Table of Contents
Alors que la directive NIS2 impose aux entités essentielles et importantes d’atteindre un certain niveau de cybersécurité au niveau organisationnel, le Cyber Resilience Act (CRA) introduit, en complément, des exigences de cybersécurité au niveau des produits.
Les produits comportant des éléments numériques (PDE) doivent donc satisfaire à des exigences minimales spécifiques en matière de cybersécurité au titre du CRA. Dans ce blog, nous expliquons ce que cela signifie.
Points clés
- Le CRA fait de la cybersécurité une exigence légale applicable aux produits. Les produits comportant des éléments numériques doivent être conçus, maintenus et pris en charge de manière sécurisée tout au long de leur cycle de vie afin de pouvoir rester sur le marché de l’Union européenne.
- Le rôle de fabricant est déterminé par la position dans la chaîne d’approvisionnement, et non par l’entité qui a développé le logiciel. Les organisations qui commercialisent des produits sous leur propre nom ou qui intègrent des logiciels tiers peuvent être juridiquement considérées comme fabricants et assument les obligations correspondantes.
- Les contrats jouent un rôle important dans la mise en œuvre de la conformité au CRA. Les fabricants restent légalement responsables, mais les contrats déterminent la manière dont la gestion des vulnérabilités, les mises à jour et la coopération avec les fournisseurs sont organisées et mises en œuvre.
- La préparation doit commencer dès maintenant, et non en 2027. Les organisations doivent déjà revoir leur chaîne d’approvisionnement, leurs contrats et leurs rôles afin de pouvoir respecter les obligations du CRA lorsque la réglementation sera pleinement applicable.
1. Pourquoi avons-nous besoin d’exigences de cybersécurité pour les produits ?
La nécessité d’imposer des exigences de cybersécurité aux produits comportant des éléments numériques (ci-après PDE ou produits) peut être illustrée par un exemple simple.
Imaginez un fabricant qui met sur le marché un système de contrôle d’accès intelligent permettant de déterminer qui peut entrer dans un immeuble de bureaux. Le matériel et le logiciel fonctionnent parfaitement. 6 mois plus tard, un pirate informatique découvre toutefois une vulnérabilité dans l’un des composants logiciels du système. En exploitant cette vulnérabilité, il peut accéder à l’immeuble. Le composant logiciel vulnérable n’a pas été développé par le fabricant, mais par l’un de ses fournisseurs.
Un système de contrôle d’accès vulnérable constitue un risque pour le client du fabricant, c’est-à-dire l’utilisateur du système. Il apparaît que certains clients utilisent ce système non seulement pour contrôler l’accès aux bureaux, mais également pour des salles serveurs et des installations industrielles.
Cette situation soulève plusieurs questions délicates :
- Qui est responsable de la correction de la vulnérabilité (le fabricant ou le fournisseur du composant logiciel vulnérable) ?
- Les clients doivent-ils être informés de la vulnérabilité ?
- Si les clients doivent être informés, qui s’en charge ?
- Qui supporte les coûts liés à la correction ?
- Qui est responsable des éventuels dommages causés ?
Jusqu’à récemment, la réponse à ces questions relevait principalement de la liberté contractuelle. La répartition des risques dépendait souvent du pouvoir de négociation des parties. Le Cyber Resilience Act (CRA) change cette approche.
Cet exemple n’est pas isolé. Outre les vulnérabilités, il est parfois également incertain pendant combien de temps un fabricant assurera le support d’un produit ou à quelle fréquence des mises à jour de sécurité seront fournies.
Le CRA répond à ces problématiques en imposant aux fabricants de garantir la cybersécurité de leurs produits tout au long de leur cycle de vie. Cela comprend notamment :
- la conception sécurisée,
- la gestion des vulnérabilités,
- les mises à jour de sécurité,
- la notification des incidents.
En résumé, une cybersécurité adéquate constitue désormais une condition préalable à la mise sur le marché d’un produit dans l’Union européenne.
2. Que couvre le CRA ?
Tous les produits ne sont pas soumis aux exigences de cybersécurité du CRA. Le règlement s’applique uniquement aux produits comportant des éléments numériques qui sont mis à disposition sur le marché européen et qui, directement ou via l’appareil sur lequel ils fonctionnent, peuvent échanger des données avec d’autres appareils ou réseaux.
Mais que sont les produits comportant des éléments numériques au sens du CRA ? Il s’agit aussi bien de produits matériels que logiciels, y compris des composants logiciels mis séparément sur le marché, qui disposent d’une connexion directe ou indirecte à des réseaux ou à d’autres appareils. On peut penser au système de contrôle d’accès intelligent mentionné ci-dessus.
