Comprendre la Loi sur la Résilience Cybernétique (CRA)

L'ARC s'applique à une catégorie extrêmement vaste de produits, essentiellement tout produit qui inclut ou interagit avec des composants numériques. Cela inclut les périphériques et les logiciels qui:

• contiennent des composants électroniques ou numériques,

• traiter, transmettre, ou stocker des données

• compter sur la connectivité réseau pour fonctionner efficacement,

• incorpore des logiciels embarqués ou autonomes.

Ce périmètre s'étend des appareils intelligents, des routeurs, des portables, des PLC industriels, des logiciels médicaux et des véhicules connectés aux plates-formes de sécurité de l'entreprise, aux microprogrammes et aux systèmes gérés par le cloud. L'ARC couvre à la fois le matériel et les logiciels, y compris les produits distribués par voie numérique.

Les Quatre Objectifs du CRA

Le règlement vise à créer un écosystème de sécurité profondément coordonné et transparent. Ses quatre objectifs principaux sont :

1. Réduire les risques de cybersécurité tout au long du cycle de vie – Les fabricants doivent aborder la cybersécurité dès les premières décisions de conception, jusqu’à la mise en œuvre réelle et la maintenance à long terme.

2. Harmoniser les exigences de cybersécurité à travers le marché intérieur de l'UE – L'ARC remplace les initiatives nationales fragmentées par un ensemble commun d'exigences en matière de sécurité.

3. Augmentation de la confiance des consommateurs et des entreprises – Une ligne de base de sécurité plus élevée et cohérente permet aux utilisateurs de choisir avec confiance des produits conformes.

4. Améliorer la transparence et la responsabilité – Les fabricants, importateurs et distributeurs reçoivent des obligations légales clairement définies, minimisant l’ambiguïté.

L'ARC ne fonctionne pas de manière isolée : elle complète la directive NIS2, l'EUCC (certification de cybersécurité basée sur des critères communs), la Directive sur les équipements radioélectriques (RED), et les cadres sectoriels tels que le Règlement sur les dispositifs médicaux (RM). Ensemble, ces politiques constituent l'épine dorsale de l'approche intégrée de l'UE en matière de cybersécurité.

Éléments de base de la conformité : Module A et la présomption de Conformité

L'évaluation de la conformité en vertu de l'ARC veille à ce que les produits répondent aux exigences essentielles de cybersécurité énumérées à l'annexe I. Il s'agit notamment de pratiques de développement sécurisé, de gestion des vulnérabilités, de paramètres sécurisés par défaut, de protection contre les accès non autorisés et de robustesse contre les méthodes d'attaque connues.

Module A – Contrôle Interne de Production

Le module A est l'un des itinéraires d'évaluation de la conformité les plus couramment applicables. Il exige des fabricants pour :

• effectuer la validation interne des exigences de cybersécurité

• processus de développement de documents, de conception des contrôles et des résultats de tests,

• maintenir des preuves de conformité continue tout au long du cycle de vie,

• démontrer que les activités post-marché (p. ex., patchage, réponse à la vulnérabilité) répondent aux attentes de la réglementation.

Le Module A confie au fabricant toute la responsabilité de mettre en œuvre un système de contrôle interne rigoureux soutenu par une documentation technique précise.

Présomption de conformité (PoC)

Un produit obtient une Présomption de Conformité lorsqu'il respecte les normes européennes harmonisées (hENs) répertoriées dans le Journal Officiel de l'Union Européenne (JOUE). Ces normes sont actuellement en cours de développement par CEN, CENELEC et ETSI grâce au mandat conjoint M/606.

Une fois ces normes finalisées et adoptées :

• les fabricants qui les appliquent correctement gagnent PoC,

• les autorités de surveillance du marché doivent supposer que le produit répond aux exigences essentielles, à moins que les preuves ne suggèrent le contraire.

• l'évaluation de la conformité devient plus prévisible et plus alignée dans toute l'UE.

Cependant, étant donné que les HEN sont toujours en développement, leur structure finale, leur niveau de détail et leur couverture restent sujets à des changements. Dans les domaines où ils ne couvrent pas entièrement les exigences de l'annexe I, les fabricants doivent effectuer des analyses de risque supplémentaires, des tests ou une évaluation par des tiers.

Le Module A permet la validation de conformité interne, tout en adhérant à des normes harmonisées à venir accorde une présomption de conformité. Source : Freepik

Obligations du Fabricant Selon le CRA

L'ARC introduit certaines des obligations de cybersécurité les plus détaillées et les plus continues jamais exigées par la législation européenne. Les fabricants doivent:

• Effectuer l'évaluation des risques pour chaque type de produit et version, y compris la modélisation des menaces et l'analyse de la surface d'attaque.

• Implémenter les processus de développement sécurisés, y compris le codage sécurisé, les tests, la révision du code et le durcissement de la configuration.

• Assurer la gestion des vulnérabilités, y compris les processus coordonnés de divulgation de vulnérabilité (CVD), la surveillance et les correctifs de sécurité continus.

