Questions réellement posées

Cyber Resilience Act : comment se mettre en conformité, par étapes ?

Le Cyber Resilience Act (règlement (UE) 2024/2847) ne fournit pas de liste de contrôle unique, mais ses articles 13, 14, 28, 31 et 32 fixent les obligations du fabricant. Voici les étapes, dans un ordre de travail logique, chacune avec l'article qui la fonde. Le texte lui-même ne numérote pas d'ordre.

1. Déterminer si le produit est concerné, et sa catégorie

Selon l'article 2, le règlement s'applique aux produits comportant des éléments numériques dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau. L'article 7 range parmi les « produits importants » ceux dont la fonctionnalité de base relève d'une catégorie de l'annexe III ; l'article 8 traite des produits critiques. Cette catégorie détermine les procédures d'évaluation ouvertes (étape 6).

2. Évaluer les risques de cybersécurité

L'article 13, paragraphes 2 et 3, impose au fabricant une évaluation des risques de cybersécurité, documentée et mise à jour pendant la période d'assistance, fondée sur l'utilisation prévue et raisonnablement prévisible du produit. Elle indique si et comment les exigences de l'annexe I s'appliquent au produit et comment elles sont mises en œuvre. C'est le point de départ de toute analyse d'écarts.

3. Satisfaire aux exigences essentielles de l'annexe I

L'article 13, paragraphe 1, exige que le produit soit conçu, développé et fabriqué conformément aux exigences de l'annexe I, partie I. Leur détail figure dans Que contient l'annexe I du Cyber Resilience Act ?

4. Gérer les vulnérabilités et organiser le signalement

L'article 13, paragraphe 8, impose de gérer efficacement les vulnérabilités du produit et de ses composants pendant la période d'assistance, conformément à l'annexe I, partie II. L'article 14, paragraphes 1 et 2, impose de notifier toute vulnérabilité activement exploitée, simultanément au CSIRT désigné comme coordinateur et à l'ENISA : une alerte précoce au plus tard 24 heures après en avoir eu connaissance, une notification au plus tard 72 heures après, puis un rapport final au plus tard 14 jours après la mise à disposition d'une mesure de correction ou d'atténuation. Les paragraphes 3 et 4 appliquent le même régime à tout incident grave ayant des répercussions sur la sécurité du produit : alerte précoce sous 24 heures, notification sous 72 heures. Le rapport final de l'incident est dû dans un délai d'un mois à compter de la notification d'incident. Selon l'article 71, l'article 14 s'applique à partir du 11 septembre 2026.

5. Établir la documentation technique

L'article 31 prévoit une documentation technique contenant au minimum les éléments de l'annexe VII, établie avant la mise sur le marché et mise à jour au moins pendant la période d'assistance. L'article 13, paragraphe 4, y fait figurer l'évaluation des risques de l'étape 2.

6. Suivre une procédure d'évaluation

L'article 32 ouvre au fabricant le contrôle interne (module A), l'examen UE de type suivi de la conformité au type (modules B et C), l'assurance complète de la qualité (module H) ou, lorsqu'il est disponible, un schéma européen de certification de cybersécurité. Ce libre choix vaut pour les produits par défaut (paragraphe 1). Pour un produit important de classe I (paragraphe 2), le module A n'est possible que si le fabricant a appliqué intégralement des normes harmonisées, des spécifications communes ou un schéma européen de certification au minimum au niveau d'assurance « substantiel ». À défaut, ou si ces textes n'existent pas, il doit suivre les modules B et C ou le module H. Pour un produit important de classe II (paragraphe 3), le module A est exclu : restent les modules B et C, le module H ou un schéma européen de certification au minimum au niveau « substantiel ». Les produits critiques de l'annexe IV (paragraphe 4) passent par un schéma européen de certification selon l'article 8, paragraphe 1, ou, à défaut, par l'une des procédures de la classe II.

7. Établir la déclaration UE de conformité et apposer le marquage CE

Lorsque la procédure a démontré le respect des exigences, l'article 13, paragraphe 12, prévoit que le fabricant établit la déclaration UE de conformité selon l'article 28 (modèle de l'annexe V) et appose le marquage CE selon l'article 30.

8. Fixer la durée de support

L'article 13, paragraphe 8, demande au fabricant de fixer la période d'assistance selon la durée pendant laquelle le produit est censé pouvoir être utilisé ; elle est d'au moins cinq ans. Lorsque le produit est censé pouvoir être utilisé pendant moins de cinq ans, la période d'assistance correspond à la durée d'utilisation prévue.

Les dates d'application

Selon l'article 71, le règlement est applicable à partir du 11 décembre 2027, et l'article 14 à partir du 11 septembre 2026. Pour savoir si votre ESN est fabricant, importateur ou distributeur, voir Le Cyber Resilience Act concerne-t-il les ESN ? Le texte officiel fait foi : l'application de ces étapes à votre produit relève de votre propre analyse.

Et votre propre environnement ?

Le Cyber Resilience Act porte sur les produits comportant des éléments numériques que vous mettez sur le marché, et non sur les outils internes avec lesquels vous les développez et les maintenez. Si ces outils passent par Microsoft 365 (messagerie, partages de documents et de code, échanges sur les vulnérabilités), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de sécurité de cet environnement-là. Ce diagnostic ne sera ni une évaluation de vos produits au titre du Cyber Resilience Act, ni une certification, ni une garantie de conformité.

SYAGA Audit pour votre propre Microsoft 365 : diagnostic gratuit, ouverture prochaine

Source : règlement (UE) 2024/2847 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.