Top départ pour le Cyber Resilience Act : Un règlement pour renforcer la cybersécurité en Europe
Le Cyber Resilience Act (CRA) entre en vigueur en tant que règlement européen, ne nécessitant pas de transposition en droit national, ce qui garantit son application uniforme dans tous les pays de l’Union européenne. Ce texte vise à établir des règles minimales de cybersécurité pour tous les produits numériques commercialisés au sein de l’Union. Selon Maître Haas, l’objectif principal du CRA est d’améliorer la résistance des entreprises européennes face aux cyberattaques, soulignant que celles-ci peinent à se protéger contre les vulnérabilités présentes dans divers équipements et applications.
Les sanctions prévues par le règlement peuvent atteindre jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial en cas de récidive. Cette approche vise à inciter les fournisseurs à sécuriser leurs produits de manière rigoureuse. Maître Haas souligne également que la notion de résilience est liée à la protection des données personnelles, notant que 80 % des sanctions pourraient également impliquer des manquements au Règlement Général sur la Protection des Données (RGPD).
Le texte a été élaboré en concertation avec plusieurs organisations professionnelles, y compris le Cesin en France. Alain Bouillé, directeur général du Cesin, fait état d’une surcharge de travail pour les responsables de la sécurité des systèmes d’information (RSSI), qui doivent gérer un nombre croissant de vulnérabilités. Il appelle à des solutions pour alléger cette charge, notamment en intégrant la sécurité dès la conception des produits.
Le CRA impose plusieurs échéances. Il sera pleinement opérationnel 36 mois après son adoption, soit le 11 décembre 2027, bien que l’obligation de signalement des incidents graves prendra effet dès le 11 septembre 2026. Les produits commercialisés avant cette date ne seront pas soumis au règlement, sauf en cas de mise à jour significative.
Les produits concernés sont classés en quatre catégories, allant des produits grand public aux dispositifs critiques, tels que les équipements de sécurité. Les critères d’évaluation varient, mais tous les produits devront être auto-évalués et, dans certains cas, évalués par des organismes agréés.
Pour être commercialisés, les produits devront satisfaire à 13 exigences de base, incluant l’absence de vulnérabilités exploitables, une configuration sécurisée par défaut, et la fourniture de mises à jour de sécurité. Les éditeurs et fabricants devront également signaler les incidents de sécurité dans un délai de 24 heures et fournir des mises à jour pendant au moins cinq ans.
Ce règlement représente un défi majeur pour de nombreux éditeurs de services, en particulier les plus petits, qui manquent souvent des ressources nécessaires pour se conformer à ces nouvelles exigences. Les industriels, quant à eux, devront rapidement adapter leurs équipes pour répondre à ces normes.
Source : Maître Haas, Cesin
