Loi sur la cyber-résilience dans le secteur manufacturier :

Vue d'ensemble

La loi sur la cyber-résilience (CRA), le règlement (UE) n° 2024/2847, est la première législation horizontale de l’UE imposant une cybersécurité intégrée dès la conception pour les produits qui sont ou contiennent un élément numérique (c’est-à-dire une « hardware » connectée, une «software » ou un traitement de données à distance) mis sur le marché de l’UE, en liant directement la conformité au marquage CE. Elle distingue deux types d’obligations : les exigences relatives à la conception sécurisée des produits (annexe I, partie I) et celles relatives à la gestion des vulnérabilités tout au long du cycle de vie (annexe I, partie II). 

Concrètement, les fabricants doivent livrer des produits sur lesquels la protection cryptographique garantissant la confidentialité et l’intégrité des données est activée par défaut, avec des mises à jour de l’ software et du micrologiciel vérifiées par des moyens cryptographiques, ainsi qu’un mécanisme sécurisé d’identité et d’authentification, le tout justifié par une évaluation des risques de cybersécurité spécifique au produit plutôt que par une liste de contrôle standard. 

Pourquoi est-ce important ? 

software Le règlement CRA s'applique à pratiquement tous les produits ou services connectés vendus dans l'UE : la plupart des produits relèvent de la catégorie par défaut, tandis que des obligations plus strictes s'appliquent aux catégories de produits « importants » (classes I et II) et « critiques », tels que les systèmes de gestion des identités, les VPN software et les passerelles de compteurs intelligents. 

Les exigences essentielles devront être pleinement mises en œuvre d’ici le 11 décembre 2027, tandis que les obligations de signalement des vulnérabilités et des exploitations actives s’appliqueront à partir de septembre 2026, selon un calendrier plus court. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial total, le montant le plus élevé étant retenu, et les produits non conformes perdent le marquage «CE» requis pour l’accès au marché de l’UE, ce qui en fait autant un enjeu d’accès au marché qu’une question de sécurité. 

En quoi cela s'applique-t-il à la cryptographie ? 

La CRA aborde la cryptographie à travers plusieurs exigences essentielles de l’annexe I, qui portent sur la confidentialité, l’intégrité, les paramètres par défaut sécurisés et l’authenticité des mises à jour. Les principaux domaines de contrôle ayant des implications cryptographiques directes sont les suivants : 

Préparation à l'audit 

Les évaluations de conformité à la CRA, qu’elles soient autodéclarées ou examinées par un organisme notifié, visent à vérifier si les choix de conception cryptographique sont documentés, justifiés au regard des risques et mis en œuvre de manière vérifiable. Voici les principaux domaines sur lesquels se concentrent les évaluateurs et les autorités de surveillance du marché : 

• Documentation relative à l'évaluation des risques :L'organisation a-t-elleréalisé et documenté une évaluation des risques de cybersécurité spécifique au produit, justifiant ses choix en matière de conception cryptographique ? 

• Attribution d'une identité à l'appareil :Une identité cryptographique unique est-elleattribuée à chaque appareil lors de sa fabrication, plutôt que de s'appuyer sur des identifiants partagés ou par défaut ? 

• Pipeline de mises à jour signées :L'organisation est-elle en mesure dedémontrer que les mises à jour du micrologiciel et de l'software sont signées cryptographiquement et vérifiées avant leur installation, les mises à jour automatiques étant activées par défaut ? 

• Inventaire des composants cryptographiques :L'organisation tient-elleà jour un inventaire de toutes les bibliothèques et de tous les algorithmes cryptographiques intégrés au produit, y compris les dépendances héritées ? 

• Effacement sécurisé et destruction des clés :le produit prend-ilen charge l'effacement sécurisé des données, y compris la destruction des clés cryptographiques, en cas de transfert de propriété ou de mise hors service ? 

• Engagements relatifs à la durée de prise en charge :la durée obligatoire de prise en charge des mises à jour de sécurité, soit au minimum cinq ans ou la durée de vie prévue du produit si celle-ci est plus courte, est-elledocumentée et communiquée aux utilisateurs ? 

TRANSMETTEZ CELA À LA DIRECTION

L'Agence de réglementation des produits de consommation (CRA) fait de la cybersécurité une condition d'accès au marché : pas de marquage CE, pas d'accès au marché européen. Sans parler des amendes pouvant atteindre 15 millions d'euros ou 2,5 % de notre chiffre d'affaires mondial total. Chaque produit connecté, hardware ou software que nous commercialisons doit disposer d'une identité d'appareil unique, d'un micrologiciel signé et d'un chiffrement activé par défaut, le tout étayé par une documentation prouvant que nous avons évalué les risques et conçu le produit en conséquence.

Nous avons jusqu’en décembre 2027 pour nous mettre pleinement en conformité, mais le compte à rebours pour le signalement des vulnérabilités commence bien plus tôt, et ces 36 mois s’envolent rapidement dès lors qu’il faut repenser des produits qui n’ont jamais été conçus avec une identité unique ni un pipeline de signature. Si nous ne parvenons pas à établir un inventaire cryptographique pour un produit, nous ne pourrons pas indiquer à l’autorité de régulation, ni même à nous-mêmes, ce qui est réellement exposé lorsque la prochaine vulnérabilité se présentera.