Exigences essentielles de cybersécurité du CRA
Sytance · Mis à jour
L’annexe I constitue la référence du CRA pour les produits comportant des éléments numériques qui relèvent de son champ d’application. La partie I décrit les propriétés de cybersécurité du produit lui-même. La partie II décrit le processus de gestion des vulnérabilités du fabricant pendant la période de support.
Structure de l’annexe I
L’annexe I comporte deux parties. La partie I concerne le produit. La partie II concerne le processus de gestion des vulnérabilités du fabricant. L’article 6 les relie : un produit ne peut être mis sur le marché que s’il satisfait aux exigences applicables de la partie I et si les processus du fabricant satisfont à la partie II.
Partie I : propriétés du produit
Paramètres sûrs par défaut, données protégées, accès contrôlé, fonctions résilientes, capacité de mise à jour, surveillance des activités et suppression sécurisée des données et paramètres.
Partie II : gestion des vulnérabilités
Processus permettant de détecter, documenter, corriger et divulguer les vulnérabilités du produit et de ses composants, ainsi que de communiquer à leur sujet.
L’article 13 exige du fabricant qu’il évalue les risques de cybersécurité. Cette évaluation détermine comment les exigences de la partie I s’appliquent au produit.
Partie I : propriétés de cybersécurité du produit
La partie I commence par le résultat général attendu du produit, puis énumère des propriétés de sécurité qui s’appliquent sur la base de l’évaluation des risques de cybersécurité et, le cas échéant. La liste est large, car le CRA couvre de nombreux types de logiciels, de matériels, de composants et de traitements de données à distance qui soutiennent les fonctions des produits.
Les produits comportant des éléments numériques sont conçus, développés et produits de manière à garantir un niveau de cybersécurité approprié au regard des risques.
Règlement (UE) 2024/2847, annexe I, partie I, point 1
Une application grand public, un VPN industriel et un composant matériel réutilisable peuvent présenter des risques différents, même si une exigence est formulée avec les mêmes termes. L’évaluation des risques explique l’application de la partie I au produit et pourquoi une exigence n’est pas applicable si telle est la conclusion du fabricant.
La partie I demande principalement si le produit peut :
- être mis sur le marché sans vulnérabilité exploitable connue et avec une configuration sécurisée par défaut ;
- remédier aux vulnérabilités au moyen de mises à jour de sécurité, y compris automatiques lorsque cela convient au produit ;
- protéger les accès, la confidentialité, l’intégrité, la disponibilité, les commandes, les programmes, la configuration et les données traitées ;
- limiter les surfaces d’attaque et réduire l’impact d’un incident ;
- enregistrer et surveiller les activités de sécurité pertinentes avec un mécanisme permettant à l’utilisateur de s’y opposer ;
- permettre aux utilisateurs de supprimer en toute sécurité les données et paramètres et de transférer les données de manière sécurisée si cette fonction est prise en charge.
Il s’agit de propriétés du produit, et non d’un modèle de mise en œuvre unique et imposé. Une même exigence peut conduire à des choix techniques différents pour un appareil grand public, un produit réseau professionnel, un SDK ou un micrologiciel destiné à être intégré à d’autres produits.
Partie II : gestion des vulnérabilités
La partie II concerne le processus du fabricant. Elle s’applique lors de la mise sur le marché du produit et pendant la période de support. Elle couvre également les vulnérabilités des composants intégrés ; il importe donc de connaître les composants et de communiquer avec les fournisseurs en amont.
Le fabricant doit identifier et documenter les vulnérabilités et les composants. L’annexe I prévoit expressément une nomenclature logicielle dans un format couramment utilisé et lisible par machine couvrant au minimum les dépendances directes.
Les vulnérabilités doivent être traitées et corrigées sans délai, au regard des risques posés au produit. Lorsque cela est techniquement possible, les mises à jour de sécurité devraient être distinctes des mises à jour fonctionnelles.
La partie II exige une politique de divulgation coordonnée des vulnérabilités et une adresse de contact pour leur signalement. L’article 13 exige aussi du fabricant qu’il informe la personne ou l’entité qui maintient un composant intégré lorsqu’il y détecte une vulnérabilité.
Les mécanismes de mise à jour doivent distribuer les correctifs de manière sécurisée et en temps utile. Les mises à jour de sécurité disponibles doivent être diffusées sans délai, normalement gratuitement, et accompagnées d’informations aidant les utilisateurs à agir.
Normes et preuves
Les normes harmonisées ne peuvent étayer une présomption de conformité que si la référence pertinente est publiée au Journal officiel de l’Union européenne. Les projets, tableaux de correspondance et normes sectorielles peuvent rester utiles comme preuves, mais ne remplacent pas l’évaluation des risques propre au produit exigée par l’article 13.
La demande de normalisation M/606 de la Commission sollicite des organisations européennes de normalisation des normes horizontales et verticales. La FAQ de mise en œuvre décrit des livrables horizontaux pour le cadre produit fondé sur les risques, les propriétés du produit de la partie I et la gestion des vulnérabilités de la partie II, ainsi que des normes verticales pour les catégories de produits importantes et critiques.
La documentation technique doit expliquer comment les normes sélectionnées ou les autres mesures techniques répondent aux risques identifiés pour le produit. Elle doit ensuite montrer quelles propriétés du produit et quels processus de gestion des vulnérabilités mettent ces mesures en œuvre.
Lisez Documents publics sur la prEN 40000-1-4 pour consulter les documents publics actuels relatifs au projet de norme sur les exigences génériques de sécurité, et Gestion des vulnérabilités selon la prEN 40000-1-3 pour le projet actuel sur la gestion des vulnérabilités.