Loi sur la cyber-résilience (CRA)

Mise en œuvre efficace des exigences de la CRA avec Versio.io

En bref Request une démo Commencez un essai gratuit

Qu'est-ce que la loi sur la cyber-résilience ?

La loi sur la cyber-résilience (règlement (UE) 2024/2847) est la première législation à l'échelle de l'Union européenne qui fixe des exigences obligatoires en matière de cybersécurité pour les produits comportant des éléments numériques. Elle couvre pratiquement tous les produits matériels et logiciels mis sur le marché de l'Union européenne et pouvant être connectés, directement ou indirectement, à un appareil ou à un réseau – des appareils de l'Internet des objets (IoT) et des contrôleurs industriels aux Firewalls, en passant par les systèmes d'exploitation et les logiciels d'entreprise.

Alors que les directives NIS2 et DORA s’appliquent aux opérateurs du secteur des technologies de l’information, la directive CRA concerne les fabricants, les importateurs et les distributeurs de produits. Les fabricants doivent veiller à ce que leurs produits soient sécurisés dès leur conception, à ce que les vulnérabilités soient gérées tout au long de la période de support et à ce que les vulnérabilités activement exploitées et les incidents graves soient signalés. La conformité est attestée par le marquage CE ; les violations des exigences essentielles sont passibles d’une amende pouvant aller jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total.

Quelles sont les dispositions pertinentes de la CRA ?

La base juridiquement contraignante est le règlement lui-même. En ce qui concerne la mise en œuvre technique et organisationnelle, les éléments suivants sont déterminants :

Annexe I, partie I - Exigences en matière de cybersécurité liées aux caractéristiques du produit, par exemple : absence de vulnérabilités exploitables connues, configuration sécurisée par défaut, protection de l'intégrité et surfaces d'attaque limitées.
Annexe I, partie II - Exigences en matière de gestion des vulnérabilités, par exemple : la liste des composants logiciels (SBOM), la correction immédiate des vulnérabilités, des tests réguliers, la divulgation coordonnée des vulnérabilités et la distribution sécurisée des mises à jour.
Article 13 - Obligations des fabricants, notamment l'évaluation des risques liés à la cybersécurité, la diligence raisonnable concernant les composants tiers et Open Source, ainsi qu'une période de support d'au moins cinq ans en règle générale.
Article 14 - Obligations de signalement des failles activement exploitées et des incidents graves : alerte précoce dans les 24 heures, notification dans les 72 heures et rapport final.
Annexe VII - Contenu de la documentation technique, y compris l'évaluation des risques, les processus de gestion des vulnérabilités, la liste des composants logiciels (SBOM) et les informations utilisées pour déterminer la durée de prise en charge.

Des normes européennes harmonisées précisant ces exigences de manière plus détaillée sont actuellement en cours d'élaboration. En attendant leur publication, le texte du règlement reste la référence pour le tableau ci-dessous.

Calendrier de l'administration fiscale (CRA) : quelles dispositions s'appliquent et à quel moment ?

10 décembre 2024 - La CRA est entrée en vigueur.
11 juin 2026 - Les dispositions relatives à la notification des organismes d'évaluation de la conformité (chapitre IV) s'appliquent.
11 septembre 2026 - Les obligations de déclaration prévues à l'article 14 s'appliquent à tous les produits comportant des éléments numériques mis sur le marché, y compris ceux qui ont été mis sur le marché avant cette date.
11 décembre 2027 - Toutes les autres obligations restent pleinement applicables. À compter de cette date, les nouveaux produits ne pourront être mis sur le marché de l’UE que s’ils satisfont aux exigences de la CRA.

Votre outil CRA : Versio.io

La CRA exige des fabricants qu’ils sachent à tout moment quels composants sont présents dans chaque version d’un produit, quelles vulnérabilités les affectent et pendant combien de temps ils sont pris en charge. Versio.io automatise précisément ce travail d’inventaire et de surveillance et fournit des preuves conformes aux exigences d’audit pour la documentation technique et à l’intention des autorités de surveillance du marché.

Les sections suivantes présentent les exigences CRA prises en charge par Versio.io. Les exigences relatives à la conception sécurisée du produit lui-même, telles que les mécanismes de chiffrement ou d'authentification, relèvent toujours de la responsabilité de votre équipe de développement produit.

Liste des composants logiciels (SBOM) et inventaire des composants

CRA : annexe I, partie II (1) ; art. 13, paragraphe 5 ; annexe VII, point 2 b) et point 8

Versio.io détecte automatiquement le matériel, les systèmes d'exploitation, les logiciels et les frameworks, ainsi que leurs versions exactes. À partir de cet inventaire, vous pouvez créer une SBOM pour chaque version de produit ou importer des SBOM fournies par vos fournisseurs. Vous disposez ainsi d'une vue d'ensemble complète et lisible par machine de tous les composants et dépendances tierces, ce qui constitue la base de la diligence raisonnable et de la gestion des vulnérabilités.

