Réflexion sur le nouveau Règlement sur la Cyber résilience de l’Union Européenne

Le CRA définit deux séries d'exigences pour les fabricants de produits comportant un composant numérique. Pour les exigences concernant les propriétés du produit, le fabricant doit :

• effectuer une évaluation des risques induits par le produit, qui doit être documentée et mise à jour afin de minimiser le risque cyber au stade du développement et pendant la maintenance du produit ;
• se conformer aux exigences essentielles de cybersécurité énoncées à l'annexe 1 du CRA et rédiger une déclaration de conformité pour le certifier ;
• fournir aux utilisateurs des informations concernant : (i) l'identification du produit (numéro de lot ou de série) ; (ii) les coordonnées du fabricant ; et (iii) la date de fin de toute période d'assistance ; et
• apposer sur le produit un marquage CE et un pictogramme ou un autre marquage indiquant le risque cyber, afin de permettre aux utilisateurs de faire un choix éclairé.

En ce qui concerne la gestion des vulnérabilités, le fabricant doit :

• corriger les vulnérabilités pendant une période d'au moins 5 ans à compter de la date de mise sur le marché du produit ; et
• notifier, par l'intermédiaire d'une plateforme de notification spécifiquement établie, le Centre de réponse aux incidents de sécurité informatique (CSIRT ou « Computer Security Incident Response Team ») compétent et l'Agence européenne de cybersécurité (ENISA) toute vulnérabilité effectivement exploitée dès qu'elle est découverte, d'abord sous la forme d'une alerte, puis sous la forme d'un rapport. La notification par le fabricant doit être faite rapidement :
  • une notification d'alerte doit être émise sans délai excessif et, en tout état de cause, dans les 24 heures suivant la découverte de la vulnérabilité ;
  • une notification de vulnérabilité doit ensuite être émise dans les 72 heures suivant la prise de connaissance de la vulnérabilité (en fournissant des informations sur la nature de l'incident ainsi que sur les mesures correctives ou d'atténuation prises ou que les utilisateurs peuvent prendre) ;
  • enfin, le fabricant doit publier un rapport final énumérant les mesures correctives prises et les informations concernant tout acteur malveillant qui a exploité ou qui exploite la vulnérabilité, au plus tard 14 jours après qu'une mesure corrective ou d'atténuation est disponible.

Les importateurs doivent vérifier, avant de mettre le produit sur le marché, que celui-ci est conforme aux exigences essentielles de cybersécurité imposées par le CRA et que le fabricant a mis en place des processus de gestion des vulnérabilités suffisant. Il doit également : (i) obtenir du fabricant un ensemble de documents attestant du respect des exigences fixées par le CRA et (ii) faire figurer ses coordonnées sur le produit, sur son emballage ou dans un document accompagnant le produit.

Les distributeurs doivent vérifier que le produit porte le marquage CE et que le fabricant et l'importateur ont respecté leurs obligations respectives au titre du CRA.

S'il existe un risque qu'un produit ne soit pas conforme aux exigences du règlement CRA, les importateurs et les distributeurs ne doivent pas mettre le produit sur le marché de l'UE et doivent en informer, dans les meilleurs délais, le fabricant du produit et les autorités compétentes en matière de surveillance du marché des États membres dans lesquels ils ont mis le produit à disposition.

Il est important de noter qu'un importateur ou un distributeur sera également considéré comme un fabricant (aux fins d’application du CRA) lorsqu'il met sur le marché un produit contenant des éléments numériques sous son nom ou sa marque ou lorsqu'il apporte une modification substantielle à un produit déjà mis sur le marché.