CRA : normes harmonisées et présomption de conformité
Sytance · Mis à jour
La conformité aux normes harmonisées peut conférer une présomption de conformité au CRA pour les exigences qu’elles couvrent, mais uniquement après la publication de leurs références au Journal officiel. Les projets de normes, les travaux en cours, les documents de planification M/606 et les textes de consultation peuvent contribuer aux travaux d’ingénierie, mais ne créent pas en eux-mêmes une présomption juridique.
Présomption de conformité
Les produits comportant des éléments numériques et les processus mis en place par le fabricant qui sont conformes aux normes harmonisées ou à des parties de celles-ci, dont les références ont été publiées au Journal officiel de l’Union européenne, sont présumés conformes aux exigences essentielles en matière de cybersécurité énoncées à l’annexe I et couvertes par ces normes ou parties de normes.
Règlement (UE) 2024/2847, article 27, paragraphe 1
Les derniers mots sont importants. Par défaut, une norme ne couvre pas l’intégralité du règlement. Elle couvre les exigences de l’annexe I visées par la référence publiée, et uniquement pour les produits et processus entrant dans son champ d’application.
Norme harmonisée
Voie technique volontaire. Elle ne confère une présomption qu’après publication de sa référence au Journal officiel.
Spécification commune
Solution de repli de la Commission lorsque les conditions de l’article 27, paragraphe 2, sont remplies et que la spécification couvre l’exigence.
Schéma de certification
Un certificat européen de cybersécurité peut étayer la conformité aux exigences couvertes par le schéma.
Programme de travail M/606
Le M/606 est la demande adressée par la Commission au CEN, au CENELEC et à l’ETSI. La page de normalisation de la Commission recense 41 normes demandées, réparties entre normes horizontales et normes verticales propres à des produits. Le CEN, le CENELEC et l’ETSI ont accepté la demande le 3 avril 2025.
Les entrées 1 et 15 du M/606 concernent la première norme horizontale sur les principes et la norme horizontale sur le traitement des vulnérabilités.
Les entrées 16 à 41 du M/606 couvrent des catégories de produits importants et critiques telles que les navigateurs, produits VPN, systèmes d’exploitation, routeurs, pare-feu, semi-conducteurs, produits pour maison intelligente, objets connectés portables et éléments sécurisés.
Les entrées 2 à 14 du M/606 concernent d’autres normes horizontales relatives aux propriétés de sécurité des produits, telles que les paramètres sécurisés par défaut, les mises à jour, le contrôle d’accès, la confidentialité, l’intégrité, la disponibilité, la réduction de la surface d’attaque, la surveillance et la suppression des données.
Normes horizontales
Les normes horizontales sont conçues pour s’appliquer à différentes catégories de produits. Elles établissent un vocabulaire commun ainsi que des structures pour la gestion des risques, la sécurité des produits et le traitement des vulnérabilités. Les normes propres aux produits peuvent ensuite s’appuyer sur elles.
Un vocabulaire commun soutient les normes horizontales et celles propres aux produits. Il ne doit pas être considéré, à lui seul, comme une norme de contrôle de la sécurité des produits.
Le projet actuel explique les principes de cyberrésilience, la cybersécurité des produits fondée sur les risques et les activités du cycle de vie. Une page distincte le présente dans prEN 40000-1-2 Principes de cyberrésilience.
Le M/606 demande des exigences génériques et des contrôles de sécurité pour les caractéristiques des produits visées à l’annexe I, partie I. Le rôle prévu est expliqué dans prEN 40000-1-4 Documents publics.
Le projet actuel explique le traitement des vulnérabilités pour l’annexe I, partie II. Une page distincte le présente dans prEN 40000-1-3 Traitement des vulnérabilités.
Les documents 1-2 et 1-3 actuellement accessibles au public sont des projets de normes. Ils sont utiles à la planification, mais ne doivent pas être présentés comme des normes EN définitives ou des normes harmonisées citées tant que ce statut n’est pas acquis.
Référence aux normes de produits
L’avancement des normes propres aux produits est indiqué dans Normes de produits par catégorie. Cette page répertorie les normes candidates pour les catégories des annexes III et IV et indique le statut des sources consultées.
Montrer comment les normes répondent aux exigences
Un produit peut utiliser des normes avant leur citation comme éléments de preuve technique, mais cela ne vaut pas présomption juridique de conformité. La documentation technique doit indiquer quelles exigences sont couvertes par des normes citées, des spécifications communes, des schémas de certification ou d’autres solutions techniques.
Les pages consacrées aux projets horizontaux sont présentées séparément : prEN 40000-1-2 Principes de cyberrésilience et prEN 40000-1-3 Traitement des vulnérabilités.