Loi sur la cyber-résilience pour les technologies de l'information et Software

Vue d'ensemble

La loi sur la cyber-résilience (CRA), le règlement (UE) n° 2024/2847, est la première législation horizontale de l’UE imposant une cybersécurité intégrée dès la conception pour les produits qui sont ou contiennent un élément numérique, connectés hardware, software, ou impliquant un traitement de données à distance, mis sur le marché de l’UE, en liant directement la conformité au marquage CE. Elle répartit les obligations entre les exigences de conception en matière de sécurité des produits (annexe I, partie I) et les exigences relatives à la gestion des vulnérabilités tout au long du cycle de vie (annexe I, partie II).

En ce qui concerne plus particulièrement la norme « software », les fabricants doivent commercialiser des produits dotés, par défaut, d’une protection cryptographique garantissant la confidentialité et l’intégrité des données, de mises à jour software vérifiées par cryptographie, ainsi que d’un mécanisme sécurisé d’identité et d’authentification, le tout justifié par une évaluation des risques de cybersécurité spécifique au produit plutôt que par une liste de contrôle standard. Parmi les catégories importantes (classes I et II) figurent les systèmes de gestion des identités et les VPN software, qui relèvent tous deux clairement du secteur des technologies de l’information et de l’ software .

Pourquoi c'est important

La CRA s'applique à pratiquement tous les produits « connectés » software commercialisés dans l'UE ; les catégories de produits « importants » et « critiques », les systèmes de gestion des identités, les VPN software ainsi que les software similaires liés à la sécurité sont soumis à des obligations d'évaluation de la conformité plus strictes que celles de la catégorie par défaut.

Les exigences essentielles devront être pleinement mises en œuvre d’ici le 11 décembre 2027, tandis que les obligations de signalement des vulnérabilités et des exploitations actives entreront en vigueur plus tôt, dès septembre 2026. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial total, le montant le plus élevé étant retenu, et les « software s » non conformes perdront le marquage « CE » requis pour accéder au marché de l’UE, ce qui fait de cette question un enjeu d’accès au marché autant qu’une question de sécurité.

En quoi cela s'applique-t-il à la cryptographie ? 

La loi européenne sur la cyber-résilience aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Documentation relative à l'évaluation des risques : L'organisation a-t-elle réalisé et documenté une évaluation des risques de cybersécurité spécifique au produit, justifiant ses choix en matière de conception cryptographique ?
• Provisionnement des identités des services et des instances : une identité cryptographique unique est-elle attribuée à chaque service, instance ou locataire, plutôt que de s'appuyer sur des identifiants partagés ou par défaut ?
• Pipeline de mises à jour signées : L'organisation est-elle en mesure de démontrer que les mises à jour d'software sont signées cryptographiquement et vérifiées avant leur installation, les mises à jour automatiques étant activées par défaut ?
• Inventaire des composants cryptographiques : L'organisation tient-elle à jour un inventaire de toutes les bibliothèques et de tous les algorithmes cryptographiques intégrés à l'software, y compris les dépendances héritées de open-source ?
• Effacement sécurisé et destruction des clés : le produit prend-il en charge l'effacement sécurisé des données, y compris la destruction des clés cryptographiques, dans le cadre de la résiliation d'un contrat ou de la mise hors service ?
• Engagements relatifs à la durée de prise en charge : la durée obligatoire de prise en charge des mises à jour de sécurité, qui est d'au moins cinq ans ou correspond à la durée de vie prévue du produit si celle-ci est plus courte, est-elle documentée et communiquée aux utilisateurs ?

TRANSMETTEZ CELA À LA DIRECTION

La CRA fait de la cybersécurité une exigence d’accès au marché pour software , tout comme elle le fait pour hardware: sans marquage CE, pas d’accès au marché de l’UE, avec en outre des amendes pouvant atteindre 15 millions d’euros ou 2,5 % de notre chiffre d’affaires mondial total. Chaque produit connecté software que nous commercialisons doit disposer d’une identité de service valide, de mises à jour signées et d’un chiffrement activé par défaut, le tout étayé par une documentation prouvant que nous avons évalué les risques et conçu le produit en conséquence.

Nous avons jusqu’en décembre 2027 pour nous mettre pleinement en conformité, mais le délai pour signaler les vulnérabilités commence bien plus tôt, dès septembre 2026, et ce délai s’écoule rapidement dès lors qu’il faut tenir compte de la mise à niveau de produits qui n’ont jamais été conçus avec un pipeline de signature ou une identité par locataire. Si nous ne sommes pas en mesure de dresser un inventaire cryptographique d’un produit, y compris ses dépendances d’ open-source , nous ne pourrons pas indiquer à un organisme de régulation, ni même à nous-mêmes, ce qui est réellement exposé lorsque la prochaine vulnérabilité se manifestera.