Un produit entièrement hors ligne, sans aucune capacité de connectivité, ne relève en principe pas du champ d’application du CRA.
3. À partir de quand le CRA est-il applicable ?
Le CRA est entré en vigueur en décembre 2024, mais ses obligations s’appliquent de manière progressive.
- La première échéance importante est fixée à septembre 2026. À partir de cette date, les fabricants devront notifier les vulnérabilités activement exploitées et les incidents graves liés à leurs produits.
- Le CRA sera pleinement applicable à partir de décembre 2027. À compter de cette date, tous les produits comportant des éléments numériques mis sur le marché de l’UE devront satisfaire aux exigences de cybersécurité prévues par le règlement.
Même si cette période transitoire peut sembler longue, les contrats sont souvent conclus pour des durées plus importantes. De nombreux contrats fournisseurs signés aujourd’hui seront encore en vigueur lorsque le CRA deviendra pleinement applicable. Les organisations doivent donc dès à présent en tenir compte lors de la conclusion de nouveaux contrats.
4. À qui s’applique le CRA ?
Le CRA s’applique à tous les opérateurs économiques qui mettent sur le marché de l’Union des produits comportant des éléments numériques.
Cela inclut :
- les fabricants
- les importateurs
- les distributeurs
- les représentants autorisés
Il est important de noter que le CRA s’intéresse au rôle réel que vous exercez dans la chaîne d’approvisionnement, et non uniquement à votre qualification contractuelle. Si vous mettez un produit sur le marché sous votre propre nom ou marque, vous êtes considéré comme fabricant, même si une autre partie a développé le produit. Si vous modifiez un produit d’une manière qui affecte sa cybersécurité, vous pouvez également être qualifié juridiquement de fabricant.
Cela a des conséquences importantes pour les organisations qui :
- proposent des produits en marque blanche
- intègrent des logiciels tiers
- regroupent des logiciels tiers dans leurs propres solutions
- revendent des produits connectés sous leur propre marque
Dans ces situations, les rôles contractuels et les rôles juridiques peuvent diverger. En définitive, c’est la qualification juridique qui détermine vos obligations au titre du CRA.
5. Qui est considéré comme fabricant ?
L’une des questions les plus importantes et souvent mal comprises sous le CRA est celle de savoir qui est qualifié de fabricant. Cette qualification est déterminante, car le fabricant supporte des obligations essentielles au titre du règlement.
Le CRA définit le fabricant comme l’entité qui développe ou fabrique un produit comportant des éléments numériques, ou qui le fait concevoir, développer ou fabriquer, et qui le met sur le marché sous son propre nom ou sa propre marque. En d’autres termes, vous pouvez être considéré comme fabricant même si vous n’avez pas physiquement produit le produit.
Cela a des conséquences pratiques importantes :
- Si vous proposez un produit (par exemple un logiciel) sous votre propre marque en marque blanche, vous êtes le fabricant.
- Si vous intégrez un produit (par exemple un logiciel) tiers dans votre propre produit et le commercialisez comme une solution unique, vous êtes le fabricant.
- Si vous modifiez un produit d’une manière qui affecte sa cybersécurité, vous pouvez également être qualifié de fabricant.
Votre qualification en tant que fabricant est donc déterminante pour identifier les obligations qui vous incombent au titre du CRA.
6. Quelle est la différence entre le CRA et NIS2 ?
Le CRA et la directive NIS2 sont souvent mentionnés conjointement, mais ils régissent des aspects différents de la cybersécurité.
- La directive NIS2 vise les organisations.
Elle impose aux organisations de taille moyenne et grande dans certains secteurs de mettre en place des mesures de gouvernance, de gestion des risques et de notification des incidents en matière de cybersécurité.
- Le CRA vise les produits.
Il impose que les produits eux-mêmes soient sécurisés avant leur mise sur le marché.
Le CRA et NIS2 se complètent. Les deux cadres accordent une attention particulière à la sécurité de la chaîne d’approvisionnement. Les risques de cybersécurité peuvent se propager tout au long de la chaîne, et une vulnérabilité dans un composant peut affecter des milliers de produits en aval.
7. Quel est l’impact du CRA sur vos contrats ?
Jusqu’à présent, les clauses relatives à la cybersécurité étaient souvent formulées de manière générale ou fondées sur une approche par les risques. Des notions telles que « mesures de sécurité appropriées » ou « sécurité conforme aux standards du secteur » étaient fréquentes. Avec le CRA, de telles clauses peuvent ne plus suffire.
