Dossiers de gestion des vulnérabilités au titre du CRA

Obligation de processus

Lorsqu’ils mettent un produit comportant des éléments numériques sur le marché et pendant la période de soutien, les fabricants veillent à ce que les vulnérabilités de ce produit, y compris celles de ses composants, soient traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.

Règlement (UE) 2024/2847, article 13, paragraphe 8

L’obligation commence à la mise sur le marché du produit et se poursuit pendant la période de soutien. Elle couvre le produit et ses composants.

Principaux types de dossiers

Exemple : du signalement d’un composant à la clôture

Considérons une vulnérabilité fictive d’un analyseur syntaxique dans une version du micrologiciel d’un contrôleur. Les six dossiers ci-dessous constituent l’historique d’un cas illustratif. Ils montrent comment une équipe peut relier la réception du signalement, l’impact sur le produit et la correction ; cette séquence ne constitue pas un formulaire imposé par le CRA.

1. Réception : consignez la date et la source du signalement, le composant et l’identifiant de la vulnérabilité, ainsi que les informations disponibles à ce moment-là. Conservez le signalement d’origine.
2. Impact sur le produit : utilisez la SBOM et les dossiers de compilation pour identifier les versions potentiellement concernées. Vérifiez si un attaquant peut atteindre l’analyseur syntaxique concerné dans chaque configuration prise en charge ; consignez les éléments de preuve et les incertitudes restantes.
3. Décision de signalement : évaluez immédiatement l’article 14 s’il existe des preuves d’exploitation active ou d’un incident grave de sécurité du produit. Consignez les dates de prise de connaissance et transmettez les signalements requis dans les délais applicables, tout en poursuivant l’analyse technique.
4. Traitement : évaluez le risque pour le produit, attribuez la correction ou la mesure d’atténuation et, le cas échéant, coordonnez-vous avec le responsable du composant. Conservez la mesure choisie et sa justification.
5. Vérification et publication : testez l’analyseur syntaxique corrigé et les fonctions du produit concernées, conservez la version compilée testée et associez-y la mise à jour de sécurité, les preuves de distribution et les instructions aux utilisateurs.
6. Clôture et suivi : consignez le résultat vérifié, l’inventaire des composants mis à jour, les communications aux utilisateurs et la divulgation. Toute version prise en charge qui reste concernée sans mesure corrective efficace doit rester ouverte en vue d’actions complémentaires.

Le dossier du cas devrait distinguer l’achèvement de la correction interne, la transmission des signalements requis et la fourniture ou l’installation de la mise à jour. Par exemple, un correctif peut être publié alors que certains utilisateurs concernés doivent encore l’installer et faire l’objet d’un suivi.

Lien avec l’annexe VII

L’annexe VII demande que la documentation technique contienne les informations et spécifications nécessaires relatives aux processus de traitement des vulnérabilités, notamment la SBOM, la politique de divulgation coordonnée des vulnérabilités, le contact pour les signalements et la distribution sécurisée des mises à jour.

• les dossiers qui étayent l’historique des vulnérabilités du produit ;
• les dossiers qui expliquent le tri et la correction des vulnérabilités ;
• les dossiers qui montrent la distribution des mises à jour et la communication aux utilisateurs ;
• les rapports d’essais et d’examens qui étayent l’évaluation de la conformité.

Le projet prEN 40000-1-3 est présenté plus en détail sur cette page.