Cybersécurité des produits numériques

Le 10.10.2024, le Conseil de l'Union européenne a adopté le Cyber Resilience Act, la nouvelle loi sur les exigences de cybersécurité pour les produits contenant des éléments numériques. Après cette adoption, il ne reste plus que la signature du président du Conseil ainsi que celle du Parlement européen. Dans les semaines à venir, la nouvelle disposition sera publiée au Journal officiel de l'UE.
 

Le nouveau Règlement entrera en vigueur vingt jours après sa publication au Journal officiel de l'UE et sera directement applicable dans chaque État membre de l'UE 36 mois après son entrée en vigueur. Certaines dispositions s'appliqueront plus tôt: 

• Mai 2026 : Les organismes d'évaluation de la conformité pourront évaluer le respect des exigences du CRA
• Août 2026 : L'obligation de signaler les vulnérabilités et autres incidents de sécurité commence
• Ca. novembre 2027 : toutes les exigences du CRA pour les nouveaux produits doivent être respectées
   

Toutes les 11 secondes, une attaque de pirates informatiques a lieu. Il en résulte des coûts de plus de 5 billions d'euros. C'est ce qu'écrit la Commission européenne dans sa stratégie de cybersécurité, soulignant ainsi la nécessité de garantir un niveau de cybersécurité plus élevé à l'avenir. L'objectif est que les exigences définies soient intégrées en permanence dans l'ensemble de la chaîne d'approvisionnement.

Le nouveau Cyber Resilience Act vise à garantir que les produits numériques deviennent plus sûrs pour les particuliers et les entreprises. Les fabricants de ces produits, qu'il s'agisse de matériel ou de logiciels, seront tenus de corriger les vulnérabilités par le biais de mises à jour logicielles et d'informer l'utilisateur final de leurs produits des risques potentiels en matière de cybersécurité. En outre, le projet de règlement définit des exigences pour le développement de logiciels et souligne ainsi également la « sécurité dès la conception » exigée par la loi sur la cybersécurité déjà en vigueur.
 

La législation sur la cybersécurité présentée par la Commission européenne a pour objectif général de mettre sur le marché intérieur des produits matériels et logiciels plus sûrs. La Commission concrétise les objectifs de l'acte législatif sous la forme de 4 mesures :  

1. Assurer que les fabricants renforcent la sécurité des produits contenant des éléments numériques dès la phase de conception et de développement et tout au long de leur cycle de vie.
2. Un cadre cohérent pour la cybersécurité sera garanti, facilitant la conformité des fabricants de matériel et de logiciels
3. La transparence des caractéristiques de sécurité des produits contenant des éléments numériques sera améliorée
4. Les entreprises et les consommateurs pourront utiliser en toute sécurité les produits contenant des éléments numériques
    

La lecture du champ d'application du Règlement permet de constater que ce domaine est très large :

"Le présent règlement s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau."

En définissant vaguement les "éléments numériques", le Règlement couvre donc aussi bien le matériel, comme les machines et les appareils IoT, que les produits purement logiciels.

Le champ d'application mentionne également des exceptions, par exemple les dispositifs médicaux visés par le Règlement (UE) 2017/745 n'entrent pas dans le champ d'application de l'acte juridique prévu.

L'acte juridique règle également la future interaction avec le règlement délégué 2022/30, qui exige déjà exigences de sécurité pour les équipements connectés à Internet au sens de la équipements radioélectriques 2014/53/UE. Bruxelles a ainsi annoncé que, pour éviter les chevauchements, le Règlement 2022/30 serait soit abrogé, soit simplement complété.
 

A l'instar des textes législatifs européens précédents (p. ex. la directive sur les machines ou la directive sur la basse tension), le Cyber Resiliance Act prévoit également une procédure d'évaluation de la conformité.

L'Appréciation du risque cybernétique constitue le cœur de la procédure. Ainsi, le projet prévoit à l'article 13, paragraphe 2 :

" (...) les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et tiennent compte des résultats de cette évaluation au cours des phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit comportant des éléments numériques, en vue de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d'en réduire au minimum leurs répercussions, y compris en ce qui concerne la santé et la sécurité des utilisateurs."

Selon la criticité des produits, la procédure d'évaluation de la conformité distingue entre une autocertification et deux procédures nécessitant l'intervention d'organismes notifiés. Pour plus de détails, voir Factsheet sur la Cyber Resiliance Act (en anglais).

Les dispositions de l'annexe VII, paragraphe 2, du Règlement sont à notre avis particulièrement remarquables pour les fabricants. Le document cite ici différents aspects (conception, développement, production, analyse des vulnérabilités) comme contenus de la documentation technique. Cela signifie que dans le processus de développement logiciel, les décisions d'architecture logicielle ainsi que les décisions relatives au processus de développement et de construction devront être documentées à l'avenir - si l'on en croit la Commission européenne. Cela signifie bien entendu un effort de documentation accru pour les entreprises. Le développement technologique rapide des outils de développement de logiciels (par exemple pour les processus de construction) placera certainement les entreprises devant des défis organisationnels maîtrisables, mais non négligeables.

