Cyber Resilience Act : Les fabricants du numériques sous la règle des 24 heures 

“Le CRA, c’est un peu un Big Bang chez les fabricants pour les produits numériques”, résume Gérôme Billois, associé chez Wavestone en charge de la cybersécurité et de la confiance numérique. Ce 11 septembre, le Cyber Resilience Act (CRA) entre dans les opérations. Les fabricants de logiciels, objets connectés, équipements industriels ou composants numériques vendus dans l’UE doivent signaler les vulnérabilités activement exploitées et les incidents graves. Première alerte sous 24 heures après prise de connaissance, notification sous 72 heures, puis rapport final. L’obligation frappe aussi les produits anciens. “À partir du moment où l’entreprise et ses produits sont soumis au CRA, ils vont être obligés de notifier”, insiste Claude-Étienne Armingaud, avocat en droit de l’informatique et des réseaux de communication électronique et expert du droit des données. Des gammes commercialisées depuis plusieurs années reviennent donc dans le radar. “Il y a un gros travail d’inventaire, un gros travail d’analyse, un gros travail de rétro-engineering”, détaille Michael Bittan, directeur exécutif, responsable des activités cybersécurité France et BeLux chez Accenture. Le premier défi consiste à savoir quels produits restent en circulation et ce qu’ils embarquent. 

24 heures, pas une de plus 

Les signalements passent par la Single Reporting Platform (SRP), le guichet développé et exploité par l’ENISA (European Union Agency for Cybersecurity). Dévoilé en express ce 11 septembre, la plateforme n’a toujours pas d’API. Le fabricant doit y effectuer une notification unique et sélectionne le CSIRT (Computer Security Incident Response Team) coordinateur compétent. Mais il suppose que l’entreprise ait déjà qualifié l’événement et identifié les produits touchés. “Il a vraiment fallu faire se rencontrer ces deux mondes”, explique Gérôme Billois, à propos des équipes cyber et produit. Les premières savent déjà gérer une crise informatique. Les secondes suivent un cycle de vie, des versions et des contraintes industrielles. Le CRA les oblige à parler le même langage dans un délai serré. Les grands groupes commencent à structurer des PSIRT (Product Security Incident Response Team), équipes dédiées à la sécurité des produits, en parallèle des CSIRT dédiés aux incidents informatiques. "Pour les petites entreprises, ça va être plus compliqué”, estime Michael Bittan. Une même personne peut y cumuler sécurité, conformité et gestion du produit. Le règlement impose pourtant une capacité de réaction comparable. “On peut externaliser une partie de la mécanique”, relève l'expert cybersécurité Wavestone. Le SRP centralise le signalement. Il ne résout ni le tri des alertes, ni la coordination interne. 

Quand faut-il sonner l’alarme ? 

Encore faut-il savoir ce qui mérite un signalement. Une vulnérabilité activement exploitée suppose des éléments fiables attestant une exploitation malveillante. La notion d’incident grave laisse davantage de place à l’interprétation. Le CRA prend en compte l’atteinte à la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions du produit. “On reste sur des mots où on n’a pas une définition claire”, déplore Gérôme Billois. Une panne, une compromission ou une fuite ne franchissent donc pas mécaniquement le seuil réglementaire. "On est sur une espèce d’auto-appréciation”, observe Claude-Étienne Armingaud. Sous-qualifier un événement expose à manquer une déclaration obligatoire. Une politique de déclaration systématique engorge des équipes déjà sous pression. La traçabilité de l’arbitrage devient alors centrale. “Je ne conseille pas nécessairement à mes clients d’être extrêmement conservateur. Il faut seulement que le mouvement soit documenté”, insiste-t-il. Les entreprises devront conserver les éléments ayant conduit à qualifier, ou non, un événement. Les premiers cas traités par les autorités seront scrutés pour comprendre jusqu’où elles placent la barre. 

La sous-traitance ne sous-traite pas le risque 

La faille peut pourtant naître loin du fabricant. Un logiciel embarque des bibliothèques, composants et briques issues de plusieurs fournisseurs. “Tout le monde découvre qu’un logiciel n’est pas un composant unique”, constate Gérôme Billois. Le CRA impose donc une transparence nouvelle dans les chaînes d’approvisionnement via le SBOM, inventaire des composants logiciels, obligatoire pour 2027. Sans information sur une brique tierce, impossible d’identifier rapidement les produits exposés. Les fournisseurs extra-européens compliquent encore l’équation. “Avec certains fournisseurs extra-européens, l’exercice était extrêmement compliqué”, relate l’expert Wavestone. Le sous-traitant ne devient pas pour autant responsable du CRA à la place de son client. Le fabricant conserve son obligation réglementaire et cherchera donc à imposer à ses prestataires des remontées de vulnérabilités, des informations sur les composants et des délais compatibles avec ses propres contraintes. “Il va y avoir une cascade contractuelle”, anticipe Claude-Étienne Armingaud. Le CRA risque ainsi de durcir les contrats bien au-delà des seules entreprises directement visées par le règlement. 

2027, le chantier encore mouvant 

L’entrée en vigueur du volet notification du CRA ouvre un chantier bien plus large. Les fabricants doivent désormais préparer la prochaine marche du règlement, qui imposera des exigences sur la conception sécurisée, la gestion des vulnérabilités, la documentation technique, le support et l’évaluation de conformité à partir du 11 décembre 2027. Or les investissements commencent avant que toutes les modalités aient été éprouvées sur le terrain. “Il faut éviter de faire et défaire”, averti Michael Bittan. Ce manque de visibilité complique les choix sur les produits existants, dont l’architecture et le modèle économique n’ont pas intégré ces contraintes. “Il y a des discussions aujourd’hui sur arrêter certains produits”, rapporte Gérôme Billois, associé chez Wavestone. Dans certains grands groupes suivis par le cabinet, le coût de mise en conformité est déjà comparé aux revenus et aux marges des gammes concernées. Mais l’équation peut aussi jouer dans l’autre sens. Un fabricant capable d’absorber ces coûts peut transformer la conformité en élément de différenciation face à des concurrents moins armés. “La cybersécurité peut devenir un argument de vente”, estime Gérôme Billois. Le CRA pourrait ainsi faire le tri dans les catalogues autant que dans les pratiques cyber, entre produits trop coûteux à maintenir et produits dont la sécurité devient une valeur commerciale.