Le Cyber Resilience Act (CRA) marque une évolution majeure de la réglementation européenne en matière de cybersécurité des produits numériques. Au-delà des exigences de sécurité dès la conception, le règlement impose aux fabricants de démontrer qu’ils maîtrisent la composition de leurs produits, qu’ils surveillent les vulnérabilités tout au long de leur cycle de vie et qu’ils disposent d’une documentation technique permettant de prouver leur conformité.
Trois éléments deviennent ainsi essentiels : le SBOM, la gestion des vulnérabilités et la documentation technique.
Le SBOM, un inventaire indispensable des composants logiciels
Les logiciels modernes s’appuient sur de nombreux composants tiers, qu’ils soient open source, propriétaires ou commerciaux. Cette dépendance complexifie la gestion de la cybersécurité, puisqu’une vulnérabilité découverte dans une bibliothèque peut affecter simultanément un grand nombre de produits.
Le Software Bill of Materials (SBOM) recense l’ensemble des composants logiciels intégrés dans un produit. À l’image d’une nomenclature industrielle, il facilite l’identification des dépendances concernées lorsqu’une vulnérabilité est publiée.
Le Cyber Resilience Act ne rend pas explicitement le SBOM obligatoire sous cette appellation. En revanche, les exigences relatives à la documentation technique et à la gestion des composants conduisent, dans la pratique, à disposer d’un inventaire fiable des composants logiciels pour démontrer la conformité. Cette approche est également reprise dans les travaux de normalisation européens en cours.
Une gestion continue des vulnérabilités
Le CRA ne se limite pas à la mise sur le marché du produit. Les fabricants doivent mettre en œuvre un processus permanent de gestion des vulnérabilités pendant toute la période de support du produit.
Cela comprend notamment :
- l’identification des vulnérabilités ;
- leur analyse et leur évaluation ;
- la mise en œuvre de mesures correctives lorsque cela est nécessaire ;
- la diffusion des mises à jour de sécurité ;
- le traitement des vulnérabilités affectant les composants intégrés.
Le règlement prévoit également des obligations de notification pour certaines vulnérabilités activement exploitées et les incidents de sécurité majeurs. Les FAQ publiées par la Commission européenne précisent plusieurs aspects pratiques, notamment les responsabilités du fabricant vis-à-vis des composants tiers, des mises à jour de sécurité et de la période de support.
Une documentation technique comme preuve de conformité
Le Cyber Resilience Act exige qu’une documentation technique accompagne le produit afin de démontrer le respect des exigences essentielles de cybersécurité.
Cette documentation doit notamment permettre de justifier :
- l’évaluation des risques de cybersécurité ;
- les mesures de sécurité mises en œuvre ;
- la conception sécurisée du produit ;
- les procédures de gestion des vulnérabilités ;
- les mises à jour de sécurité publiées ;
- les éléments nécessaires à l’évaluation de conformité.
La documentation devient ainsi un véritable élément de preuve en cas de contrôle par les autorités de surveillance du marché ou dans le cadre des procédures d’évaluation de conformité. Le règlement insiste sur la nécessité de maintenir cette documentation à jour pendant toute la durée de vie du produit.
Centraliser les informations pour faciliter la conformité
Dans de nombreuses organisations, les informations relatives aux composants logiciels, aux vulnérabilités, aux analyses de risques et aux preuves de conformité sont réparties entre plusieurs outils.
Centraliser ces données permet de faciliter le suivi de la conformité, de simplifier les audits et de réagir plus rapidement lorsqu’une vulnérabilité est identifiée dans un composant utilisé par plusieurs produits.
Cette approche s’inscrit pleinement dans la logique du Cyber Resilience Act, qui vise à instaurer une gestion continue de la cybersécurité tout au long du cycle de vie des produits.
Ce qu’il faut retenir
Le Cyber Resilience Act renforce les obligations des fabricants en matière de cybersécurité produit. La conformité ne repose plus uniquement sur des mesures techniques mises en œuvre lors du développement, mais également sur la capacité à démontrer une maîtrise continue des composants logiciels, des vulnérabilités et de la documentation associée.
Disposer d’un inventaire des composants, maintenir un processus structuré de gestion des vulnérabilités et produire une documentation technique complète constituent désormais des éléments clés pour répondre aux exigences du règlement.
FAQ
Le SBOM est-il obligatoire avec le Cyber Resilience Act ?
Le règlement ne mentionne pas explicitement l’obligation de produire un SBOM. En revanche, les exigences relatives à la documentation technique et à la gestion des composants rendent la mise en place d’un inventaire des composants logiciels fortement recommandée pour démontrer la conformité.
Le CRA impose-t-il une gestion des vulnérabilités après la commercialisation ?
Oui. Les fabricants doivent surveiller, traiter et corriger les vulnérabilités pendant toute la période de support du produit, conformément aux exigences de l’annexe I du règlement.
Que doit contenir la documentation technique ?
Elle doit notamment documenter l’évaluation des risques, les mesures de cybersécurité mises en œuvre, les procédures de gestion des vulnérabilités, les mises à jour de sécurité et les éléments nécessaires à l’évaluation de conformité.
Sources
- Règlement (UE) 2024/2847 du Parlement européen et du Conseil (Cyber Resilience Act)
- Commission européenne - Cyber Resilience Act
- Commission européenne - Technical FAQs on the Cyber Resilience Act
- Étude relative à l’applicabilité du Cyber Resilience Act (Advens), utilisée uniquement comme document d’analyse complémentaire.
