Vingt et une exigences, et vous justifiez celles que vous écartez

Annexe I, partie I, point 2 : « Sur la base de l'évaluation des risques de cybersécurité visée à l'article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant : ». Deux membres portent tout le sens : « sur la base de l'évaluation des risques » et « le cas échéant ».

L'article 13, paragraphe 3 dit ce que doit contenir cette évaluation. Elle indique « si et, dans l'affirmative, de quelle manière » les exigences de l'annexe I, partie I, point 2 sont applicables au produit concerné.

Elle indique également de quelle manière le fabricant applique l'annexe I, partie I, point 1 et les exigences de gestion des vulnérabilités de la partie II.

Article 13, paragraphe 4, dernière phrase : lorsque certaines exigences essentielles ne sont pas applicables au produit, le fabricant fait figurer une justification claire dans la documentation technique.

Les produits sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques (annexe I, partie I, point 1). Les cinq familles ci-dessous n'existent pas dans le règlement.

2 a) être mis à disposition sur le marché sans vulnérabilité exploitable connue.

2 b) être mis à disposition sur le marché avec une configuration de sécurité par défaut, sauf accord contraire pour un produit sur mesure, y compris la possibilité de réinitialiser le produit à son état d'origine.

2 c) être conçus de façon à ce que leurs vulnérabilités puissent être corrigées par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques régulières activées par défaut mais faciles à désactiver, par la communication aux utilisateurs des mises à jour disponibles et par la possibilité de les différer temporairement.

2 d) assurer la protection contre les accès non autorisés par des mécanismes de contrôle appropriés, y compris par des systèmes d'authentification, d'identité ou de gestion des accès, et signaler tout accès non autorisé.

2 l) fournir des informations relatives à la sécurité en enregistrant et en surveillant les activités internes pertinentes, y compris l'accès ou la modification des données, des services ou des fonctions, tout en laissant à l'utilisateur la possibilité de désactiver le mécanisme.

2 e) protéger la confidentialité des données stockées, transmises ou traitées, par exemple en chiffrant les données pertinentes au repos ou en transit au moyen de mécanismes de pointe.

2 f) protéger l'intégrité des données, des commandes, des programmes et de la configuration contre toute manipulation ou modification non autorisée par l'utilisateur, et signaler les corruptions.

2 g) ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité prévue du produit, ce que le règlement appelle la minimisation des données.

2 m) donner aux utilisateurs la possibilité de supprimer facilement, en toute sécurité et de manière permanente toutes les données et tous les paramètres, et permettre un transfert sécurisé lorsque ces données peuvent être portées vers d'autres produits ou systèmes.

2 h) protéger la disponibilité des fonctions essentielles et de base, notamment après un incident, y compris par des mesures de résilience et d'atténuation face aux attaques par déni de service.

2 i) réduire au maximum les répercussions négatives générées par les produits eux-mêmes ou par les appareils connectés sur la disponibilité des services fournis par d'autres dispositifs ou réseaux.

2 j) être conçus, développés et fabriqués de manière à limiter les surfaces d'attaque, y compris les interfaces externes.

2 k) être conçus, développés et fabriqués de manière à réduire les répercussions d'un incident, en utilisant des mécanismes et des techniques appropriés de limitation de l'exploitation de failles.

La phrase d'introduction de la partie II est sans réserve : « Les fabricants des produits comportant des éléments numériques : ». Le « le cas échéant » de la partie I, point 2 n'y figure pas.

L'article 6, point b) exige que les processus du fabricant soient conformes à la partie II sans condition. L'article 13, paragraphe 3 demande à l'évaluation des risques d'indiquer de quelle manière ces exigences sont appliquées, et non si elles le sont.

II.1 recenser et documenter les vulnérabilités et les composants des produits, notamment par l'établissement d'une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur.

II.2 gérer et corriger sans retard les vulnérabilités, y compris par des mises à jour de sécurité ; lorsque cela est techniquement possible, les nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité.

II.3 soumettre régulièrement les produits à des tests et examens de sécurité efficaces.

II.7 prévoir des mécanismes de distribution sécurisée des mises à jour et, le cas échéant, automatiser les mises à jour de sécurité.

II.4 dès la publication d'une mise à jour de sécurité, communiquer sur les vulnérabilités corrigées : description, identification du produit concerné, conséquences, gravité, et informations claires aidant les utilisateurs à y remédier.

II.5 mettre en place et appliquer une politique de divulgation coordonnée des vulnérabilités.

II.6 faciliter le partage d'informations sur les vulnérabilités potentielles des produits et des composants tiers qu'ils contiennent, y compris en fournissant une adresse de contact pour le signalement.

II.8 veiller à ce que les correctifs soient diffusés sans retard et, sauf accord contraire pour un produit sur mesure, « gratuitement », accompagnés de messages consultatifs.

La période d'assistance est fixée par le fabricant. Elle est d'au moins cinq ans (article 13, paragraphe 8).