Cyber Resilience Act (CRA)

Le Cyber Resilience Act (CRA) est un règlement de l’Union européenne qui fixe des exigences obligatoires en matière de cybersécurité pour tous les produits comportant des éléments numériques (matériels et logiciels) vendus sur le marché de l’UE. Il vise à garantir que ces produits maintiennent un niveau élevé de sécurité tout au long de leur cycle de vie.

Le CRA s’applique à tous les produits comportant des éléments numériques, y compris le matériel connecté (p. ex. smartphones, équipements IoT, routeurs) et les logiciels (p. ex. systèmes d’exploitation, applications, bibliothèques logicielles), dès lors qu’ils peuvent se connecter directement ou indirectement à un équipement ou à un réseau. En sont exclus certains produits déjà couverts par d’autres réglementations (comme les équipements médicaux et les automobiles), ainsi que les logiciels open source développés à des fins non commerciales. La gamme d’équipements de communication industrielle de Moxa relève du champ d’application du CRA et couvre des catégories clés avec des routeurs de sécurité industriels, des commutateurs Ethernet, des serveurs de ports série et le logiciel d’administration de réseau.

Les fabricants doivent effectuer une évaluation des risques de cybersécurité avant la mise sur le marché d’un produit, garantir que le produit répond aux exigences essentielles de cybersécurité et fournir des mises à jour de sécurité ainsi qu’un traitement des vulnérabilités tout au long du cycle de vie. Ils doivent également préparer la documentation technique, réaliser une évaluation de conformité, apposer le marquage CE et signaler aux autorités compétentes les vulnérabilités exploitées ou les incidents graves.

Les normes harmonisées du CRA sont des normes européennes élaborées par des organismes européens de normalisation reconnus (CEN, CENELEC et ETSI), spécifiquement à la demande de la Commission européenne. Elles sont essentielles pour la mise en œuvre du CRA, car elles traduisent les exigences essentielles de cybersécurité énoncées dans le règlement,  en spécifications techniques détaillées. Les travaux de normalisation sont en cours, ils s’appuient sur des normes internationales et européennes existantes. La disponibilité des normes horizontales est attendue pour août 2026 et celle des normes verticales pour octobre 2026.  (Source : www.cencenelec.eu)

Les fabricants doivent signaler les vulnérabilités et incidents à partir du 11 septembre 2026, toutes les autres exigences du CRA (y compris la conformité pré-commercialisation ) s’appliquent au 11 décembre 2027.

Les entreprises s’exposent à de lourdes amendes si elles ne respectent pas le CRA. Pour les infractions les plus graves, les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé s’appliquant. Des amendes moindres s’appliquent aux autres violations.

Le CRA et la directive NIS2 visent toutes deux à renforcer la cybersécurité en Europe, mais leurs priorités diffèrent. La NIS2 met l’accent sur la sécurité des réseaux et des systèmes d’information pour les infrastructures critiques et les fournisseurs de services essentiels. Le CRA s’attache à garantir la sécurité des produits numériques eux-mêmes en intégrant les aspects liés à la sécurité dès la phase de conception.

Une nomenclature logicielle (ou SBOM pour Software Bill of Materials) s’apparente à une liste   pour les logiciels ; elle détaille tous les composants logiciels et bibliothèques utilisés dans un produit. Le CRA exige que les fabricants créent une nomenclature logicielle pour faciliter le traitement des vulnérabilités, sans en imposer pour l’instant sa publication. La nomenclature logicielle complète doit être mise à la disposition des organismes notifiés et des autorités de surveillance du marché sur simple demande afin de faciliter l’application du règlement.