Cyber Resilience Act (CRA)

Le Cyber Resilience Act (CRA) de l’UE est un règlement de l’Union européenne qui établit des exigences de cybersécurité obligatoires pour tous les produits comportant des éléments numériques (matériels comme logiciels) vendus sur le marché de l’UE. Il vise à garantir que ces produits conservent un niveau de sécurité élevé tout au long de leur cycle de vie en imposant aux fabricants de :
• intégrer la sécurité à toutes les étapes du cycle de vie du produit, y compris la conception, le développement, la livraison et la maintenance ;
• appliquer les principes de sécurité dès la conception et de sécurité par défaut (secure-by-design et secure-by-default) ;
• assurer le signalement des vulnérabilités et la gestion des risques de cybersécurité ;
• fournir des mises à jour et des correctifs après la livraison ;
• fournir une documentation sur le durcissement de la sécurité des produits.

Le CRA s’applique à tous les produits comportant des éléments numériques, y compris le matériel connecté (p. ex. smartphones, équipements IoT, routeurs) et les logiciels (p. ex. systèmes d’exploitation, applications, bibliothèques logicielles), dès lors qu’ils peuvent se connecter directement ou indirectement à un équipement ou à un réseau. En sont exclus certains produits déjà couverts par d’autres réglementations (comme les équipements médicaux et les automobiles), ainsi que les logiciels open source développés à des fins non commerciales. La gamme d’équipements de communication industrielle de Moxa relève du champ d’application du CRA et couvre des catégories clés avec des routeurs de sécurité industriels, des commutateurs Ethernet, des serveurs de ports série et le logiciel d’administration de réseau.

Les fabricants doivent effectuer une évaluation des risques de cybersécurité avant la mise sur le marché d’un produit, garantir que le produit répond aux exigences essentielles de cybersécurité et fournir des mises à jour de sécurité ainsi qu’un traitement des vulnérabilités tout au long du cycle de vie. Ils doivent également préparer la documentation technique, réaliser une évaluation de conformité, apposer le marquage CE et signaler aux autorités compétentes les vulnérabilités exploitées ou les incidents graves.

Les normes harmonisées du CRA sont des normes européennes élaborées par les organisations européennes de normalisation (OEN) reconnues (CEN, CENELEC et ETSI), à la demande expresse de la Commission européenne. Ces normes sont essentielles à la mise en œuvre du Cyber Resilience Act (CRA), car elles traduisent les exigences essentielles de cybersécurité définies par le règlement en spécifications techniques détaillées. Les travaux de normalisation sont en cours et s’appuient sur les normes internationales et européennes existantes. Les normes horizontales devraient être disponibles d’ici août 2026, tandis que les normes horizontales spécifiques à la sécurité seront publiées en octobre 2027, et les normes verticales d’ici octobre 2026. (Source : www.cencenelec.eu)

Les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves à partir du 11 septembre 2026 ; toutes les autres exigences du CRA (y compris la conformité avant la mise sur le marché) s’appliquent à compter du 11 décembre 2027.

Les entreprises s’exposent à de lourdes amendes si elles ne respectent pas le CRA. Pour les infractions les plus graves, les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé s’appliquant. Des amendes moindres s’appliquent aux autres violations.

Le CRA et la directive NIS2 visent toutes deux à renforcer la cybersécurité en Europe, mais leurs priorités diffèrent. La NIS2 met l’accent sur la sécurité des réseaux et des systèmes d’information pour les infrastructures critiques et les fournisseurs de services essentiels. Le CRA s’attache à garantir la sécurité des produits numériques eux-mêmes en intégrant les aspects liés à la sécurité dès la phase de conception.

Une nomenclature logicielle (ou SBOM pour Software Bill of Materials) s’apparente à une liste   pour les logiciels ; elle détaille tous les composants logiciels et bibliothèques utilisés dans un produit. Le CRA exige que les fabricants créent une nomenclature logicielle pour faciliter le traitement des vulnérabilités, sans en imposer pour l’instant sa publication. La nomenclature logicielle complète doit être mise à la disposition des organismes notifiés et des autorités de surveillance du marché sur simple demande afin de faciliter l’application du règlement.

L’obligation de signalement des vulnérabilités sous 24 heures prévue par le CRA fait de la gestion des vulnérabilités, jusqu’ici une pratique interne, une obligation légale qui exige une détection, une évaluation, une coordination et une réponse rapides face aux cybermenaces. Lorsqu’un fabricant a connaissance d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave affectant un produit comportant des éléments numériques, il doit le signaler dans un délai de 24 heures via la plateforme unique de déclaration du CRA.
Les entreprises qui, comme Moxa, mettent en œuvre les pratiques suivantes peuvent remplir leurs obligations de sécurité de manière fiable :
• Ingénierie de la sécurité intégrée tout au long du cycle de vie du produit
• Pratiques de divulgation coordonnée des vulnérabilités
• Gestion des incidents assurée par un PSIRT dédié et expérimenté
• Surveillance continue des vulnérabilités
• Gestion rigoureuse des SBOM
• Procédures d’escalade clairement définies
En s’associant à des fournisseurs dotés de mécanismes éprouvés de SDL, de gestion des vulnérabilités, de gestion des SBOM et de réponse aux incidents, les constructeurs de machines réduisent leurs risques de cybersécurité et simplifient leurs obligations après la mise sur le marché.