02 / Conformité et certification
Le règlement sur la cyberrésilience, pour les produits qui embarquent du code
Nous aidons les fabricants à confronter leurs produits aux exigences essentielles de cybersécurité, à tester ce qu'ils livrent et à mettre en place la gestion des vulnérabilités que le règlement attend pendant toute la période d'assistance.
Présentation
Ce que le règlement sur la cyberrésilience vous demande
Le règlement sur la cyberrésilience (Cyber Resilience Act, CRA), règlement (UE) 2024/2847, fixe des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques mis sur le marché de l'UE : matériels et logiciels connectés, directement ou indirectement, à un appareil ou à un réseau. Les produits déjà couverts par certaines règles sectorielles, comme les dispositifs médicaux ou les véhicules, en sont exclus.
Les obligations pèsent surtout sur les fabricants, avec des devoirs pour les importateurs et les distributeurs. Les produits doivent respecter les exigences essentielles de cybersécurité dès la conception, les fabricants doivent traiter les vulnérabilités pendant la période d'assistance, signaler les vulnérabilités activement exploitées et les incidents graves, et démontrer la conformité par une documentation technique, une déclaration UE de conformité et le marquage CE.
Les obligations entrent en application par étapes sur plusieurs années, et nous travaillons sur celles qui s'appliquent. Black Fox n'est ni un organisme notifié ni une autorité de surveillance du marché. Pour la plupart des produits, le fabricant évalue lui-même la conformité ; pour certaines catégories de produits importants et critiques, un organisme notifié ou un schéma de certification intervient. Nous vous préparons à l'un comme à l'autre.
À qui s'adresse ce service
Les fabricants de matériels, logiciels et firmwares connectés vendus dans l'UE, notamment objets connectés, applications mobiles et de bureau et appliances virtuelles. Également les importateurs et distributeurs qui doivent savoir quoi exiger des produits qu'ils mettent sur le marché.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Champ d'application et classification
Nous passons en revue votre gamme pour déterminer quels produits sont concernés, votre rôle pour chacun et si un produit relève probablement d'une catégorie importante ou critique.
Analyse d'écarts des exigences essentielles
Une revue de chaque produit au regard des exigences essentielles de cybersécurité, par exemple configuration sécurisée par défaut, protection des données, contrôle d'accès, réduction de la surface d'attaque et mises à jour sécurisées.
Tests de sécurité du produit
Tests d'intrusion et revues de sécurité des versions livrées, y compris firmware, applications mobiles et de bureau, appliances virtuelles et services avec lesquels elles communiquent.
Gestion des vulnérabilités
Un processus pour recevoir, trier, corriger et divulguer les vulnérabilités, une nomenclature logicielle (SBOM) et un circuit pour les signalements exigés par le règlement.
Documentation technique
Un appui pour l'évaluation des risques de cybersécurité et la documentation technique qui soutient votre déclaration de conformité.
Développement sécurisé
Des changements concrets dans la façon de construire, revoir et publier le produit, pour que les exigences soient tenues par la chaîne de production et non par une course de dernière minute.
Déroulement de la mission
Lancement
Nous convenons des produits, versions et équipes concernés, et signons d'abord un accord de confidentialité si vous le souhaitez.
Cartographie produit
Nous cartographions les composants, interfaces, dépendances et circuit de mise à jour de chaque produit, ainsi que sa classification probable.
Analyse d'écarts
Revue documentaire, entretiens avec l'ingénierie et examen technique du produit, avec à la clé un rapport priorisé par produit.
Tests
Tests de sécurité du produit tel que livré, avec rapport de synthèse, rapport technique et preuves de concept.
Processus et documentation
Nous travaillons avec vos équipes sur la gestion des vulnérabilités, la SBOM, les circuits de signalement et la documentation technique.
Restitution et suivi
Recommandations et plan par produit, puis en option des contre-tests des nouvelles versions à mesure que les obligations s'appliquent.
Ce que vous recevez
- Vue d'ensemble des produits concernés et de leur classification
- Analyse d'écarts au regard des exigences essentielles de cybersécurité
- Rapport de test d'intrusion ou de revue de sécurité de version
- Procédure de gestion et de divulgation des vulnérabilités
- Éléments pour l'évaluation des risques et la documentation technique
- Plan d'action priorisé par produit
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Êtes-vous un organisme notifié ?
Non. Les organismes notifiés sont désignés par les États membres pour l'évaluation de la conformité par un tiers. Nous préparons le produit et sa documentation, le testons et vous aidons à traiter les constats, quelle que soit la procédure d'évaluation applicable.
Le règlement s'applique-t-il aux logiciels libres ?
Les logiciels libres et open source qui ne sont pas fournis dans le cadre d'une activité commerciale échappent en principe aux obligations principales, et le règlement prévoit un régime allégé pour les gestionnaires de logiciels open source. Si vous vendez un produit qui intègre des composants open source, ces composants relèvent de votre responsabilité de fabricant.
Quand les obligations s'appliquent-elles ?
Par étapes. Les obligations de signalement s'appliquent avant le reste des exigences. Vérifiez les dates dans le règlement et les orientations de la Commission. Nous organisons le travail pour que ce qui s'applique en premier soit prêt en premier.
Un test d'intrusion prouve-t-il la conformité ?
Non. Les tests sont une preuve pour certaines exigences, mais la conformité repose sur l'évaluation des risques, la conception, la gestion des vulnérabilités et la documentation ensemble. Un test vous dit où en est le produit aujourd'hui.
Services associés
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
Commencez par votre prochaine version
Dites-nous ce que vous fabriquez et comment il arrive chez vos clients. Nous vous montrerons où les exigences essentielles et votre produit divergent.