Évaluation des risques de cybersécurité selon le CRA

Rôle de l’évaluation des risques

Aux fins du respect du paragraphe 1, les fabricants évaluent les risques de cybersécurité associés à un produit comportant des éléments numériques et tiennent compte du résultat de cette évaluation pendant les phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit, afin de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d’en limiter les effets, y compris sur la santé et la sécurité des utilisateurs.

Règlement (UE) 2024/2847, article 13, paragraphe 2

L’article 13 exige que l’évaluation des risques suive le cycle de vie du produit et soit mise à jour, selon les besoins, pendant la période de support.

Ce que l’évaluation explique

Au titre de l’article 13, paragraphe 3, l’évaluation doit tenir compte de l’usage prévu, de l’utilisation raisonnablement prévisible, des conditions d’utilisation, de l’environnement opérationnel, des actifs à protéger et de la durée d’utilisation attendue.

• les exigences de l’annexe I, partie I, qui s’appliquent au produit ;
• la manière dont ces exigences applicables au produit sont mises en œuvre ;
• la manière dont l’exigence générale de cybersécurité fondée sur les risques, au point 1 de l’annexe I, partie I, est appliquée ;
• la manière dont les exigences de gestion des vulnérabilités de l’annexe I, partie II, sont appliquées ;
• les raisons pour lesquelles une exigence n’est pas applicable, si telle est la conclusion du fabricant.

Exemple : évaluer un chemin de mise à jour du micrologiciel

Prenons l’exemple fictif d’un contrôleur connecté qui reçoit son micrologiciel d’un service de mise à jour. Un attaquant peut tenter de remplacer l’image avant son installation. L’évaluation doit déterminer si cela est possible et ce que le micrologiciel modifié pourrait faire.

1. Établissez le chemin de mise à jour pour le modèle de contrôleur et la version du micrologiciel. Déterminez qui peut fournir une image, comment elle atteint le dispositif et quels contrôles sont réalisés avant l’installation.
2. Décrivez la menace : un attaquant substitue une image de micrologiciel avant l’installation. L’actif est l’intégrité du code exécutable ; les conséquences dépendent des fonctions que le contrôleur peut modifier.
3. Évaluez les contrôles existants : déterminez où l’image est vérifiée, quelles clés de signature sont approuvées et ce qui se passe après un échec de vérification. Une déclaration de conception ne suffit pas à établir le comportement de la version commercialisée.
4. Reliez les mesures à la vérification : conservez la conception approuvée de la mise à jour et les essais portant sur des images modifiées, des signatures incorrectes et la récupération après échec. Consignez le micrologiciel et la configuration testés.
5. Expliquez le risque résiduel en fonction des conditions d’attaque et des conséquences attendues. Indiquez toute hypothèse qui doit encore être confirmée ainsi que les mesures supplémentaires nécessaires. Réexaminez la conclusion si le mécanisme de mise à jour ou la menace évolue.

Un diagramme de flux de données (DFD) et STRIDE peuvent aider à identifier les chemins d’attaque pour cette analyse. La décision relative au risque exige toujours des faits sur le produit et des résultats de vérification. Par exemple, l’équipe doit confirmer la vérification des signatures au regard de la conception et du micrologiciel testé avant de s’y fier pour réduire le risque.

Lien avec la documentation technique

L’article 13, paragraphe 4, impose d’intégrer l’évaluation des risques de cybersécurité à la documentation technique. L’annexe VII exige également une évaluation des risques de cybersécurité contre lesquels le produit est conçu, développé, produit, livré et maintenu.

Apport des normes

Le projet prEN 40000-1-2 page présente le document horizontal actuel relatif aux principes de gestion des risques de cyberrésilience. Il peut aider à structurer les travaux, mais l’obligation juridique découle toujours de l’article 13 et de l’annexe I.