Questions réellement posées

Que contient l'annexe I du Cyber Resilience Act ?

L'annexe I du Cyber Resilience Act (règlement (UE) 2024/2847) fixe les « exigences essentielles de cybersécurité » en deux parties : la partie I porte sur les propriétés des produits comportant des éléments numériques, la partie II sur la gestion des vulnérabilités par les fabricants. La première dit comment le produit doit être conçu ; la seconde, comment le fabricant doit le suivre une fois sur le marché.

Partie I : les propriétés des produits

Les produits sont conçus, développés et fabriqués pour atteindre un niveau de cybersécurité approprié « en fonction des risques ». Sur la base de l'évaluation des risques prévue à l'article 13, ils doivent, le cas échéant :

• être mis sur le marché « sans vulnérabilité exploitable connue » ;
• être livrés avec une configuration de sécurité par défaut, avec la possibilité de revenir à l'état d'origine ;
• pouvoir être corrigés par des mises à jour de sécurité, le cas échéant automatiques et activées par défaut, mais faciles à désactiver ;
• protéger contre les accès non autorisés (authentification, gestion des identités et des accès) et signaler ces accès ;
• protéger la confidentialité des données, par exemple par le chiffrement au repos ou en transit ;
• protéger l'intégrité des données, des commandes, des programmes et de la configuration, et signaler les corruptions ;
• ne traiter que les données nécessaires à la finalité prévue (minimisation des données) ;
• protéger la disponibilité des fonctions essentielles, y compris face aux attaques par déni de service ;
• limiter leurs répercussions négatives sur les services fournis par d'autres appareils ou réseaux ;
• limiter les surfaces d'attaque, y compris les interfaces externes ;
• réduire les répercussions d'un incident par des techniques de limitation de l'exploitation de failles ;
• enregistrer et surveiller les activités internes pertinentes, l'utilisateur pouvant désactiver ce mécanisme ;
• permettre de supprimer facilement, en toute sécurité et de manière permanente, toutes les données et tous les paramètres, et de les transférer de manière sécurisée lorsque c'est possible.

Partie II : la gestion des vulnérabilités

Les fabricants :

• recensent et documentent les vulnérabilités et les composants, notamment par une « nomenclature des logiciels » lisible par machine couvrant au moins les dépendances de niveau supérieur ;
• gèrent et corrigent sans retard les vulnérabilités, en séparant si possible les mises à jour de sécurité des mises à jour de fonctionnalité ;
• soumettent régulièrement leurs produits à des tests et examens de sécurité ;
• publient, dès la mise à jour de sécurité, une description des vulnérabilités corrigées, leur gravité et la façon d'y remédier, avec un report possible dans des cas dûment justifiés ;
• mettent en place une politique de divulgation coordonnée des vulnérabilités ;
• facilitent le partage d'informations sur les vulnérabilités, y compris des composants tiers, et fournissent une adresse de contact pour les signaler ;
• prévoient une distribution sécurisée des mises à jour ;
• diffusent les correctifs sans retard et, sauf accord contraire pour un produit sur mesure, gratuitement, accompagnés de messages consultatifs.

Les dates d'application

Selon l'article 71, le règlement est applicable à partir du 11 décembre 2027 ; l'article 14 (signalement des vulnérabilités activement exploitées et des incidents graves) s'applique à partir du 11 septembre 2026, et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.

Ce que cela change pour un éditeur ou une ESN

Ces exigences visent le fabricant d'un produit comportant des éléments numériques. Un éditeur, ou une ESN qui commercialise un logiciel ou un matériel sous sa marque, a donc intérêt à rapprocher dès maintenant ses pratiques de chacun de ces points : inventaire des composants, traitement des vulnérabilités, mises à jour, configuration par défaut. Le texte n'impose pas la même chose à une activité de services pure ; pour savoir si votre ESN est fabricant, importateur ou distributeur, voir Le Cyber Resilience Act concerne-t-il les ESN ? Le texte officiel fait foi : la lecture de l'annexe I au regard de votre produit relève de votre propre analyse.

Et votre propre environnement ?

Le Cyber Resilience Act porte sur les produits comportant des éléments numériques que vous mettez sur le marché, et non sur les outils internes avec lesquels vous les développez et les maintenez. Si ces outils passent par Microsoft 365 (messagerie, partages de documents et de code, échanges sur les vulnérabilités), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de sécurité de cet environnement-là. Ce diagnostic ne sera ni une évaluation de vos produits au titre du Cyber Resilience Act, ni une certification, ni une garantie de conformité.

SYAGA Audit pour votre propre Microsoft 365 : diagnostic gratuit, ouverture prochaine

Source : règlement (UE) 2024/2847 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.