L’UE a adopté de nouvelles règles visant à renforcer le niveau de sécurité de tous les périphériques connectés, avec des implications pour les fabricants, les importateurs et les distributeurs.
Comprendre le Cyber Resilience Act
Le nouveau Cyber Resilience Act (CRA) est un nouveau règlement de l’Union européenne visant à améliorer la cybersécurité de tous les produits comportant des éléments de réseau numérique vendus au sein de l’UE.
Il définit les toutes premières exigences en matière de cybersécurité à l’échelle de l’UE pour les périphériques et logiciels connectés. Il harmonise les réglementations existantes tout en en complétant d’autres, telles que le NIS2, qui vise à renforcer la cybersécurité dans les secteurs critiques de l’UE.
L’objectif principal est de protéger les consommateurs et les entreprises contre les produits présentant une cybersécurité insuffisante. Lors de l’achat de dispositifs connectés, les consommateurs auront une plus grande assurance que ces derniers respectent un certain standard de protection contre les menaces.
Quels sont les principaux objectifs du Cyber Resilience Act ?
L’objectif principal du CRA, entre autres, est de garantir que tout produit comportant des éléments numériques respecte les principes de sécurité dès la conception.
Cette démarche commence au tout début de la phase de conception et se poursuit tout au long du cycle de vie du matériel. Les régulateurs de l’UE souhaitent protéger les clients en veillant à ce que chaque dispositif connecté vendu n’expose personne à un risque accru en matière de cybersécurité.
Un objectif secondaire consiste à améliorer la transparence en matière de sécurité des dispositifs connectés. Les fabricants doivent fournir des informations spécifiques telles que :
- Pendant combien de temps ils fourniront des mises à jour de sécurité ;
- Comment configurer et maintenir le produit en toute sécurité ;
- Comment ils identifient, gèrent et signalent les vulnérabilités de sécurité – tant aux utilisateurs qu’aux autorités compétentes.
À qui et à quoi s’applique le Cyber Resilience Act ?
Le Cyber Resilience Act a un large champ d’application. Bien que toute personne fabriquant ou vendant un dispositif connecté soit évidemment concernée, de nombreuses autres parties au sein de la chaîne d’approvisionnement doivent également en tenir compte.
Définition des « produits contenant des éléments numériques »
Le Cyber Resilience Act définit un produit contenant des éléments numériques comme un « produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ».
Le traitement des données à distance a également sa propre définition, notamment « l’absence de ce traitement empêcherait le produit comportant des éléments numériques d’exécuter l’une de ses fonctions ».
Par exemple, une caméra réseau relève du champ d’application du Cyber Resilience Act. Le matériel et/ou le logiciel final doivent tous répondre à ces normes. Mais il en va de même pour tous les systèmes d’exploitation, les bibliothèques tierces et tout autre élément fourni qui compose le dispositif et son utilisation.
Rôle des fabricants, importateurs et distributeurs
Le vaste champ d’application du Cyber Resilience Act implique une grande responsabilité partagée. Les fabricants doivent s’assurer que chaque partie concernée de leur produit respecte les normes de cybersécurité, tout comme ils le feraient pour toute autre réglementation.
À leur tour, les importateurs et les distributeurs ont besoin de la même chose de la part des fabricants. L’écosystème dépend de la coordination et de la coopération tout au long de la chaîne d’approvisionnement afin de répondre aux exigences du CRA.
Principales exemptions au Cyber Resilience Act
Le Cyber Resilience Act compte quelques exemptions, notamment les logiciels open source à but non commercial et les dispositifs médicaux. Cependant, d’autres réglementations en matière de cybersécurité s’appliquent ici. Les fabricants doivent faire preuve de diligence raisonnable s’ils intègrent des logiciels libres open source dans leurs produits.
Quelles sont les principales exigences pour l’industrie de la surveillance vidéo sur IP ?
L’industrie de la surveillance vidéo sur IP a l’obligation de fournir des produits conformes aux normes de cybersécurité. Elle ne fournit pas seulement du matériel connecté qui, s’il n’était pas correctement sécurisé, poserait un risque. Elle enregistre également des données qui doivent être conservées en toute sécurité.
