Services

LES 8 EXIGENCES DU CRA EN MATIERE DE GESTION DES VULNERABILITES

La deuxième partie des exigences essentielles du CRA concerne les obligations des fabricants en matière de gestion des vulnérabilités. Celles-ci sont tout aussi importantes que les exigences applicables aux produits, et leur mise en œuvre conditionne aussi la mise sur le marché.

Les fabricants d’un produit réglementé par le CRA doivent satisfaire aux 8 exigences de gestion des vulnérabilités suivantes* :

1. Identifier et documenter les vulnérabilités et les composants contenus dans le produit, notamment en établissant une nomenclature logicielle – SBOM (Software Bill Of Materials) – dans un format couramment utilisé et lisible par une machine, couvrant au minimum les dépendances de premier niveau du produit ;
2. En ce qui concerne les risques posés par les produits comportant des éléments numériques, remédier sans délai aux vulnérabilités, notamment en fournissant des mises à jour de sécurité. Lorsque cela est techniquement possible, les nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité ;
3. Appliquer des tests et des examens efficaces et réguliers de la sécurité du produit ;
4. Une fois qu’une mise à jour de sécurité a été mise à disposition, partager et divulguer publiquement des informations sur les vulnérabilités corrigées, y compris une description des vulnérabilités, des informations permettant aux utilisateurs d’identifier le produit affecté, les impacts des vulnérabilités, leur gravité et des informations claires et accessibles aidant les utilisateurs à remédier aux vulnérabilités. Dans des cas dûment justifiés, lorsque les fabricants considèrent que les risques de sécurité de la divulgation l’emportent sur les avantages en matière de sécurité, ils peuvent retarder la diffusion des informations concernant une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu la possibilité d’appliquer le correctif correspondant ;
5. Mettre en place et appliquer une politique de divulgation coordonnée des vulnérabilités (CVD pour Coordinated Vulnerability Disclosure) ;
6. Prendre des mesures pour faciliter le partage d’informations sur les vulnérabilités potentielles de leur produit et des éléments tiers contenus dans ce produit, en fournissant notamment une adresse de contact pour le signalement des vulnérabilités découvertes ;
7. Prévoir des mécanismes de distribution sécurisée des mises à jour des produits afin de garantir que les vulnérabilités sont corrigées ou atténuées en temps utile et, quand applicable, d’une manière automatique ;
8. Veiller à ce que les mises à jour de sécurité disponibles soient diffusées sans délai (sauf accord contraire entre le fabricant et l’utilisateur professionnel dans le cas d’un produit sur mesure), gratuitement et accompagnées de messages informatifs fournissant aux utilisateurs les informations pertinentes, y compris sur les éventuelles mesures à prendre.

*Source : Annexe I, Partie 2

OBJECTIF COMMERCIALISATION : PRODUIRE UNE DOCUMENTATION TECHNIQUE EST ESSENTIEL

La production d’une documentation technique pour accompagner chaque produit est une condition sine qua non pour sa commercialisation en Europe.

1. Une description générale du produit comportant des éléments numériques, notamment :

• Son utilisation prévue ;
• Les versions de logiciel ayant des incidences sur la conformité aux exigences essentielles ;
• Lorsque le produit est un produit matériel, des photographies ou des illustrations montrant les caractéristiques extérieures, le marquage et la disposition intérieure ;
• Les informations et instructions destinées à l’utilisateur (cf. Annexe II du CRA) ;

2. Une description de la conception, du développement et de la fabrication du produit et des processus de gestion des vulnérabilités, et notamment :

• Les informations nécessaires sur la conception et le développement du produit, y compris, le cas échéant, des dessins et des schémas et/ou une description de l’architecture du système expliquant comment les composants logiciels s’appuient les uns sur les autres ou s’alimentent et s’intègrent dans le traitement global ;
• Les informations et spécifications nécessaires concernant le processus de gestion des vulnérabilités mis en place par le fabricant, y compris la nomenclature des logiciels, la politique coordonnée de divulgation des vulnérabilités, la preuve de la fourniture d’une adresse de contact pour le signalement des vulnérabilités et une description des solutions techniques choisies pour la distribution sécurisée des mises à jour ;
• Les informations et spécifications nécessaires concernant les processus de production et de suivi du produit, et la validation de ces processus;

3. Une évaluation des risques de cybersécurité sur la base de laquelle le produit est conçu, développé, produit, livré et entretenu, y compris la manière dont les exigences essentielles en matière de cybersécurité des produits sont applicables ;

4. Les informations qui ont été prises en compte pour déterminer la période de support (voir Chapitre 13) ;

5. Une liste des normes européennes harmonisées, des spécifications communes ou des schémas européens de certification de cybersécurité qui ont été appliqués ;

• Lorsqu’ils n’ont pas été appliqués : une présentation des solutions adoptées pour répondre aux exigences essentielles du CRA, y compris une liste des autres spécifications techniques pertinentes appliquées.
• Dans le cas d’une application partielle, la documentation technique précise les parties appliquées ;

6. Les rapports des tests réalisés pour vérifier la conformité du produit et des processus de gestion des vulnérabilités aux exigences essentielles du CRA ;

7. Une copie de la déclaration UE de conformité;

8. Le cas échéant, la nomenclature logicielle (Software Bill Of Materials) à la suite d’une demande motivée d’une autorité de surveillance du marché.

Cette documentation technique doit être tenue à la disposition des autorités de surveillance du marché pendant au moins 10 ans, ou pendant le reste de la durée de support, la durée la plus longue étant retenue.

Il est à noter que les micro-entreprises et les PME, y compris les startups, peuvent produire une documentation technique simplifiée en vertu de l’Article 33.5. Celui-ci dispose que la Commission européenne devra préciser les détails du formulaire simplifié au moyen d’actes délégués. Affaire à suivre donc.