Analyse des écarts au regard du CRA

Fondement juridique de la comparaison

Prenez pour base les exigences du CRA applicables au produit. Les articles 6 et 13 établissent les obligations relatives au produit et à l’évaluation des risques ; les annexes précisent les exigences de sécurité et les informations à fournir. Incluez les normes et spécifications techniques utilisées pour l’évaluation.

• L’article 6 et l’annexe I déterminent les exigences relatives au produit et à la gestion des vulnérabilités.
• L’article 13 impose l’évaluation des risques de cybersécurité et la justification de la période de support.
• L’annexe II énumère les informations et instructions destinées aux utilisateurs.
• L’annexe VII énumère le contenu de la documentation technique.
• L’article 32 détermine la voie d’évaluation de la conformité après la classification.
• Les normes harmonisées ou autres spécifications techniques peuvent aider à démontrer le respect des exigences, mais leur effet juridique dépend de leur statut.

Ce qu’est un écart

Un écart peut concerner le produit, le processus du fabricant ou les preuves étayant une conclusion. Par exemple, un mécanisme de mise à jour peut ne pas vérifier les signatures ou exister sans résultat d’essai démontrant qu’il rejette un paquet modifié. Ces constats nécessitent des actions différentes.

Exemple : corriger une lacune liée aux mises à jour sécurisées

Un contrôleur fictif dispose déjà de mises à jour signées de son micrologiciel, mais l’équipe n’a pas vérifié si le dispositif rejette une image signée avec une clé non approuvée. Au départ, il manque une preuve. Si l’essai montre que le dispositif accepte l’image, il s’agit également d’un écart de mise en œuvre.

1. Base : reliez l’exigence applicable de l’annexe I, l’évaluation des risques et la conception des mises à jour sécurisées. Indiquez la version et la configuration exactes du produit.
2. Constat : décrivez l’essai manquant ou le comportement observé. Distinguez une hypothèse non testée d’un échec démontré.
3. Action : demandez à l’équipe micrologiciel de réaliser les modifications nécessaires et à l’équipe de vérification de tester les chemins de mise à jour concernés. Fixez une date d’achèvement compatible avec la décision de mise en production.
4. Preuves de clôture : joignez la conception révisée ou la référence de modification, les résultats d’essai de la version concernée et l’évaluation des risques mise à jour. Expliquez si un résultat d’essai existant reste valable.
5. Examen : la personne chargée de l’examen compare l’écart initial aux nouvelles preuves. Une tâche achevée ou un rapport téléversé ne suffit pas à démontrer que l’écart est résolu.

Pour chaque écart, identifiez l’exigence et expliquez ce qui manque. Attribuez le travail et définissez le résultat qu’un examinateur devra accepter pour valider la correction. Consignez cet examen avec les preuves à l’appui.

Un pourcentage d’achèvement mesure les éléments de cette liste de contrôle. Il n’indique ni la gravité des écarts restants ni la conformité. Un défaut non résolu d’authentification des mises à jour peut compter davantage que plusieurs tâches de documentation terminées.

Données d’entrée de l’analyse des écarts

Une analyse des écarts nécessite un périmètre produit défini, une classification étayée et une voie d’évaluation de la conformité justifiée. Sinon, elle risque de comparer le produit à des exigences qui ne s’appliquent pas ou d’omettre des exigences applicables.

L’évaluation des risques est la principale donnée d’entrée pour déterminer les exigences de l’annexe I qui s’appliquent au produit. La documentation technique rassemble le résultat et les preuves. Voir Évaluation des risques de cybersécurité et Documentation technique.