CRA de l’UE : gestion des vulnérabilités selon la prEN 40000-1-3
Sytance · Mis à jour
La prEN 40000-1-3 est le projet de norme horizontale consacré au traitement des vulnérabilités. Elle appuie l’annexe I, partie II, en structurant la réception, la vérification, la correction et la publication des vulnérabilités, ainsi que les activités postérieures à la publication, dans le cadre d’un processus du fabricant.
Statut du projet
Le texte présenté ici est un projet de norme européenne soumis à enquête du CEN. Il fournit une base pour planifier le traitement des vulnérabilités ; le projet lui-même ne confère pas de présomption de conformité au CRA.
L’entrée 15 du M/606 demande des normes européennes sur le traitement des vulnérabilités pour les produits comportant des éléments numériques. La date limite du M/606 pour cette entrée est le 30 août 2026.
Lien avec l’annexe I, partie II
L’annexe I, partie II porte sur le processus du fabricant. Elle couvre la détection et la documentation des vulnérabilités, la visibilité des composants, les mesures correctives, les tests, la divulgation, la distribution des mises à jour et les informations aux utilisateurs dès qu’une mise à jour de sécurité est disponible.
La prEN 40000-1-3 est conçue autour de ce processus. Elle ne détermine pas si l’obligation de signalement prévue à l’article 14 est déclenchée. Le signalement au titre de l’article 14 constitue une obligation juridique distincte pour les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits.
Processus de traitement des vulnérabilités
Le projet adopte un modèle fondé sur le cycle de vie. Le processus commence avant la réception d’un signalement, car le fabricant doit avoir mis en place des politiques, des moyens de contact, des informations sur les composants et des mécanismes de mise à jour.
Les politiques, les voies de divulgation, les communications sécurisées, l’identification des produits, les informations sur les composants, la planification des tests et la distribution des mises à jour sont préparées.
Le fabricant reçoit les signalements et surveille les sources internes et externes pour détecter les vulnérabilités affectant le produit ou ses composants.
Le fabricant vérifie la validité du signalement, détermine si le produit est concerné et évalue la gravité de la vulnérabilité.
Le fabricant décide des mesures correctives, élabore la correction ou la mesure d’atténuation et la teste avant sa publication.
Le fabricant publie la mise à jour de sécurité, fournit des informations claires, surveille son efficacité et améliore le processus.
Éléments constitutifs
Le projet s’appuie sur les normes existantes en matière de vulnérabilités. Il reprend les concepts de divulgation des vulnérabilités, de traitement des vulnérabilités et de divulgation coordonnée impliquant plusieurs parties, puis les adapte aux produits comportant des éléments numériques et au modèle de période d’assistance du CRA.
Politique de divulgation
Un canal public indique aux chercheurs et aux utilisateurs comment signaler une vulnérabilité potentielle.
Visibilité des composants
Les informations sur les composants logiciels et matériels facilitent l’analyse d’impact lorsqu’une vulnérabilité est découverte.
Publication des mises à jour
Une distribution sécurisée des mises à jour et des avis clairs aident les utilisateurs à installer les correctifs et à prendre toute autre mesure nécessaire.
Mesures supplémentaires fondées sur les risques
Le projet comprend des exigences renforcées. Il s’agit de mesures supplémentaires applicables lorsque l’évaluation des risques du produit montre qu’un niveau de rigueur supérieur est nécessaire.
Les produits à risque élevé peuvent nécessiter des contrôles renforcés sur l’échange d’informations relatives aux vulnérabilités avec les personnes qui les signalent, les coordinateurs, les fournisseurs en amont ou les utilisateurs concernés.
Le niveau de détail sur les composants peut être accru lorsque le risque lié au produit justifie une analyse d’impact des vulnérabilités plus rapide ou plus précise.
Les hachages peuvent aider à identifier précisément la version du composant logiciel présente lorsque son nom et sa chaîne de version ne suffisent pas.
Les avis structurés peuvent aider les clients et les opérateurs en aval à traiter à grande échelle les informations sur les vulnérabilités.
Limite par rapport au signalement
Le traitement des vulnérabilités est un processus continu lié au produit. Le signalement prévu à l’article 14 constitue une obligation de notification distincte lorsque le déclencheur juridique est rempli. Une vulnérabilité peut être traitée dans le cadre du processus sans devoir être signalée au titre de l’article 14 ; une vulnérabilité à signaler doit néanmoins être corrigée et communiquée dans le cadre du processus.
- La prEN 40000-1-3 décrit comment organiser le processus de traitement des vulnérabilités.
- L’article 14 établit les conditions de signalement des vulnérabilités activement exploitées et des incidents graves affectant la sécurité des produits.
- La période d’assistance détermine pendant combien de temps le traitement des vulnérabilités doit se poursuivre.
Le déclencheur prévu à l’article 14 est expliqué dans Signalement des vulnérabilités.