Sécurité des produits numériques
Repère: CRA
De quoi s’agit-il ?
Le Cyber Resilience Act prévoit des obligations de cybersécurité pour les produits numériques couverts, dont logiciels et équipements connectés.
Pourquoi c’est utile
Les responsabilités dépendent du produit et du rôle : fabricant, importateur ou distributeur.
Ce que vous pouvez faire
Identifiez les produits et responsabilités, organisez le traitement des failles et l’inventaire des composants. Vérifiez le périmètre et le calendrier officiels.
Services utiles
Custom Software et Sovereign Code soutiennent la relecture, les inventaires et la maintenance. Workshops explique les responsabilités liées à vos produits.
Référence officielle — CRA art. 13
Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I.
— Règlement (UE) 2024/2847 (Cyber Resilience Act), Art. 13(1)
Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, et pendant la période d’assistance, les fabricants veillent à ce que les vulnérabilités de ce produit, y compris de ses composants, soient gérées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
— Règlement (UE) 2024/2847 (Cyber Resilience Act), Art. 13(8)
Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA.
— Règlement (UE) 2024/2847 (Cyber Resilience Act), Art. 14(1)
Les fabricants concernés ont des obligations de conception sûre, de traitement des failles et d’assistance. Vérifiez le produit et les dates progressives ; le signalement de l’article 14 commence à une autre date que les principales obligations produits.
Lire l’article sur EUR-Lex → · Texte officiel, cité du Journal officiel de l’UE
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.