Réaliser une évaluation des risques de cybersécurité
Une évaluation des risques de cybersécurité est requise pour chaque produit. Le résultat de cette évaluation est ensuite pris en compte tout au long du cycle de vie du produit, de la planification et la conception à la maintenance.
L’évaluation des risques doit être documentée et mise à jour, et elle doit se référer aux exigences du Cyber Resilience Act lorsqu’elles s’appliquent. Les fabricants doivent documenter tous les aspects pertinents de la cybersécurité de leurs produits et consigner toute vulnérabilité qu’ils découvrent ou dont ils ont connaissance.
Assurer la sécurité de la conception et du développement des produits
Les dispositifs connectés doivent être conçus et développés en intégrant la cybersécurité dès le départ. Cette approche crée de la sécurité dès la conception et par défaut. L’UE souhaite que les produits vendus sur ses marchés bénéficient d’une sécurité clé en main, plutôt que de nécessiter une configuration complexe. Elle exige également que ces derniers restent sécurisés s’ils sont utilisés de la manière prévue.
L’approche True Secure by Design repose fondamentalement sur un socle matériel de confiance (HRoT) et le système d’exploitation sous-jacent. Ce système d’exploitation est le logiciel exécuté par le dispositif.
La sécurité matérielle, par exemple avec le démarrage sécurisé du système sur puce (SoC) et l’utilisation d’un élément sécurisé pour le stockage sécurisé des clés, fournit la protection fondamentale. Le système d’exploitation s’appuie sur cette base et la développe pour fournir des fonctionnalités de sécurité au client.
Ces protections matérielles fondamentales sont souvent fournies par un écosystème de confiance composé de fournisseurs de composants et de partenaires en semi-conducteurs.
Signaler les vulnérabilités et incidents activement exploités
Des délais stricts sont imposés pour la déclaration des vulnérabilités et des incidents de sécurité. Un avertissement précoce doit être transmis dans les 24 heures suivant la prise de connaissance, avec une notification complète dans les 72 heures.
Un rapport final doit être soumis dans les 14 jours suivant toute mesure corrective suite à l’exploitation d’une vulnérabilité, et dans un délai d’un mois pour les incidents graves. La plateforme de reporting sera disponible d’ici le 11 septembre 2026, date d’entrée en vigueur des obligations de déclaration.
Fournir des mises à jour de sécurité tout au long du cycle de vie du produit
Les mises à jour de sécurité doivent être disponibles pendant toute la durée de vie du produit et intégrées comme comportement par défaut. De la même façon que le système d’exploitation d’un ordinateur ou d’un smartphone se met à jour relativement facilement, les composants numériques de tout périphérique connecté doivent également pouvoir être mis à jour.
Le règlement impose une période minimale de support d’au moins cinq ans pour les mises à jour de sécurité (à quelques exceptions près).
Créer une documentation technique claire et des instructions pour l’utilisateur
La plupart des fabricants fournissent une documentation technique sous une forme ou une autre. Aujourd’hui, cette documentation devient légalement obligatoire et prouve que les règles ont été respectées. La documentation technique doit contenir des détails sur l’évaluation des risques de cybersécurité, et plus encore.
Les exigences relatives aux instructions pour l’utilisateur incluent les coordonnées du fabricant, les détails du support de cybersécurité fourni, et la manière dont les mises à jour de sécurité peuvent être installées. Ces documents doivent être des « documents évolutifs », mis à jour lorsque cela est nécessaire.
Comment Axis répond aux exigences du Cyber Resilience Act
Axis est bien préparé pour répondre aux exigences essentielles du CRA, et compte bien aller plus loin. Il est important de travailler en étroite collaboration avec des partenaires tels que NXP Semiconductors, qui fournit des éléments sécurisés EdgeLock® certifiés FIPS et Common Criteria afin de garantir que les distributeurs et les clients sachent que les produits sont conformes :
- Le modèle de développement de la sécurité Axis (ASDM) intègre la sécurité tout au long du cycle de vie du logiciel, de la modélisation initiale des menaces et des tests de pénétration avant le lancement jusqu’à la gestion des vulnérabilités en continu et au programme de bug bounty après la sortie du produit. Ce modèle garantit une approche proactive et continue de la sécurité des logiciels.
