Certificat de conformité de cyber-résilience

Le règlement CRA entrera en vigueur le 11 décembre 2024, et les fabricants auront jusqu'au 11 décembre 2027 pour appliquer la plupart de ses exigences, à l'exception d'une période plus limitée jusqu'au 11 septembre 2026 pour l'obligation de déclaration des fabricants en cas d'incidents et de vulnérabilités. La CRA aura un impact sur un large éventail d'entreprises qui vendent leurs produits numériques en Europe, mais avec des degrés de rigueur différents. Lisez notre publication pour mieux comprendre les exigences essentielles de la CRA et les produits concernés.

Tous les vendeurs concernés par la nouvelle réglementation doivent commencer à se préparer, car la conformité affectera le développement du produit à son cœur, afin d'évaluer la maturité de l'entreprise en matière de cyber-résilience. Applus+ Laboratories a développé un nouveau certificat de conformité destiné aux vendeurs de produits non critiques qui seront qualifiés de « par défaut “ ou ” non classés », selon la définition du CRA. Environ 90 % des produits concernés devraient appartenir à cette catégorie. Bien que ces fournisseurs puissent opter pour une auto-évaluation, la conformité aux exigences du CRA serait une obligation légale, y compris la fourniture de toutes les preuves nécessaires (avec des amendes potentielles pour les entreprises non conformes).

Méthodologie d'évaluation de la cyber-résilience

Applus+ Laboratories a développé une méthodologie interne, installée dans la méthodologie européenne d'évaluation de la cybersécurité à heure fixe pour les produits TIC (FITCEM) EN 17640:2022. 

FITCEM EN 17640:2022 est un cadre générique permettant de développer des méthodologies d'évaluation basées sur un ensemble de tâches prédéfinies. Elle a été développée par le CEN CENELEC pour normaliser les méthodologies nationales existantes comme LINCE (Espagne), CSPN (France) ou BSZ (Allemagne) avec la participation d'experts d'Applus+ Laboratories en tant que corédacteurs. Notre méthodologie interne est une instanciation de FITCEM, adaptée aux exigences futures de la CRA. Nos experts en différentes technologies peuvent analyser les besoins spécifiques en fonction du type de produit.  

Tâches d'évaluation incluses dans le service, telles que définies par FITCEM

• Contrôle d'exhaustivité : un contrôle d'exhaustivité pour examiner que toutes les preuves demandées sont reçues par Applus+ Laboratories.

• Examen des fonctionnalités de sécurité: l'évaluation obligatoire de l'analyse des risques effectuée par le fabricant est examinée pour s'assurer que les fonctionnalités de sécurité sont bien définies et couvrent les risques identifiés par le fabricant.

• Documentation de développement: les processus et les documents fournis par le fabricant sont analysés et la conformité aux exigences de la CRA concernant le traitement des produits et des vulnérabilités est vérifiée.

• Examen des vulnérabilités: un examen de l'analyse des vulnérabilités basé sur les vulnérabilités publiques ou connues pour le produit et ses composants est effectué.

Preuves nécessaires pour le certificat de conformité à la cyber-résilience

Le fabricant doit fournir les preuves suivantes incluses dans le dossier technique/la documentation technique (voir annexe II et annexe V de la CRA) :

• La description du produit, y compris l'identification du produit et des fonctionnalités de sécurité, les manuels, les directives d'utilisation, etc.  
• Une description de la conception (spécifications fonctionnelles, algorithmes cryptographiques, modules, composants...), des processus de développement et de production et des processus de traitement des vulnérabilités et de gestion des correctifs.  
• Une évaluation des risques de cybersécurité contre lesquels le produit comportant des éléments numériques est conçu, développé, produit, livré et entretenu, comme le prévoit l'article 13(2) de la CRA. Les procédures d'évaluation des risques et la dernière analyse des risques.  
• S'ils sont appliqués, une liste des normes harmonisées, des spécifications communes et des systèmes de cybersécurité appliqués en totalité ou en partie. Si ces normes harmonisées, spécifications communes ou systèmes de certification de cybersécurité n'ont pas été appliqués, descriptions des solutions adoptées pour satisfaire aux exigences essentielles.  
• Les rapports des essais effectués pour vérifier la conformité du produit et des processus de traitement des vulnérabilités avec les exigences essentielles applicables, telles que définies aux sections 1 et 2 de l'annexe I de la CRA.  
• Une copie de la déclaration de conformité de l'UE (facultatif, non nécessaire pour la présente évaluation).  
• Le cas échéant, la nomenclature du logiciel, telle que définie à l'Annex I, Part I(1), de la CRA. 

Qu'obtient-on ?

Le résultat de l'évaluation est un CoC (certificat de conformité) qui énumère combien d'exigences sont accomplies à partir des exigences relatives au produit et au traitement de la vulnérabilité. Le CoC sera accompagné du droit d'utiliser la marque Applus+ Laboratories Cyber Resilience.  

Pourquoi choisir le CoC de cyber-résilience d'Applus+ Laboratories ?

Applus+ Laboratories est ton partenaire dans la construction d'un avenir numérique cyber-résilient. Nous sommes l'un des 3 meilleurs laboratoires de cybersécurité pour la certification Common Criteria. Nous sommes des experts de premier plan en matière d'évaluation de la sécurité, proposant plus de 20 schémas de cybersécurité pour différents secteurs verticaux, du paiement à l'IoT, en passant par l'automobile ou la cryptographie pour les applications de défense.  

Gardez une longueur d'avance sur les réglementations à venir en matière de cybersécurité

Que vos produits se classent par défaut, en classe I ou en classe II, la marque de conformité Applus+ Cyber Resilience :

• Met en valeur l'engagement de votre entreprise en matière de cyber-résilience.  
• Rassure vos clients et vos partenaires sur le fait que vous êtes en avance sur les nouvelles exigences.  
• Vous positionne à l'avant-garde de la conformité réglementaire.  

Contactez-nous pour en savoir plus sur la façon dont la marque de conformité à la cyber-résilience Applus+ peut élever votre engagement de cybersécurité et vous donner un avantage concurrentiel dans le monde numérique d'aujourd'hui.