Avec l’adoption de l’EU Cyber Resilience Act (CRA), la cybersécurité n’est plus seulement une affaire de bonnes pratiques ou de normes volontaires : elle devient une exigence juridiquement contraignante pour les fabricants de produits numériques.

Pour les entreprises qui développent des logiciels ou des systèmes connectés, le CRA introduit de nouvelles obligations en matière de conception sécurisée des produits, de gestion des vulnérabilités, de transparence et de signalement des incidents. Les organisations qui ne respectent pas ces exigences s’exposent à de lourdes sanctions : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.

Chez ALPEIN Software, nous préparons dès maintenant notre gestionnaire de mots de passe pour entreprise PassSecurium™ à satisfaire ces exigences, bien avant l’application complète du règlement.

Dans cet article, nous expliquons ce qu’est le CRA, à qui il s’applique et comment nous préparons PassSecurium™ à se conformer à ses exigences de cybersécurité.

Qu’est-ce que l’EU Cyber Resilience Act ?

Le Cyber Resilience Act (règlement (UE) 2024/2847) est un règlement européen qui fixe des exigences de cybersécurité obligatoires pour les produits comportant des éléments numériques mis à disposition sur le marché de l’UE.

Il s’agit notamment :

• des produits logiciels
• des solutions réseau et de sécurité
• des objets connectés (IoT)
• du matériel doté de logiciels embarqués
• des applications d’entreprise et des systèmes informatiques

L’objectif du CRA est de garantir que les produits vendus dans l’UE :

• sont développés selon le principe « secure by design »
• sont configurés selon le principe « secure by default »
• reçoivent régulièrement des mises à jour de sécurité
• informent de manière transparente sur les vulnérabilités

Le règlement impose des exigences de cybersécurité tout au long du cycle de vie d’un produit : du développement et de la mise sur le marché jusqu’à la gestion des vulnérabilités et à l’information des utilisateurs.

Concrètement, la cybersécurité passe du statut de recommandation à celui d’obligation légale.

À qui s’applique le CRA ?

Le CRA s’applique aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques mis à disposition sur le marché de l’UE.

Cela concerne :

• les entreprises établies dans l’UE
• les entreprises situées hors de l’UE qui vendent des produits à des clients dans l’UE

Pour les éditeurs de logiciels, le point essentiel est simple :

si votre produit est distribué ou vendu dans l’UE, le CRA s’applique.

Les éditeurs de logiciels suisses, y compris les fournisseurs de solutions de sécurité pour entreprises, doivent donc eux aussi s’y conformer dès lors qu’ils servent des clients dans l’UE.

La classification des produits dans le CRA

Le règlement classe les produits numériques en différentes catégories selon leur niveau de risque en matière de cybersécurité.

Catégorie par défaut

Environ 90 % des produits relèvent de cette catégorie.

Exemples :

• applications logicielles standard
• électronique grand public
• objets connectés à faible risque

Ces produits font en général l’objet d’une autoévaluation de la conformité.

Produits importants – Classe I

Certains produits qui jouent un rôle central pour la sécurité ou la gestion des identités sont classés comme produits importants de classe I.

En font partie, par exemple :

• les gestionnaires de mots de passe
• les navigateurs
• les solutions VPN
• les systèmes de gestion des identités
• les logiciels de gestion de réseau

PassSecurium™ relève de cette catégorie.

Cette classification reflète le fait que les gestionnaires de mots de passe stockent des identifiants sensibles et doivent donc répondre à des exigences de cybersécurité particulièrement élevées.

Les produits importants de classe I peuvent :

soit faire l’objet d’une autoévaluation fondée sur des normes harmonisées,

soit

être soumis à une évaluation de la conformité par un organisme tiers.

Produits importants – Classe II

Cette catégorie regroupe les logiciels d’infrastructure à risque plus élevé, par exemple :

• les pare-feu
• les systèmes de détection et de prévention des intrusions (IDS/IPS)
• les hyperviseurs et les environnements d’exécution de conteneurs
• les microprocesseurs et microcontrôleurs inviolables

Pour ces produits, une évaluation par un organisme tiers est obligatoire.

Produits critiques

Parmi les composants numériques critiques figurent par exemple :

• les modules de sécurité matériels (HSM)
• les cartes à puce
• les cryptoprocesseurs sécurisés

Ces produits nécessitent une certification EUCC (European Union Cybersecurity Certification Scheme on Common Criteria) avec un niveau d’assurance substantiel ou élevé.