Les fabricants doivent notamment :
- identifier et corriger les vulnérabilités
- fournir des mises à jour de sécurité pendant tout le cycle de vie du produit
- surveiller la cybersécurité de leurs produits
- notifier les vulnérabilités et les incidents
- garantir la cybersécurité des composants intégrés
Bien que le CRA n’impose pas expressément aux fabricants de modifier leurs contrats, ses obligations ont un impact indirect sur les contrats fournisseurs (en amont) et les contrats clients (en aval). Les organisations ont donc intérêt à revoir leurs contrats existants et à aligner les nouveaux contrats sur les exigences du CRA.
En l’absence d’accords contractuels avec les fournisseurs, un fabricant peut se trouver dans l’impossibilité de respecter le CRA, par exemple si le fournisseur refuse de coopérer ou facture des coûts supplémentaires pour sa coopération. Le CRA peut ne pas s’appliquer directement au fournisseur, de sorte que les engagements contractuels constituent souvent le principal mécanisme garantissant l’assistance du fournisseur dans la mise en conformité avec le CRA (par exemple pour la correction des vulnérabilités, voir question suivante).
Un blogpost distinct approfondit les clauses contractuelles qui méritent une attention particulière à la lumière du CRA.
8. Que se passe-t-il si le produit intègre des logiciels tiers ?
Les produits modernes sont rarement composés exclusivement de logiciels développés en interne. Ils intègrent fréquemment des composants open source, des bibliothèques tierces et des modules logiciels externes.
Le CRA en tient explicitement compte. Les fabricants restent responsables de la cybersécurité du produit dans son ensemble, y compris des composants intégrés. Le CRA impose aux fabricants d’exercer une diligence raisonnable lors de l’intégration de composants tiers et de traiter les vulnérabilités sans retard injustifié au niveau du produit.
Le fait qu’une vulnérabilité provienne d’un composant tiers ne libère donc pas le fabricant de ses obligations au titre du CRA. Il est dès lors essentiel que les accords (et contrats) conclus avec les fournisseurs soient suffisamment clairs pour permettre le respect effectif de ces obligations légales.
9. Que se passe-t-il si mon produit n’est pas conforme au CRA ?
Si un produit comportant des éléments numériques ne respecte pas les exigences du CRA, les conséquences peuvent être importantes.
Les autorités de surveillance du marché peuvent intervenir. Elles peuvent exiger du fabricant qu’il mette le produit en conformité. Si la non-conformité persiste, elles peuvent restreindre ou interdire la mise à disposition du produit sur le marché, ou encore ordonner son retrait ou son rappel.
Le CRA prévoit également des amendes administratives pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.
Outre les sanctions financières, la non-conformité peut également entraîner une atteinte à la réputation et une perte de confiance de la part des clients et partenaires.
10. Que dois-je faire dès maintenant pour me conformer au CRA ?
Bien que le CRA ne devienne pleinement applicable qu’en 2027, les organisations doivent dès à présent prendre des mesures, notamment :
- Déterminer si vous êtes qualifié de fabricant, d’importateur ou de distributeur au sens du CRA.
- Identifier quels produits relèvent du champ d’application du CRA.
- Analyser votre chaîne d’approvisionnement et identifier les composants tiers.
- Clarifier les responsabilités internes en matière de sécurité des produits, d’évaluation de la conformité, de gestion des vulnérabilités et de notification des incidents.
- Réviser les contrats en amont et en aval afin d’y intégrer des dispositions relatives aux mises à jour, à la gestion des vulnérabilités et à la coopération.
- Mettre à jour vos modèles contractuels pour garantir la conformité des futurs accords au CRA.
Conclusion
La cybersécurité mérite une attention tant au niveau organisationnel qu’au niveau des produits. Alors que la directive NIS2 traite de la dimension organisationnelle, le CRA vise la cybersécurité au niveau des produits, en garantissant que ceux-ci respectent les exigences légales en matière de cybersécurité.
Le CRA impose des obligations importantes aux fabricants, notamment en matière de gestion des vulnérabilités et de fourniture de mises à jour de sécurité pendant toute la durée de vie du produit. Il redéfinit également la répartition des responsabilités au sein de la chaîne d’approvisionnement.
Les organisations ne doivent pas considérer le CRA comme un simple projet technique. Une telle approche risquerait de négliger ses implications contractuelles et de créer un risque juridique.
À l’instar de la directive NIS2, le CRA requiert une approche multidisciplinaire impliquant une coopération étroite entre les équipes juridiques et techniques.
