Règlement sur la cyberrésilience
Règlement (UE) 2024/2847 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques
| Titre | Règlement (UE) 2024/2847 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques |
|---|---|
| Organisation internationale |
 Union européenne |
| Type | Règlement de l'Union européenne |
| Branche | Cybersécurité |
| Adoption | |
|---|---|
| Publication | (JOUE) |
| Entrée en vigueur | |
| Application |
Lire en ligne
Règlement (UE) 2024/2847 sur EUR-Lex
Le règlement (UE) 2024/2847 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques, dit règlement sur la cyberrésilience ou CRA (de l'anglais « Cyber Resilience Act »), est un règlement européen adopté le [1].
Il vise à renforcer la cybersécurité des produits comportant des éléments numériques commercialisés dans l'Union européenne. Il introduit des exigences de sécurité obligatoires pour les fabricants, importateurs et distributeurs de produits matériels et logiciels.
Le règlement impose des obligations de surveillance, de transparence et de mise à jour tout au long du cycle de vie des produits. Il s'inscrit dans la stratégie européenne de cybersécurité et complète d'autres textes réglementaires comme la directive NIS 2, le règlement sur les services numériques (DSA) et le règlement sur les marchés numériques (DMA)[2].
Entré en vigueur le [3], le CRA s'appliquera principalement à partir du , avec certaines obligations spécifiques applicables dès le [3].
Contexte
Le CRA s'inscrit dans la stratégie européenne visant à accroître la sécurité du marché numérique européen. Ce règlement répond aux préoccupations croissantes concernant les vulnérabilités des produits numériques et leur exploitation par des acteurs malveillants[2].
Selon l'Agence nationale de la sécurité des systèmes d'information (ANSSI), le CRA constitue l'un des « piliers réglementaires » appelés à structurer durablement la cybersécurité européenne[4].
Le règlement établit un cadre harmonisé au niveau européen pour garantir un niveau minimal de sécurité pour tous les produits mis sur le marché. Contrairement aux directives qui nécessitent une transposition nationale, le CRA s'applique de manière uniforme dans l'ensemble des États membres de l'Union européenne[2].
Objectifs
Le règlement poursuit quatre objectifs principaux[2] :
- améliorer la sécurité dès la conception (security by design) pour tous les produits numériques ;
- imposer un cycle de vie sécurisé incluant les mises à jour et corrections de vulnérabilités ;
- renforcer la transparence, notamment sur les composants logiciels utilisés ;
- harmoniser les obligations de cybersécurité entre les États membres de l'Union européenne.
L'objectif central du CRA est d'imposer une approche où la cybersécurité est intégrée dès les premières phases de développement, et non ajoutée comme une couche supplémentaire après coup[2].
Champ d'application
Produits concernés
Le règlement s'applique à tout produit comportant des éléments numériques, c'est-à-dire tout matériel ou logiciel capable de traiter des données numériques[2]. Cela inclut notamment :
- les produits matériels comportant des éléments numériques (routeurs, caméras IP, équipements industriels) ;
- les logiciels distribués au sein de l'Union européenne ;
- les systèmes embarqués, objets connectés, appareils IoT grand public et industriels ;
- les systèmes de contrôle-commande (PLC, SCADA, DCS) ;
- les composants de cybersécurité eux-mêmes.
Le règlement couvre l'ensemble du cycle de vie du produit, de sa conception jusqu'à sa mise hors service, en passant par sa distribution et son utilisation[2].
Classification des produits
Le CRA établit une classification des produits en fonction de leur criticité, avec des exigences et procédures d'évaluation différenciées[2] :
Les produits standards font l'objet d'une auto-évaluation de conformité par le fabricant. Les produits de Classe I (importants) regroupent certains produits de gestion d'identité, de contrôle d'accès et de réseaux privés virtuels, nécessitant une auto-évaluation avec respect de normes harmonisées. Les produits de Classe II (importants) incluent notamment les systèmes d'exploitation et les microprocesseurs sécurisés, requérant un examen par un organisme notifié. Les produits critiques peuvent être soumis à un schéma européen de certification cybersécurité[2].