Le contenu en texte intégral :

"CONTENU DE LA DOCUMENTATION TECHNIQUE

(...)

une description de la conception, du développement et de la fabrication du produit comportant des éléments numériques et des processus de gestion des vulnérabilités, y compris:

(a) les informations nécessaires sur la conception et le développement du produit comportant des éléments numériques, y compris, le cas échéant, des dessins et des schémas et/ou une description de l'architecture du système expliquant comment les composants logiciels s'appuient les uns sur les autres ou s'alimentent et s'intègrent dans le traitement global;

(b) les informations et spécifications nécessaires concernant le processus de gestion des vulnérabilités mis en place par le fabricant, en ce compris la nomenclature des logiciels, la politique coordonnée de divulgation des vulnérabilités, la preuve de la fourniture d'une adresse de contact pour le signalement des vulnérabilités et une description des solutions techniques choisies pour la distribution sécurisée des mises à jour;

(c) les informations et spécifications nécessaires concernant les processus de production et de suivi du produit comportant des éléments numériques et la validation de ces processus;"
 

L'Office fédéral allemand de la sécurité dans la technologie de l'information (BSI) propose, avec la publication de la directive technique TR-03183, une aide à l'identification des exigences du CRA pour les fabricants. Pour en savoir plus, consultez notre article technique "Directive technique sur les exigences de cyber-résilience" (en anglais).
 

Dans les mois à venir, la Commission invitera les organismes européens de normalisation, le CEN et le CENELEC, à « élaborer des normes harmonisées pour les exigences essentielles en matière de cybersécurité énoncées à l'annexe I du présent règlement » Dans le cadre d'un tel mandat de normalisation, la Commission s'efforcera de tenir compte des normes européennes et internationales existantes dans le domaine de la cybersécurité qui ont déjà été publiées ou sont en cours d'élaboration. Jusqu'à présent, un tel mandat de normalisation sur le CRA n'est disponible que sous forme de projet de document, on s'attend à ce que le « Stadardisation Request » officiel soit publié peu de temps après la publication du Cyber Resilience Act.

Voici quelques exemples de normes et de spécifications qui pourraient être harmonisées pour répondre aux exigences du CRA:

• Série de normes EN ISO/IEC 15408 parties 1-5: Sécurité de l'information, cybersécurité et protection de la vie privée - Critères d'évaluation pour la sécurité des technologies de l'information
• EN 17640: Méthode d'évaluation de la cybersécurité pour produits TIC
• EN ISO/IEC 29147: Technologies de l'information - Techniques de sécurité - Divulgation de vulnérabilité
• EN ISO/IEC 30111: Technologies de l'information - Techniques de sécurité - Processus de traitement de la vulnérabilité
• EN 303 645: Cybersécurité pour l'Internet des objets grand public
• Parties de la série de normes EN IEC 62443: Sécurité des automatismes industriels et des systèmes de commande

Au même titre que nouveau règlement machines (UE) 2023/1230, en l'absence de normes harmonisées pour les exigences de cybersécurité de l'annexe I, la Commission peut adopter des actes d'exécution établissant des spécifications communes pour les exigences techniques. Le législateur laisse cette option ouverte si les normes souhaitées ne sont pas fournies dans le délai fixé, si le mandat de normalisation n'a pas été accepté ou si le contenu des documents ne correspond pas au mandat.

Pour les fabricants de machines en particulier, les documents suivants constituent une source d'information précieuse : 

• CLC IEC/TS 63074: Sécurité des machines - Aspects liés à la sûreté relatifs à la sécurité fonctionnelle des systèmes de commande relatifs à la sécurité
• CEN ISO/TR 22100-4 : Lignes directrices pour les fabricants de machines concernant la prise en compte des aspects de sécurité informatique (cybersécurité) associés
• prEN 50742: Sécurité des machines - protection contre la corruption
   

Die NIS-2-Richtlinie gilt für Netzwerk- und Informationssysteme, die zur Bereitstellung wesentlicher und wichtiger Dienste in Schlüsselsektoren verwendet werden. So schreibt die Vorschrift Organisationen (=Betreibern) aus verschiedenen Sektoren vor sicherzustellen, dass die Netzwerke und Systeme, die sie zur Erbringung von Dienstleistungen und zur Durchführung ihrer Tätigkeiten nutzen, ein höheres Maß an Cybersicherheit erreichen. Welche Unternehmen davon direkt (als Betreiber) betroffen sind und welche Anforderungen bzw. Sanktionen die Richtlinie vorsieht haben wir im Fachbeitrag NIS-2-Richtlinie im Maschinenbau erläutert.

Der Cyber Resilience Act dagegen legt Cybersicherheitsanforderungen für Hardware- und Softwareprodukte fest, die von Unternehmen (=Herstellern) in der EU auf den Markt gebracht werden. Für Produkte, die in den Geltungsbereich des CRA fallen, müssen Hersteller Sicherheitsbewertungen durchführen, Verfahren zur Behandlung von Schwachstellen einführen und den Benutzern die erforderlichen Informationen zur Verfügung stellen.