• Fournissez des mises à jour de sécurité régulières et maintenez le support tout au long de la durée de vie du produit.

• Créer une documentation technique complète conformément à l'annexe II.

• Émettre une déclaration de conformité de l'UE et apposer le marquage CE avant la mise sur le marché.

• Notifier les autorités des vulnérabilités et incidents de sécurité exploités activement sans délai.

Les fabricants doivent également veiller à ce que leurs partenaires (importateurs, promoteurs, intégrateurs, distributeurs) remplissent leurs obligations de l'ARC, ce qui crée une chaîne de responsabilité à l'échelle de l'écosystème.

Les laboratoires indépendants de sécurité et les organismes d’évaluation de la conformité jouent un rôle essentiel dans la vérification de la maturité des processus de cybersécurité des fabricants, en offrant des tests structurés et des conseils d’experts.

Conclusion

La Cyber Resilience Act établit une nouvelle base de cybersécurité pour tous les produits numériques mis sur le marché de l'UE. Il redéfinit la façon dont les fabricants conçoivent, développent et soutiennent leurs produits, faisant de la cybersécurité une condition préalable légale plutôt qu'un renforcement facultatif.

Les principaux jalons à venir incluent :

• finalisation et publication de normes harmonisées,

• la création d'organismes notifiés pour les évaluations de l'ARC,

• alignement des processus de cycle de vie et des flux de travail de gestion des vulnérabilités,

• la préparation de l'applicabilité complète de l'ARC à compter de la 11 décembre 2027.

Organisations qui commencent à s'adapter maintenant en améliorant le développement sécurisé, la qualité de la documentation, et les processus de sécurité du cycle de vie non seulement atteindront la conformité, mais se positionneront également en tant que leaders de confiance dans le paysage numérique européen en pleine évolution.

Comment QIMA CCLab Soutient la Conformité CRA

En tant que laboratoire de cybersécurité accrédité avec une vaste expérience dans l'évaluation des produits numériques et des normes de sécurité, Le CCLab de l’AQMQ offre un soutien complet aux fabricants qui se préparent à la conformité de l’ARC.

Nos services incluent :

• CRA Gap Analysis – évaluation de l’état actuel de la cybersécurité des produits par rapport aux normes de l’ARC.

• Soutien à l'Évaluation de Conformité – guidant les fabricants à travers la documentation Module A, les contrôles internes, et les processus de cycle de vie.

• Test et Consultation Basés sur le Développement hEN – alignant les pratiques de sécurité sur les normes émergentes de CEN/CENELEC/ETSI.

• Lifecycle and Vulnerability Management Assessment – évaluation des processus de correction, des flux de travail de réponse d'incident et des mécanismes de mise à jour sécurisés.

• Formation et Développement des Capacités – aider les équipes à comprendre les exigences du CRA et à les intégrer dans des flux de travail de conception et de développement sécurisés.

QIMA CCLab agit non seulement en tant que laboratoire de test, mais aussi en tant que partenaire stratégique, Soutenir les entreprises dès les premières étapes de la conception par une évaluation finale, leur permettant de créer des produits sûrs, conformes et résilients.

FAQ

Quand la loi sur la résilience cybernétique (CRA) devient-elle pleinement applicable?

Bien que l'ARC soit officiellement entrée en vigueur le 10 décembre 2024, elle ne deviendra pleinement applicable que le 11 décembre 2027. Cette période de transition de trois ans permet aux fabricants d'ajuster leurs processus de développement et de soutien. Après cette date, tout produit comportant des éléments numériques qui ne sont pas conformes aux exigences de l'ARC ne peut pas être légalement mis sur le marché de l'UE.

Comment l’Acte délégué de la directive sur les équipements radio (RED-DA) et le CRA sont-ils liés?

Tant le RED-DA que l'ARC imposent des exigences de cybersécurité obligatoires par le biais du marquage CE. Le RED-DA s'applique à l'équipement radio connecté à Internet, tandis que l'ARC s'applique à tous les produits numériques, y compris les logiciels. Le RED-DA sera abrogé le 11 décembre 2027, le même jour où l'ARC deviendra pleinement applicable, permettre à l'ARC de prendre la priorité et de créer un cadre de cybersécurité simplifié unique.

Comment les normes harmonisées (hEN) soutiennent-elles la conformité au CRA ?

Les normes harmonisées constituent l'épine dorsale technique démontrant la conformité au CRA. La série EN 18031 — initialement utilisée pour le RED-DA — est censée former la base des futures normes harmonisées pour le CRA. En suivant ces normes une fois qu'elles sont publiées dans le Journal Officiel de l'Union Européenne, les fabricants peuvent obtenir une "Présomption de Conformité". (Note importante : À l'heure actuelle, aucune norme harmonisée n'existe sous le CRA, donc les fabricants doivent s'appuyer sur des méthodes d'évaluation alternatives jusqu'à ce qu'elles soient finalisées).