Le calendrier de mise en œuvre du CRA

Le CRA prévoit une mise en œuvre échelonnée, qui laisse aux fabricants le temps de se préparer.

Entrée en vigueur

10 décembre 2024

Le règlement est officiellement entré en vigueur et les entreprises devraient commencer à planifier leur mise en conformité.

Activités typiques de cette phase :

• classification des produits
• analyse des écarts par rapport aux exigences du CRA
• désignation d’un responsable interne de la conformité

Signalement obligatoire des vulnérabilités

11 septembre 2026

C’est l’une des étapes les plus importantes.

Les fabricants doivent être en mesure :

• de signaler les vulnérabilités activement exploitées
• d’informer les autorités via la plateforme de signalement de l’ENISA
• de fournir des rapports d’incident structurés

Application complète

11 décembre 2027

À partir de cette date :

• toutes les exigences essentielles de cybersécurité doivent être remplies
• la documentation technique doit être complète
• les évaluations de la conformité doivent être achevées
• le marquage CE doit être apposé
• une déclaration UE de conformité doit être publiée

Les exigences essentielles de cybersécurité

Le CRA définit les exigences essentielles de cybersécurité à l’annexe I. Elles constituent le cœur du règlement et s’appliquent également aux produits logiciels tels que les gestionnaires de mots de passe.

Voici quelques-uns des principes les plus importants.

Secure by design et secure by default

Les produits doivent être développés en faisant de la cybersécurité un principe architectural central.

Pour PassSecurium™, cela implique notamment :

• une architecture de sécurité fondée sur les risques
• des configurations par défaut renforcées
• des mécanismes d’authentification forte
• un stockage sécurisé des identifiants

Les utilisateurs ne devraient pas avoir à activer des paramètres de sécurité supplémentaires pour obtenir une configuration sûre.

Aucune vulnérabilité exploitable connue

Les produits ne doivent pas être mis sur le marché avec des vulnérabilités exploitables connues.

Cela suppose :

• des contrôles de sécurité avant chaque publication
• des tests de vulnérabilité
• des processus de publication maîtrisés

Contrôle d’accès

Les produits doivent empêcher tout accès non autorisé grâce à des mécanismes d’authentification et d’autorisation appropriés.

Pour un gestionnaire de mots de passe, cela signifie par exemple :

• l’authentification multifacteur
• le contrôle d’accès basé sur les rôles
• des modèles d’accès fondés sur le moindre privilège
• une intégration sécurisée avec les fournisseurs d’identité

Confidentialité, intégrité et disponibilité

Les produits doivent garantir la protection des données par :

• la confidentialité, grâce au chiffrement
• l’intégrité, grâce à la protection contre les manipulations
• la disponibilité, grâce à une architecture système résiliente

Réduction de la surface d’attaque

Le CRA exige que les produits limitent les interfaces superflues et les points d’accès externes.

Cela comprend :

• la restriction des interfaces externes
• la réduction au minimum des services exposés
• un contrôle rigoureux des API

Journalisation et surveillance de la sécurité

Les produits doivent enregistrer les événements pertinents pour la sécurité afin de permettre la surveillance et l’analyse des incidents.

Pour les produits d’entreprise comme les gestionnaires de mots de passe, la journalisation est essentielle pour :

• l’auditabilité
• les enquêtes sur les incidents
• la preuve de conformité

Mécanismes de mise à jour sécurisés

Les fabricants doivent fournir des mécanismes permettant de distribuer les mises à jour de sécurité de manière sûre.

Cela inclut :

• la vérification de l’intégrité des mises à jour
• une distribution authentifiée des mises à jour
• des fonctions de retour arrière (rollback)

Exigences relatives à la gestion des vulnérabilités

L’annexe I définit également des exigences relatives au traitement des vulnérabilités.

Nomenclature logicielle (SBOM, Software Bill of Materials)

Les fabricants doivent tenir un inventaire lisible par machine des composants logiciels. Les SBOM renforcent la transparence de la chaîne d’approvisionnement logicielle et permettent d’identifier plus rapidement les composants vulnérables.

