Votre produit contient un logiciel et il est vendu dans l'UE ? Il relève alors vraisemblablement du Cyber Resilience Act (CRA), le règlement (UE) 2024/2847. Celui-ci exige des fabricants que les produits comportant des éléments numériques soient sûrs pendant tout leur cycle de vie – et qu'ils puissent le prouver. Nous examinons votre produit d'un point de vue technique, vous montrons où il en est et, sur demande, mettons en œuvre avec vous les mesures nécessaires.
Les échéances
- Depuis le 11 septembre 2026 : obligations de signalement des vulnérabilités activement exploitées et des incidents de sécurité graves. Elles s'appliquent aussi aux produits déjà sur le marché.
- À partir du 11 décembre 2027 : le règlement s'applique intégralement, y compris les exigences essentielles de cybersécurité, l'évaluation de la conformité et le marquage CE.
Les produits mis sur le marché avant le 11 décembre 2027 ne doivent satisfaire aux autres exigences que s'ils font ensuite l'objet d'une modification substantielle.
Ce que nous examinons pour vous
1. État des lieux
Quels produits et quelles versions sont concernés, quel logiciel contiennent-ils, quelles interfaces et connexions de données existent ? Nous déterminons sur le plan technique si votre produit entre dans le champ d'application et quelle classification est la plus probable – produit standard, produit important ou produit critique. C'est de cela que dépend la possibilité d'évaluer vous-même la conformité ou la nécessité de faire appel à un organisme notifié. Certains groupes de produits, comme les dispositifs médicaux, sont exclus, car ils relèvent de règles spécifiques.
2. Nomenclature logicielle (SBOM)
Le CRA exige que vous connaissiez et documentiez les composants de votre produit, au minimum les dépendances directes, dans un format courant lisible par machine. Nous recensons les bibliothèques, les composants open source et les modules achetés avec leurs versions, et configurons la génération de la SBOM, par exemple au format CycloneDX ou SPDX, de sorte qu'elle soit produite automatiquement à chaque build.
3. Gestion des vulnérabilités
Nous comparons vos composants avec les bases de données publiques de vulnérabilités, évaluons les résultats pour votre produit et proposons des corrections. Cela comprend une procédure pour traiter à l'avenir les vulnérabilités : une adresse de contact pour les signalements externes, une politique de divulgation coordonnée et des vérifications régulières.
4. Processus de mise à jour
Les mises à jour de sécurité doivent parvenir à vos clients rapidement, de manière sûre et, si possible, séparément des mises à jour fonctionnelles. Nous examinons comment les mises à jour sont aujourd'hui créées, signées et distribuées, et comment vous couvrez la période d'assistance. Celle-ci est en règle générale d'au moins cinq ans, et plus courte en conséquence si la durée d'utilisation est plus courte.
5. Sécurité du produit
Nous vérifions les exigences essentielles applicables au produit lui-même : aucune vulnérabilité exploitable connue à la livraison, configuration par défaut sécurisée, protection contre les accès non autorisés, chiffrement, surface d'attaque aussi réduite que possible et journalisation des événements pertinents pour la sécurité. Sur le plan méthodologique, nous nous appuyons pour cela sur notre contrôle qualité avec revue de code et contrôle de sécurité.
6. Documentation technique
Pour la déclaration de conformité, vous avez besoin d'une documentation technique : description du produit, architecture, évaluation des risques de cybersécurité, procédures de traitement des vulnérabilités et informations destinées aux utilisateurs. Nous examinons ce qui existe et rédigeons les parties techniques manquantes.
7. Obligations de signalement
Si une vulnérabilité de votre produit est activement exploitée, une alerte précoce doit être transmise dans les 24 heures, puis une notification plus détaillée dans les 72 heures – via la plateforme unique de signalement de l'ENISA. Nous définissons avec vous qui détecte, évalue et signale les indices, et préparons les informations techniques afin qu'aucun temps ne soit perdu en cas d'incident.
Ce que vous recevez
- Un rapport sur l'état de votre produit pour chaque domaine d'exigences, compréhensible également pour la direction et la gestion de produit
- Une liste des mesures, classées par ordre d'urgence et assorties d'une estimation de l'effort
- Sur demande, la mise en œuvre : SBOM dans le build, correction des vulnérabilités, mécanisme de mise à jour, documentation
- Si nécessaire, un accompagnement dans la durée, par exemple dans le cadre du support et de la maintenance
À qui s'adresse cette offre
Notre offre s'adresse aux fabricants de machines et d'appareils dotés de leur propre logiciel de commande, aux fournisseurs de technique de laboratoire et de mesure, ainsi qu'aux entreprises qui commercialisent des logiciels de bureau ou des add-ins CAO pour AutoCAD, BricsCAD ou Revit. Nous examinons aussi bien les logiciels que nous avons développés nous-mêmes que ceux d'autres éditeurs et le code existant développé au fil des années en C#/.NET ou en C++.
Remarque : nous nous chargeons de l'examen et de la mise en œuvre techniques, et non du conseil juridique. Nous coordonnons les questions juridiques, comme la classification contraignante de votre produit, avec votre service juridique ou vos avocats.
Votre prochaine étape
Lors du premier entretien, nous déterminons quels produits pourraient être concernés et par quoi il est préférable de commencer. Pour en savoir plus sur nos prestations en matière de qualité et de sécurité, consultez la vue d'ensemble.
kununu