Versio.io : gestion des actifs logiciels et SBOM

CMDB Versio.io CMDB

Gestion des vulnérabilités

CRA : annexe I, partie I, point 2 a) ; annexe I, partie II, points 2 et 3 ; article 13, paragraphe 6

Versio.io compare en permanence toutes les versions des composants détectés à une base de données CVE mise à jour en temps réel. Les nouvelles vulnérabilités sont signalées immédiatement, avec indication des produits et versions concernés, et Versio.io vous recommande les versions vers lesquelles vous devriez migrer. Cela vous aide à commercialiser des produits ne présentant aucune vulnérabilité exploitable connue et à corriger sans délai les vulnérabilités pendant la période de support.

Gestion du cycle de vie et des vulnérabilités des produits Versio.io

Période de support et gestion de l'end-of-life

CRA : art. 13, al. 8 et 19 ; annexe II, point 7 ; annexe VII, point 4

Votre produit doit bénéficier de mises à jour de sécurité pendant au moins cinq ans. Cela n'est possible que si les composants qu'il contient font eux-mêmes l'objet d'une maintenance. Versio.io connaît les dates d'end-of-life de milliers de produits et vous alerte à l'avance si un composant cesse d'être pris en charge par son fabricant avant la fin de votre propre période de support. Ces informations servent également de preuve documentée lors de la détermination de la période de support.

Gestion de l'end-of-life des produits sur Versio.io

Évaluation des risques liés à la cybersécurité

CRA : art. 13, al. 2 à 4 et 7 ; annexe VII, point 3

L'administration fiscale exige une évaluation des risques documentée et mise à jour tout au long de la période de support. Versio.io recense les versions obsolètes, les vulnérabilités connues et les non-conformités de configuration en tant que risques, les pondère en fonction de leur gravité et des exigences de protection, et assure un suivi de toutes les mesures correctives de manière à garantir la traçabilité.

Gestion des risques Versio.io

Configuration sécurisée par défaut et renforcement de la sécurité

CRA : Annexe I, partie I, point 2 b) et j)

Versio.io vérifie les configurations par rapport à vos propres politiques et aux normes de renforcement de sécurité reconnues. Utilisez-le pour vérifier les systèmes de référence, les images et les appliances avant leur livraison : les services superflus, les ports ouverts et les paramètres par défaut non sécurisés sont détectés avant que le produit n'atteigne le client.

Gouvernance des tests de performance de Versio.io

Surveillance de la politique de Versio.io

Intégrité des logiciels et des configurations

CRA : annexe I, partie I, point 2 f) ; annexe I, partie II, point 7

IOS contrôle l'intégrité des fichiers binaires et des configurations à l'aide de sommes de contrôle. Toute modification non autorisée apportée aux programmes, aux bibliothèques ou aux fichiers de configuration – que ce soit dans votre environnement de compilation et de publication ou dans les installations livrées – est immédiatement détectée.

Vérification de l'intégrité des fichiers binaires avec Versio.io

Suivi des modifications et documentation technique

CRA : art. 13, al. 3, 13 et 14 ; annexe VII, point 1 b) et point 2 c)

Toute modification apportée aux versions, aux composants et aux configurations est automatiquement détectée et consignée de manière à garantir la traçabilité. Cela vous permet de prouver à tout moment quelle version de votre produit contenait quels composants et quelles vulnérabilités étaient connues à ce moment-là – même des années plus tard, car la documentation technique doit être conservée pendant au moins dix ans.

Surveillance des modifications Versio.io

Obligations de déclaration et gestion des incidents

CRA : art. 14, al. 1 à 4 et 8 ; annexe I, partie II, point 4

Le délai de 24 heures pour une alerte précoce commence à courir dès que vous prenez connaissance d’une vulnérabilité activement exploitée. Versio.io vous alerte immédiatement, crée des tickets dans votre solution ITSM et indique quels produits, versions et installations client sont concernés. L’historique complet, de la détection à la mise à jour de sécurité, est documenté de manière conforme aux exigences d’audit et fournit les informations dont vous avez besoin pour la notification et le rapport final destinés au CSIRT et à l’ENISA.

Traitement des événements et système d'alerte Versio.io

Également pertinent pour les opérateurs

La CRA profite également aux entreprises qui utilisent des produits comportant des éléments numériques : les fabricants doivent fournir des informations sur la durée de prise en charge et, le cas échéant, sur la liste des composants logiciels (SBOM). Versio.io importe ces informations, les compare à votre parc installé et surveille les vulnérabilités ainsi que les dates d'end-of-life – un élément essentiel pour la sécurité de la chaîne d'approvisionnement, conformément aux exigences des réglementations NIS2 et DORA.