Exclusions
Certains produits sont exclus du champ d'application du CRA, notamment les dispositifs médicaux, l'aviation civile et les équipements marins déjà couverts par d'autres réglementations sectorielles spécifiques, ainsi que les produits de sécurité nationale, de défense ou traitant des informations classifiées[5].
Exigences et obligations
Exigences essentielles de cybersécurité
Le CRA impose aux acteurs économiques plusieurs exigences essentielles définies dans son Annexe I[2], notamment :
- une évaluation des risques de cybersécurité basée sur les actifs critiques et menaces potentielles ;
- l'application du principe de sécurité dès la conception et de défense en profondeur ;
- la constitution d'une documentation technique complète ;
- la réduction de la surface d'attaque par la limitation des fonctionnalités inutiles ;
- la mise en place d'une gestion des vulnérabilités incluant des délais de remédiation ;
- la désignation d'un point de contact pour le signalement des failles de sécurité.
Obligations pour les fabricants
Les fabricants doivent notamment[2] :
- signaler aux autorités nationales toute vulnérabilité activement exploitée dans un délai de 24 heures pour la notification initiale, 72 heures pour les premières mesures correctives et 14 jours pour un rapport final ;
- fournir des mises à jour de sécurité sans frais supplémentaires pour les utilisateurs pendant une période minimale de 5 ans après la mise sur le marché ;
- assurer la traçabilité des composants logiciels par le biais d'une nomenclature des composants logiciels (software bill of materials ou SBOM).
L'obligation de fournir des correctifs de sécurité pendant toute la durée de vie prévue du produit constitue une nouveauté majeure du règlement[6].
Obligations pour les distributeurs et importateurs
Les importateurs et distributeurs doivent vérifier que les produits qu'ils mettent sur le marché[2] :
- portent le marquage CE ;
- sont accompagnés de la documentation obligatoire ;
- ne font pas l'objet d'alertes de sécurité non résolues.
Marquage CE et déclaration de conformité
Le marquage CE atteste de la conformité du produit aux exigences du CRA. Avant de commercialiser un produit, le fabricant doit réaliser l'évaluation de conformité selon la procédure applicable, établir la déclaration de conformité UE et apposer le marquage CE sur le produit[2].
Documentation technique
La constitution d'une documentation technique complète et maintenue à jour est obligatoire. Cette documentation doit inclure la déclaration de conformité UE, l'analyse de risques cybersécurité, la description des propriétés de sécurité du produit, les instructions d'utilisation sécurisée et les résultats des tests de sécurité. Cette documentation doit être conservée pendant 10 ans et mise à disposition des autorités sur demande[2].
Surveillance du marché
La surveillance du marché est assurée par les autorités nationales de cybersécurité des États membres. En France, l'ANSSI joue un rôle central dans l'interprétation et la mise en œuvre du règlement[7].
Ces autorités disposent de pouvoirs d'investigation et de sanction pour garantir le respect des obligations imposées par le règlement[2].
Sanctions
Le CRA prévoit un régime de sanctions dissuasif. Les amendes peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu[2]. Au-delà des amendes financières, les autorités de surveillance peuvent prendre diverses mesures administratives, notamment des injonctions de mise en conformité, le retrait du produit du marché et son rappel auprès des utilisateurs, l'interdiction de mise sur le marché, ou la publication des sanctions[2].
Calendrier d'application
Le CRA prévoit une mise en œuvre progressive[3] :
- entrée en vigueur le ;
- application des obligations de notification des vulnérabilités et incidents de sécurité à partir du ;
- application complète de toutes les exigences à partir du , y compris l'interdiction de commercialiser des produits avec des vulnérabilités exploitables connues ;
- calendrier différencié pour les produits critiques soumis à des obligations renforcées.
Le règlement prévoit un principe de non-rétroactivité : les produits déjà mis sur le marché avant le ne sont pas soumis aux exigences de conformité initiale, sauf en cas de modification substantielle[3].
Réception et critiques
Le règlement a reçu un accueil globalement favorable de la part des experts en cybersécurité, qui considèrent ce texte comme nécessaire pour renforcer la sécurité des produits numériques sur le marché européen[2].
