Loi européenne sur la cyberrésilience (EU CRA). Déclaration du client

Le Cyber Resilience Act de l’UE (EU CRA) a été conçu pour renforcer la sécurité des produits numériques, y compris les logiciels et les dispositifs connectés. Le règlement établit des règles claires et cohérentes que les entreprises doivent suivre lors de la mise sur le marché de ces produits. Cette réglementation obligatoire réduit les risques en exigeant des fabricants qu’ils intègrent la sécurité dès la conception de leurs produits et qu’ils corrigent rapidement toute vulnérabilité de cybersécurité identifiée sur le terrain. L’objectif est de créer un environnement numérique plus sûr pour tous en favorisant la disponibilité de produits « sécurisés par défaut ». L’EU CRA exige que les fabricants mettent sur le marché de l’Union européenne des produits conformes à partir du 11 décembre 2027. Les fabricants sont également tenus de signaler les incidents graves et les vulnérabilités activement exploitées aux autorités nationales compétentes ou aux équipes de réponse aux incidents de sécurité informatique (CSIRT) à partir du 11 septembre 2026.

Le CRA de l’UE impose que les Produits comportant des éléments numériques (PDE) qui se connectent à d’autres appareils ou réseaux ou interagissent avec eux respectent des exigences essentielles en matière de cybersécurité dans leur conception, leur développement et leur production. L’Acte exige également une gestion des vulnérabilités tout au long du cycle de vie du produit. La description ci-dessous présente un aperçu des principales obligations prévues par le CRA de l’UE.

Le CRA de l’UE classe les PDE en quatre groupes avec des niveaux d’évaluation de la conformité variables : « Commun », « Important de classe I », « Important de classe II » et « Critique ». Les PDE « importants » et « critiques » sont énumérés aux annexes III et IV. Les PDE « importants » (par exemple, les pare-feu) et les PDE « critiques » (par exemple, les modules matériels de sécurité, les cartes à puce) fournissent des fonctions clés de cybersécurité ou sont essentiels pour des entités clés ou des chaînes d’approvisionnement dans l’UE. Ils doivent être conformes aux normes harmonisées et faire l’objet d’une certification par un tiers.

Les produits ne sont inscrits aux annexes III et IV que si leurs fonctions essentielles correspondent aux types spécifiés ; les produits combinés, tels que les machines, n’héritent pas de la classification de criticité. Malgré les différences entre les évaluations de conformité, les exigences fondamentales de cybersécurité relatives aux caractéristiques des produits restent cohérentes pour toutes les catégories.