disposition la « Single Reporting Platform » (SRP). Celle-ci sert de point de contact central, de sorte que les fabricants n’ont à effectuer qu’un seul signalement. Lors du signalement, le CSIRT (Computer Security Incident Response Team) compétent est désigné comme coordinateur. Ce choix dépend en principe de l’État membre dans lequel le fabricant a son siège social. La notification est simultanément transmise à l’ENISA et, si nécessaire, relayée à d’autres CSIRT concernés ainsi qu’aux autorités de surveillance du marché.

Le CRA prévoit à cet égard une procédure de notification en plusieurs étapes : dans les 24 heures suivant la prise de connaissance d’un fait soumis à notification, une alerte précoce doit d’abord être émise. Dans les 72 heures, des informations complémentaires et une première évaluation doivent être transmises. Un rapport final est ensuite requis. Dans le cas de vulnérabilités activement exploitées, ce rapport doit être remis au plus tard 14 jours après la mise à disposition d’une mesure corrective ; dans le cas d’incidents de sécurité graves, il doit l’être dans un délai d’un mois à compter de la notification initiale dans les 72 heures.

L’ENISA met désormais à disposition des instructions concrètes concernant l’enregistrement et l’utilisation de la plateforme SRP, ainsi que la soumission et la mise à jour des notifications. Les fabricants devraient donc se familiariser dès que possible avec la plateforme et définir en interne la manière dont les incidents potentiellement soumis à déclaration seront détectés, évalués et traités dans les délais prévus.
 

Le demande de normalisation fait explicitement référence à «de nouvelles normes européennes à élaborer». Néanmoins, le CEN, le CENELEC et l'ETSI pourraient se référer à des documents déjà existants.

Voici quelques exemples de normes et de spécifications qui pourraient être harmonisées pour répondre aux exigences du CRA:

• Série de normes EN ISO/IEC 15408 parties 1-5: Sécurité de l'information, cybersécurité et protection de la vie privée - Critères d'évaluation pour la sécurité des technologies de l'information
• EN 17640: Méthode d'évaluation de la cybersécurité pour produits TIC
• EN ISO/IEC 29147: Technologies de l'information - Techniques de sécurité - Divulgation de vulnérabilité
• EN ISO/IEC 30111: Technologies de l'information - Techniques de sécurité - Processus de traitement de la vulnérabilité
• prEN 40000-1-3: Exigences en matière de cybersécurité pour les produits comportant des éléments numériques - Part 1-3: traitement de la vulnérabilité
• EN 303 645: Cybersécurité pour l'Internet des objets grand public

Au même titre que nouveau règlement machines (UE) 2023/1230, en l'absence de normes harmonisées pour les exigences de cybersécurité de l'annexe I, la Commission peut adopter des actes d'exécution établissant des spécifications communes pour les exigences techniques. Le législateur laisse cette option ouverte si les normes souhaitées ne sont pas fournies dans le délai fixé, si le mandat de normalisation n'a pas été accepté ou si le contenu des documents ne correspond pas au mandat.

Pour les fabricants de machines en particulier, les documents suivants constituent une source d'information précieuse : 

• CLC IEC/TS 63074: Sécurité des machines - Aspects liés à la sûreté relatifs à la sécurité fonctionnelle des systèmes de commande relatifs à la sécurité
• Parties de la série de normes EN IEC 62443: Sécurité des automatismes industriels et des systèmes de commande
• CEN ISO/TR 22100-4 : Lignes directrices pour les fabricants de machines concernant la prise en compte des aspects de sécurité informatique (cybersécurité) associés
• prEN 50742: Sécurité des machines - protection contre la corruption

La directive NIS 2 concerne principalement la cybersécurité des entités essentielles et importantes ainsi que de leurs réseaux et systèmes d’information. Les entités relevant de son champ d’application sont tenues de prendre des mesures appropriées et proportionnées pour gérer les risques liés à la cybersécurité. Dans notre article technique intitulé « Directive NIS 2 dans le secteur de la construction mécanique » (en anglais), nous avons expliqué quelles entreprises sont directement concernées (en tant qu'opérateurs) et quelles exigences et sanctions la directive prévoit.

Le règlement sur la cyberrésilience, en revanche, établit des exigences de cybersécurité applicables aux produits comportant des éléments numériques et impose des obligations aux opérateurs économiques concernés, en particulier aux fabricants.

De manière simplifiée, la directive NIS 2 se concentre donc principalement sur la cybersécurité des entités et de leurs réseaux et systèmes d’information, tandis que le CRA porte sur la cybersécurité des produits comportant des éléments numériques tout au long de leur cycle de vie.