CRA de l’UE : principes de cyberrésilience de la prEN 40000-1-2

Statut du projet

Le texte présenté ici a été soumis à enquête en octobre 2025. Il s’agit d’une explication propre à cette version du projet, et non d’une indication selon laquelle l’enquête serait toujours ouverte ou que ce texte serait le plus récent. Les exigences peuvent évoluer dans les versions ultérieures. Le projet lui-même ne confère pas de présomption de conformité au CRA.

L’entrée 1 du M/606 demande une norme européenne pour concevoir, développer et produire des produits comportant des éléments numériques de manière à garantir un niveau de cybersécurité approprié au regard des risques. La date limite du M/606 pour cette entrée est le 30 août 2026.

Lien avec l’annexe I

Les produits comportant des éléments numériques sont conçus, développés et produits de manière à assurer un niveau de cybersécurité approprié au regard des risques.

Règlement (UE) 2024/2847, annexe I, partie I, point 1

La prEN 40000-1-2 correspond le plus directement à cette exigence générale de la partie I. Il s’agit d’une norme de processus et de cycle de vie. Elle ne remplace pas les exigences plus spécifiques de sécurité des produits figurant à l’annexe I, partie I, points 2 a) à 2 m), et ne constitue pas la norme relative au traitement des vulnérabilités.

Principes de cybersécurité

La clause 5 du projet d’octobre 2025 décrit quatre principes applicables à la planification, à la conception, à la mise en œuvre, à la production et à la maintenance des produits : approche fondée sur les risques, sécurité dès la conception, paramètres sécurisés par défaut et transparence.

Structure de la gestion des risques

Le projet traite la gestion des risques comme une activité récurrente liée au produit, et non comme un formulaire à remplir une seule fois. Le contexte du produit est défini en premier, car un même logiciel ou matériel peut engendrer des risques différents selon les cas d’utilisation.

Activités du cycle de vie

Le projet traduit ensuite ces principes en activités tout au long du cycle de vie. Ces activités peuvent s’adapter à différents modèles de développement ; l’essentiel est que les travaux de sécurité soient planifiés, réalisés, vérifiés et tenus à jour.

• planification de la cybersécurité du produit ;
• exigences de cybersécurité du produit ;
• architecture et conception de la cybersécurité ;
• mise en œuvre sécurisée ;
• vérification et validation de la cybersécurité ;
• production et distribution sécurisées ;
• gestion des problèmes de cybersécurité ;
• surveillance du produit ;
• planification d’une mise hors service sécurisée ;
• gestion de la cybersécurité des composants tiers.

Limites par rapport aux autres normes

La prEN 40000-1-2 est la norme relative aux principes et à la gestion des risques sur le cycle de vie. Le traitement des vulnérabilités relève de prEN 40000-1-3 Traitement des vulnérabilités. Les normes propres à un produit peuvent ajouter des exigences spécifiques à certaines catégories de produits, notamment les navigateurs, routeurs, pare-feu, éléments sécurisés et autres produits importants ou critiques.

Le programme de normalisation du CRA est expliqué dans Normes et normes harmonisées.