Sensibilisation au CRA : la cybersécurité devient une exigence produit
Le Cyber Resilience Act de l’UE, connu sous le nom de CRA, introduit des exigences de cybersécurité pour les produits comportant des éléments numériques. Il est entré en vigueur le 10 décembre 2024. Les principales obligations s’appliquent à partir du 11 décembre 2027, tandis que les obligations de signalement des vulnérabilités s’appliquent plus tôt, dès le 11 septembre 2026. (Digital Strategy)
Il s’agit d’un changement majeur pour les fabricants, éditeurs de logiciels, importateurs, distributeurs et organisations qui mettent des produits numériques sur le marché européen. La cybersécurité n’est plus seulement une responsabilité de l’IT d’une entreprise. Elle devient une obligation tout au long du cycle de vie du produit.
Le CRA impose aux organisations de penser conception sécurisée, gestion des vulnérabilités, mises à jour de sécurité, documentation, conformité, signalement des incidents et surveillance post-commercialisation. Pour les logiciels et produits connectés, cela signifie que la sécurité doit être intégrée dès la conception, puis tout au long du développement, de la mise sur le marché, de la maintenance et jusqu’à la fin de vie.
Les équipes produit devraient commencer à se préparer dès maintenant. Attendre l’approche des échéances de conformité créera une pression inutile, en particulier pour les organisations ayant des portefeuilles de produits complexes ou des logiciels anciens.
Une démarche de préparation concrète comprend le cadrage des produits, une évaluation des écarts, une revue du cycle de développement sécurisé, des processus de divulgation des vulnérabilités, des mécanismes de mise à jour, une documentation technique, une revue des dépendances fournisseurs et une responsabilité claire au niveau de la direction.
Le CRA modifie également les attentes des clients. Les acheteurs demanderont de plus en plus si les produits numériques sont sécurisés dès la conception, maintenus, corrigibles et conformes.
Message clé : Le CRA fait de la cybersécurité un élément de la qualité produit. Les produits sécurisés deviendront une attente du marché, et non plus un facteur de différenciation.
