Le Cyber Resilience Act, expliqué en clair

Une réglementation de produit, pas une réglementation d'entreprise

Le CRA fait pour la cybersécurité ce que le marquage CE fait depuis trente ans pour la sécurité physique. Il ne vous demande pas comment votre entreprise est organisée, il demande ce que fait le produit que vous vendez.

La plupart des textes de cybersécurité que vous connaissez déjà s'adressent à une personne morale et lui demandent de se gouverner. Le CRA s'adresse à un objet mis sur le marché et lui demande d'être sûr. L'unité n'est donc pas votre société, c'est le produit : deux produits différents, ce sont deux évaluations, deux dossiers, et éventuellement deux régimes.

Deuxième conséquence, moins évidente : ce qui compte n'est pas votre métier déclaré, c'est le rôle que vous tenez à l'égard de ce produit précis. Le règlement en distingue quatre : fabricant, importateur, distributeur, et intendant de logiciels ouverts, ce que l'on appelle couramment le logiciel libre ou l'open source. Le même dirigeant peut être fabricant pour un produit et distributeur pour un autre. Le rôle le plus coûteux est celui qu'on s'attribue le moins spontanément : revendre sous sa propre marque un produit fabriqué par un tiers fait de vous un fabricant. Ce point décide de tout le reste, et il a sa page : les quatre rôles, et le piège de la marque propre.

Ce qui s'applique le 11 décembre 2027

À cette date, un produit comportant des éléments numériques ne peut plus être mis sur le marché de l'Union s'il ne satisfait pas aux exigences essentielles de l'annexe I. Celles-ci se comptent : treize propriétés du produit lui-même (annexe I, partie I, point 2) et huit obligations de gestion des vulnérabilités (annexe I, partie II), soit vingt et une exigences.

Les treize propriétés portent sur le produit : aucune vulnérabilité exploitable connue à la mise à disposition sur le marché, configuration de sécurité par défaut, correction possible par mise à jour, contrôle des accès, confidentialité et intégrité des données, minimisation, disponibilité des fonctions essentielles après un incident, surface d'attaque limitée, journalisation, effacement sécurisé. Les huit obligations de la partie II portent sur sa vie après la vente : nomenclature des logiciels, correction sans retard, tests réguliers, publication des correctifs, divulgation coordonnée, adresse de contact publique, distribution sécurisée.

Un détail de rédaction commande tout le reste, et il est largement méconnu. L'annexe I, partie I, point 2 s'ouvre ainsi : « Sur la base de l'évaluation des risques de cybersécurité visée à l'article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant ». Le CRA n'impose donc pas les treize propriétés à tout le monde indistinctement : il impose de justifier celles qui ne s'appliquent pas, et cette justification doit figurer dans la documentation technique (art. 13, paragraphe 4, dernière phrase). C'est la différence entre remplir un questionnaire et constituer un dossier opposable.

Trois obligations ont un coût direct et se planifient, pas se découvrent :

• la période d'assistance est d'au moins cinq ans, sauf durée d'utilisation prévue plus courte (art. 13, paragraphe 8) ;
• chaque mise à jour de sécurité reste disponible pendant dix ans après son émission, ou jusqu'à la fin de la période d'assistance si celle-ci est plus longue (art. 13, paragraphe 9) ;
• la date de fin de la période d'assistance doit être portée à la connaissance de l'acheteur, au moins en mois et en année (art. 13, paragraphe 19).

S'y ajoutent la déclaration UE de conformité, que le fabricant établit lui-même et dont il porte la responsabilité (art. 28), la documentation technique conservée dix ans (art. 31), et l'apposition du marquage CE. Les deux vont ensemble et au même moment : une fois la conformité démontrée par la procédure d'évaluation choisie, le fabricant établit la déclaration conformément à l'article 28 et appose le marquage CE conformément à l'article 30 (art. 13, paragraphe 12). L'article 30 fixe les règles d'apposition, y compris pour un produit qui se présente sous la forme d'un logiciel, auquel cas le marquage est porté par la déclaration UE de conformité ou par le site internet qui accompagne le logiciel.

Les sanctions

Le règlement fixe trois plafonds à l'article 64. Le manquement aux exigences essentielles de l'annexe I et aux obligations des articles 13 et 14 est passible de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les autres obligations relèvent d'un plafond de 10 millions d'euros ou 2 %, et les informations inexactes fournies aux autorités ou aux organismes notifiés d'un plafond de 5 millions d'euros ou 1 %.

Ces montants sont dans le texte et ils ne sont pas la raison de s'y mettre. La raison est plus prosaïque : à partir du 11 décembre 2027, un produit qui ne satisfait pas aux exigences essentielles ne peut plus être mis sur le marché.