Correction des vulnérabilités

Les vulnérabilités doivent être :

• identifiées
• évaluées
• corrigées sans retard injustifié

Les mises à jour de sécurité doivent être mises à la disposition des utilisateurs concernés.

Divulgation coordonnée des vulnérabilités

Les fabricants doivent mettre en place un processus public de signalement des vulnérabilités.

Cela comprend :

• un point de contact public pour le signalement des vulnérabilités
• des processus internes documentés
• des procédures de divulgation responsable

Signalement des incidents et des vulnérabilités

Les fabricants doivent signaler les vulnérabilités activement exploitées via la plateforme unique de signalement du CRA gérée par l’ENISA.

Cela permet une coordination transfrontalière plus rapide des mesures de cyberdéfense.

Normes facilitant la conformité au CRA

Le CRA permet aux fabricants de démontrer le respect des exigences essentielles de cybersécurité au moyen de normes européennes harmonisées (article 27).

Tant que des normes harmonisées spécifiques au CRA n’ont pas été officiellement publiées, des normes internationales reconnues peuvent servir de cadres de référence, par exemple :

• IEC 62443 (cycle de vie du développement sécurisé des produits)
• ISO/IEC 27001 (systèmes de management de la sécurité de l’information)
• ISO 31000 (management du risque)
• ISO/IEC 29147 et 30111 (divulgation et traitement des vulnérabilités)

Le respect des normes harmonisées peut fonder une présomption de conformité au sens du règlement.

Une perspective suisse

Bien que le CRA soit un règlement de l’UE, il a des effets directs sur les éditeurs de logiciels suisses.

Dès qu’un produit est proposé sur le marché de l’UE, son fabricant doit satisfaire aux exigences du CRA.

Pour les entreprises suisses, il en résulte une combinaison intéressante :

• un cadre juridique et d’hébergement suisse
• la conformité à la réglementation de l’UE

PassSecurium™ est exploité dans un centre de données suisse, ce qui offre les avantages suivants :

• un cadre de compétence juridique clair
• des standards élevés de protection des données
• l’indépendance vis-à-vis des infrastructures de cloud public des hyperscalers

Dans le même temps, la conformité au CRA garantit la compatibilité avec l’environnement réglementaire de l’UE.

Les fournisseurs suisses peuvent ainsi conjuguer souveraineté numérique et conformité réglementaire européenne.

Notre feuille de route de préparation au CRA

La préparation à la conformité au CRA est un processus pluriannuel.

Notre feuille de route interne comprend plusieurs étapes clés.

Phase 1 – Planification de la conformité

• désignation d’un responsable de la conformité au CRA
• inventaire des produits et des composants
• classification des produits selon les catégories du CRA
• analyse des écarts par rapport à l’annexe I

Phase 2 – Infrastructure de sécurité

• mise en place de la génération des SBOM
• définition de processus de suivi des vulnérabilités
• élaboration de procédures de signalement des incidents
• préparation de la documentation technique

Phase 3 – Signalement et tests

• inscription sur la plateforme de signalement de l’ENISA
• mise en place du signalement des vulnérabilités sous 24 heures
• tests des processus de signalement
• mise en place de processus de divulgation coordonnée

Phase 4 – Évaluation de la conformité

• choix des organismes d’évaluation de la conformité appropriés
• finalisation de la documentation technique
• réalisation des tests de sécurité finaux
• préparation du marquage CE et de la déclaration UE de conformité

La date limite de mise en conformité est le 11 décembre 2027.

Conclusion

Le Cyber Resilience Act marque un tournant fondamental dans la réglementation de la cybersécurité en Europe.

Au lieu de normes volontaires, le CRA introduit des exigences de sécurité contraignantes pour les produits numériques.

Pour les fournisseurs de solutions de cybersécurité, ce règlement réaffirme un principe qui devrait déjà s’appliquer aujourd’hui :

la sécurité doit être intégrée à l’ensemble du cycle de vie du produit, de l’architecture et du développement jusqu’à la gestion des vulnérabilités et à la transparence.

Chez ALPEIN Software, nous préparons PassSecurium™ à la conformité au CRA grâce à une stratégie de mise en œuvre structurée, alignée sur les normes de sécurité internationales.

Notre objectif n’est pas seulement la conformité réglementaire, mais aussi un haut niveau de sécurité, de transparence et de confiance pour nos clients en Suisse et dans toute l’Europe.

Sources :

https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act