Services liés à la loi sur la cyber-résilience

Le règlement de l'UE définissant les exigences en matière de cybersécurité applicables aux produits comportant des composants numériques commercialisés dans l'Union européenne. Il couvre l'ensemble du cycle de vie du produit, depuis la conception et le développement sécurisés jusqu'à la gestion des vulnérabilités et au support après la mise sur le marché du produit.

Les fabricants de produits comportant des éléments numériques mis sur le marché de l'Union européenne, ainsi que les importateurs et les distributeurs de ces produits. Il n'est pas nécessaire que les organisations se présentent comme des fabricants pour entrer dans le champ d'application. Le règlement prend en compte ce qui est mis sur le marché et sous quel nom ou quelle marque, ce qui peut inclure dans son champ d'application le matériel sous marque propre, les logiciels intégrés et fournis avec le matériel, les produits rebaptisés et les appareils connectés vendus sous le logo de l'entreprise.

En vigueur depuis le 10 décembre 2024. Les obligations de déclaration prévues à l’article 14 s’appliquent à compter du 11 septembre 2026 et s’étendent aux produits déjà commercialisés. Les autres obligations s’appliquent à compter du 11 décembre 2027.

Un fabricant qui prend connaissance d’une vulnérabilité activement exploitée ou d’un incident grave affectant la sécurité de son produit doit transmettre une alerte précoce dans les 24 heures, une notification plus complète dans les 72 heures, puis un rapport final. Les rapports transitent par la plateforme unique de signalement gérée par l’ENISA et sont adressés au CSIRT désigné comme coordinateur pour l’établissement principal du fabricant. Dans le cas d’une vulnérabilité activement exploitée, le rapport final doit être remis au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation. Dans le cas d’un incident grave, il doit être remis dans un délai d’un mois à compter de la notification initiale dans les 72 heures. Il ne s’agit pas d’une obligation de signaler chaque vulnérabilité.

Sur le plan opérationnel, oui, bien que ces organisations ne soient pas elles-mêmes soumises à la réglementation en tant que fabricants au titre de la CRA. Les fabricants doivent informer les utilisateurs concernés des vulnérabilités activement exploitées et des incidents graves affectant leurs produits, ainsi que des mesures correctives disponibles. Si un fabricant ne le fait pas, le CSIRT national de coordination peut informer directement les utilisateurs. Les organisations devront désigner un destinataire pour ces notifications, définir un processus de triage des incidents et déterminer clairement si une notification donnée engage leurs propres obligations au titre de la directive NIS2 ou de la directive DORA.

Pas automatiquement. Une alerte émanant d’un fabricant donne lieu à une évaluation plutôt qu’à une déclaration. La nécessité de déclarer l’incident dépend du fait que les services de l’organisation soient ou non affectés de manière significative, ainsi que des seuils fixés par chaque régime. Lorsque ces seuils sont atteints, l’organisation devra prouver à quel moment elle en a pris connaissance.

Dans de nombreux cas, oui. La CRA s'applique aux produits mis sur le marché de l'UE, quel que soit le lieu d'établissement du fabricant. Les organisations britanniques qui commercialisent des produits comportant des éléments numériques au sein de l'UE, ou qui fournissent des composants à des fabricants qui le font, doivent évaluer leurs obligations. Integrity360 aide les organisations britanniques à déterminer le champ d'application de la réglementation et à mettre en œuvre les contrôles nécessaires.

Un accompagnement complet couvrant l’évaluation de l’applicabilité et du champ d’application, la classification des produits, la préparation des déclarations au titre de l’article 14, la divulgation coordonnée des vulnérabilités, la gestion des notifications aux fournisseurs, les tests de sécurité des produits, la préparation de la documentation technique et de l’évaluation de la conformité, ainsi que l’intégration des obligations découlant de la CRA dans les programmes NIS2 et DORA existants.

Déterminez si la réglementation s'applique, à quels produits et dans quelle catégorie. Identifiez le CSIRT national désigné comme coordinateur pour votre établissement principal. Définissez par écrit ce qui relève de la sensibilisation et qui est habilité à escalader les incidents en dehors des heures de bureau. Les organisations qui ne sont pas des fabricants doivent désigner la personne chargée de recevoir les notifications de sécurité émanant des fabricants et intégrer ce canal dans le processus de triage des incidents.

Deux capacités définissent notre approche. Premièrement, le même groupe qui fournit des conseils sur l’obligation gère également la capacité de détection et de réponse qui alimente ce processus, par le biais de nos centres d’opérations de sécurité (SOC) disponibles 24 h/24 et 7 j/7, ainsi que de nos services de détection et de réponse gérés (MDR). C’est la prise de connaissance qui déclenche le délai de signalement initial, et le travail de conseil ne peut à lui seul influencer ce délai. Deuxièmement, grâce à Holiseum, nous évaluons le produit lui-même, y compris les systèmes embarqués, IoT et OT, plutôt que la documentation qui le décrit. Les décisions relatives au périmètre et à la classification sont prises par des ingénieurs capables d’examiner le dispositif.