Vos produits sont-ils prêts pour le règlement européen sur la cyberrésilience ?

L'évaluation des risques doit partir de la destination prévue, de l'utilisation prévisible et des conditions d'utilisation. La prEN 40000-1-2 §6.2 liste les éléments de contexte.

Une évaluation documentée des risques est obligatoire. Elle fait partie de la documentation technique et doit orienter la planification, la conception, le développement, la production, la livraison et la maintenance.

Les 13 exigences portent sur les vulnérabilités connues, la configuration sécurisée par défaut, les mises à jour de sécurité, le contrôle d'accès, la confidentialité, l'intégrité, la minimisation des données, la disponibilité, l'impact sur d'autres réseaux, la surface d'attaque, l'atténuation des exploits, la journalisation et la suppression sécurisée des données. Toute exigence que vous écartez doit être justifiée par écrit.

L'évaluation doit rester à jour pendant toute la période d'assistance, y compris pour les vulnérabilités et les informations de tiers dont vous avez connaissance.

Les produits doivent être conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité adapté aux risques. Le CRA ne dit pas comment ; la prEN 40000-1-2 §7 décrit les activités de cycle de vie attendues.

Aucune vulnérabilité exploitable connue lors de la mise sur le marché, ainsi que des tests et revues de sécurité efficaces et réguliers.

Une configuration sécurisée par défaut avec possibilité de réinitialisation, et une surface d'attaque limitée, interfaces externes comprises. Le Secure by Design and Default Playbook de l'ENISA donne des repères pratiques.

Mises à jour de sécurité automatiques par défaut lorsque c'est applicable, avec désactivation et report possibles ; correctifs de sécurité séparés des mises à jour fonctionnelles lorsque c'est techniquement faisable ; distribution sécurisée.

Due diligence sur tous les composants tiers, open source compris. Si vous trouvez une vulnérabilité dans un composant, vous devez la signaler au mainteneur et partager votre correctif.

Le SBOM est obligatoire. Vous n'êtes pas tenu de le publier, mais les autorités de surveillance du marché peuvent le demander (annexe VII(8)).

Les vulnérabilités doivent être corrigées sans délai pendant toute la période d'assistance, ce qui suppose de savoir quand une nouvelle CVE touche une version livrée.

Une politique CVD et un point de contact unique sont obligatoires, et les vulnérabilités corrigées doivent être rendues publiques avec leur gravité et des instructions de remédiation.

Au moins cinq ans, sauf si la durée d'utilisation prévue du produit est plus courte. La date de fin doit être claire à l'achat, et chaque mise à jour de sécurité reste disponible 10 ans ou jusqu'à la fin de la période d'assistance, la durée la plus longue étant retenue.

S'applique depuis le 11 septembre 2026, y compris aux produits déjà sur le marché. Les notifications passent par la plateforme unique de signalement de l'ENISA. Le rapport final est dû 14 jours après la disponibilité d'un correctif (vulnérabilités) ou un mois après la notification (incidents).

Le délai de 24 heures court dès que vous avez connaissance du problème, week-end compris. L'art. 14(5) définit quand un incident est considéré comme grave.

Pour la plupart des produits, la procédure de contrôle interne (module A) suffit. Les produits de classe I ne peuvent l'utiliser que s'ils appliquent intégralement des normes harmonisées ; les produits de classe II et critiques nécessitent un organisme notifié ou une certification.

Requise avant la mise sur le marché, avec la déclaration UE de conformité, et à conserver au moins 10 ans.

Informations obligatoires pour l'utilisateur, disponibles au moins 10 ans.