Ce qu'exige le Cyber Resilience Act
Le CRA couvre les produits comportant des éléments numériques dont l'utilisation prévue comprend une connexion, directe ou indirecte, à un appareil ou à un réseau. Le fabricant doit notamment :
- concevoir le produit avec un niveau de cybersécurité adapté aux risques, sans vulnérabilité exploitable connue au moment de la vente ;
- fournir une configuration sécurisée par défaut et des mises à jour de sécurité pendant la période d'assistance ;
- gérer les vulnérabilités pendant toute cette période et documenter les composants logiciels ;
- signaler les vulnérabilités activement exploitées et les incidents graves.
Les dates à retenir
- 11 septembre 2026 : s'appliquent les obligations de signaler les vulnérabilités activement exploitées et les incidents graves.
- 20 janvier 2027 : le Règlement Machines s'applique, avec ses exigences sur la protection contre la corruption et les systèmes de commande.
- 11 décembre 2027 : toutes les autres obligations du CRA s'appliquent.
Les signalements ont des délais courts, en heures et en jours : mieux vaut avoir un processus prêt avant d'en avoir besoin.
Le CRA et le Règlement Machines
Le Règlement Machines a ses propres exigences sur la protection contre la corruption et les systèmes de commande liés à la sécurité : une attaque ou un logiciel altéré ne doivent pas créer de situation dangereuse. Le CRA porte sur la cybersécurité du produit en général, pendant toute sa vie. Les deux textes peuvent s'appliquer à la même machine.
Si vous achetez des composants comportant des éléments numériques, comme des automates ou des routeurs industriels, leurs fabricants ont leurs propres obligations. Ce qu'il faut pour la machine que vous mettez sur le marché reste à évaluer avec votre consultant.
Ce qu'il faut faire en pratique
- Faites l'inventaire des logiciels et micrologiciels montés, par modèle et par numéro de série.
- Fixez la période d'assistance et la façon de diffuser les mises à jour de sécurité.
- Prévoyez un canal pour recevoir les signalements de vulnérabilités et un processus pour les notifier à temps.
Dans TARGA, chaque numéro de série a l'historique des versions logicielles, avec date et notes de version, utile pour le CRA comme pour les modifications substantielles.
Questions fréquentes
Le Cyber Resilience Act s'applique-t-il déjà ?
Les obligations de signaler les vulnérabilités activement exploitées et les incidents graves s'appliquent depuis le 11 septembre 2026. Les autres obligations s'appliquent à partir du 11 décembre 2027.
Une machine sans connexion internet relève-t-elle du CRA ?
Le CRA couvre les produits dont l'utilisation prévue comprend une connexion directe ou indirecte à un appareil ou à un réseau, pas seulement à internet. Un port de service ou un réseau d'usine peuvent suffire. C'est à évaluer au cas par cas.
Si j'utilise des automates déjà conformes au CRA, suis-je couvert ?
Pas forcément. Le fabricant de l'automate répond de l'automate ; celui qui met la machine sur le marché doit évaluer la machine dans son ensemble, y compris les logiciels, réseaux et accès à distance qu'il ajoute.