Cependant, certaines entreprises et organisations professionnelles ont exprimé des préoccupations concernant[2] :
- le coût de mise en conformité, particulièrement pour les PME ;
- les délais de mise en œuvre jugés parfois courts ;
- la complexité de la gestion des vulnérabilités dans les chaînes logicielles, notamment pour les produits intégrant de nombreux composants tiers.
Des spécialistes français évoquent notamment le risque de surcharge administrative pour les fabricants de solutions IoT industrielles[8].
Logiciels libres et open source
La question de l'application du CRA aux logiciels libres et open source a fait l'objet de débats lors de l'élaboration du règlement. Le texte final prévoit des dispositions spécifiques pour tenir compte des particularités de ce modèle de développement. Seuls les logiciels open source développés dans le cadre d'activités commerciales sont concernés par le règlement[2]. Le CRA introduit également le concept d'« open source steward » pour clarifier les responsabilités dans l'écosystème des logiciels libres.
Articulation avec d'autres réglementations
Le CRA s'articule avec plusieurs autres textes réglementaires européens[2] :
- Le règlement Machines (UE) 2023/1230 : les deux réglementations s'appliquent de manière complémentaire pour les fabricants de machines, le Règlement Machines couvrant la sécurité fonctionnelle globale et le CRA tous les aspects de cybersécurité des éléments numériques ;
- La directive SRI 2 : coordination des mesures organisationnelles et techniques pour les opérateurs critiques ;
- Les normes CEI 62443 : référentiel technique de référence pour la cybersécurité industrielle, reconnu comme base pour la conformité CRA.
Notes et références
- ↑ Règlement européen (UE) 2024/2847 sur le site EUR-Lex.
- 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 Akenatech, « Présentation du Cyber Resilience Act (CRA) », (consulté le )
- 1 2 3 4 « Adoption du Cyber Resilience Act : qui est concerné ? », sur DLA Piper, (consulté le )
- ↑ « Enjeux de cybersécurité et cadre réglementaire européen », sur anssi.gouv.fr, (consulté le )
- ↑ « Le Cyber Resilience Act : une réglementation pour renforcer la sécurité numérique des produits », sur Portail Qualité Luxembourg, (consulté le )
- ↑ « Cyber Resilience Act : ce que change réellement le nouveau règlement européen », Next INpact,
- ↑ « Réglementation et contrôle des produits numériques », sur anssi.gouv.fr, (consulté le )
- ↑ Stormshield, « Analyse : implications du Cyber Resilience Act pour les fournisseurs de solutions industrielles », (consulté le )
Voir aussi
Articles connexes
- Cybersécurité - Agence de l'Union européenne pour la cybersécurité
- Règlement général sur la protection des données du
- Règlement sur les marchés numériques du
- Règlement sur les services numériques du
- Directive SRI 2 du
- Marquage CE
- Internet des objets
- Secure by design (en) (sécurité dès la conception)
- CEI 62443
Liens externes
Textes législatifs européens
- Texte concerné
- Textes modifiés par le règlement (UE) 2024/2847
- « Règlement (UE) no 168/2013 du Parlement européen et du Conseil du 15 janvier 2013 relatif à la réception et à la surveillance du marché des véhicules à deux ou trois roues et des quadricycles », EUR-Lex (consulté le ).
- « Règlement (UE) 2019/1020 du Parlement européen et du Conseil du 20 juin 2019 sur la surveillance du marché et la conformité des produits, et modifiant la directive 2004/42/CE et les règlements (CE) no 765/2008 et (UE) no 305/2011 », EUR-Lex (consulté le ).
- « Directive (UE) 2020/1828 du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE », EUR-Lex (consulté le ).
Autres liens
- (en) « Cyber Resilience Act », sur Commission européenne
- « Le Cyber Resilience Act », sur ANSSI
- « Présentation du Cyber Resilience Act (CRA) », sur Akenatech
Portail du droit 
Portail de l’informatique 
Portail de la sécurité de l’information 
Portail de la sécurité des systèmes d'information _Dec_2024_(2).png)
Portail des années 2020 - Portail de l’Union européenne