- La collaboration avec NXP favorise l’intégration de fonctionnalités de sécurité matérielle. Ces aspects incluent l’utilisation d’éléments sécurisés EdgeLock de confiance et certifiés. Établir un socle matériel de confiance au sein des périphériques Axis et intégrer les considérations de sécurité dès les premières phases de la conception.
- Axis est une CNA, ou Autorité de Numérotation CVE ; à ce titre, elle a la capacité d’émettre des identifiants CVE pour les vulnérabilités. Cette opération s’effectue sur le site Web CVE, sur le site Axis, et par e-mail à nos abonnés, garantissant que tous les utilisateurs sont alertés des risques dès que possible.
- Le logiciel de gestion des périphériques Axis fournit des notifications de mise à jour de sécurité, ainsi que la possibilité d’autoriser les mises à niveau d’AXIS OS de façon automatique ou manuelle, sur des centaines de dispositifs si nécessaire. Les dates de fin de support des logiciels sont facilement disponibles.
- Les SBOM sont disponibles pour la plupart des produits basés sur AXIS OS, les enregistreurs vidéo sur IP, ainsi que pour la plupart des logiciels de gestion vidéo et des périphériques Axis.
- Pour plus de détails, consultez la déclaration d’Axis Communications relative au Cyber Resilience Act de l’UE.
Quel est le calendrier du Cyber Resilience Act ?
L’application complète du Cyber Resilience Act est fixée au 11 décembre 2027. Dès cette date, tous les produits matériels et logiciels sur le marché de l’UE devront être entièrement conformes et porter le marquage CE. Une préparation précoce est essentielle pour les produits déjà en développement.
Certains dates importantes sont toutefois à noter. Le 11 juin 2026, le cadre relatif à la notification des organismes d’évaluation de la conformité entrera en vigueur. Cet aspect est important pour les produits des catégories « important » ou « critique », et nécessite une évaluation par un tiers.
Le 11 septembre 2026, le champ d’application s’étend pour intégrer les obligations de déclaration. Les fabricants devront alors commencer à signaler les vulnérabilités activement exploitées.
Le CRA s’appliquera à tous les produits mis sur le marché après l’entrée en vigueur de la loi, même s’ils ont été conçus et développés avant son application.
Quelles sont les sanctions en cas de non-conformité ?
Les sanctions en cas de non-conformité sont graves, et ont été conçues pour inciter les entreprises de toutes tailles à se conformer. Les amendes peuvent atteindre 15 millions d’euros, ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice financier précédent, le plus élevé prévalant.
Ces sanctions sont réservées au non-respect des exigences essentielles en matière de cybersécurité. Des amendes moins élevées, mais toujours significatives, s’appliqueront en cas d’infractions en cas de manquement dans la gestion des vulnérabilités ou de communication d’informations incomplètes ou incorrectes en réponse à une demande.
La conformité au Cyber Resilience Act n’est pas facultative
Même pour les fabricants qui s’efforcent de garantir que leurs produits sont et restent sécurisés, le CRA introduit des règles strictes sur la manière dont ils doivent le documenter et le prouver, aux régulateurs, à leurs clients et à leurs distributeurs.
Les nouvelles règles renforcent le caractère essentiel de la sécurité dès la conception, qui doit être intégrée à chaque choix fait lors de la création d’un produit. Ainsi, la conformité de la sécurité à long terme dépend des choix de conception faits des années avant le déploiement. Elle ne peut en aucun cas être simplement ajoutée au dernier moment.
Se posent aussi les questions de l’accès et de la confiance. Le respect des réglementations reposant sur différentes parties de la chaîne d’approvisionnement induit un besoin clair pour les entreprises de se conformer afin de se protéger mutuellement. De plus, les clients seront plus enclins à faire confiance aux fournisseurs et aux fabricants présentant un dossier vierge.
Cette approche souligne l’importance d’une collaboration étroite sur l’ensemble de la chaîne de valeur, des fournisseurs de composants aux fabricants de périphériques, afin de soutenir la conformité à long terme en matière de cybersécurité.
En ce qui concerne la collaboration étroite entre NXP Semiconductors et Axis Communications, écoutez ce podcast récent qui inclut une discussion technique approfondie autour du CRA.
