Le Cyber Resilience Act ne commencera pas réellement en 2027 puisque plusieurs obligations pèseront sur les fabricants bien avant cette échéance, avec des conséquences qui dépassent largement la seule conformité documentaire. Bruno Lignon, Cybersecurity Services Sales Executive chez Rockwell Automation, revient sur ce que le CRA va changer pour les industriels, entre suivi continu des produits, gestion des vulnérabilités, contraintes propres aux environnements OT et risque, très concret, de perdre l’accès au marché européen.
Décembre 2027 : le délai peut sembler confortable. Pourtant, le compte à rebours jusqu’à l’entrée en vigueur totale du Cyber Resilience Act (CRA) de l’Union Européenne a déjà commencé, et certaines de ses règles les plus exigeantes devront être appliquées plus d’un an avant expiration du délai fixé. Les fabricants qui vendent des produits comportant des éléments numériques (PDE, products with digital elements) en Europe – quel que soit l’emplacement de leur siège social – ne peuvent plus considérer le CRA comme un problème futur.
Le CRA exige des fabricants qu’ils intègrent la cybersécurité à leurs produits pour tout leur cycle de vie, de la conception à la fin du support. Il apporte également aux utilisateurs des informations claires et accessibles sur la sécurisation d’un produit et la gestion des vulnérabilités. Pour atteindre ces objectifs, le règlement impose une responsabilité couvrant tout le cycle de vie du produit, des évaluations formelles de la conformité et du risque, ainsi qu’un reporting obligatoire des vulnérabilités. Le non-respect du règlement est sévèrement sanctionné : les amendes peuvent atteindre les 15 millions d’EURO ou 2,5 % du revenu mondial annuel, le montant retenu étant le plus élevé des deux. Une entreprise qui enregistre un revenu de 10 milliards d’EURO risque donc un quart de milliard d’EURO.
Même si le règlement n’entre en vigueur qu’en décembre 2027, la période de transition est déjà bien entamée. À compter de septembre 2026, les fabricants doivent être en mesure de déclarer aux autorités de l’UE les vulnérabilités activement exploitées et les incidents graves dans les 24 heures suivant leur découverte du problème. La date n’est plus si lointaine. Cette capacité opérationnelle doit être en place bien avant la date butoir, ce qui signifie que les processus de surveillance, de remontée et de reporting doivent être installés et testés dès maintenant.
La démarche est encore plus complexe pour les constructeurs de machines. Le Règlement sur les machines de l’UE, qui remplace sans transition la Directive sur les machines en vigueur depuis longtemps, prendra effet le 20 janvier 2027. À la différence de la précédente réglementation, il s’appliquera de manière uniforme à tous les États membres de l’UE, sans possibilité d’interprétation locale. Il introduit également des exigences de santé et de sécurité couvrant explicitement la cybersécurité des machines et des systèmes de commande. Le Règlement sur les machines et le CRA ont été rédigés pour fonctionner ensemble, mais les fabricants sont désormais tenus de satisfaire aux deux textes en parallèle, dans des délais qui se chevauchent et souvent avec les mêmes ressources d’ingénierie et de conformité.
Risque réel de ne plus pouvoir accéder au marché
La conséquence la plus immédiate en cas de retard n’est pas une amende, mais l’impossibilité de vendre. Un produit qui n’obtient pas l’évaluation de conformité requise ne peut tout simplement pas porter le marquage CE nécessaire pour entrer sur le marché européen. Pour les fabricants (OEM) qui livrent des machines complexes comprenant des dizaines de composants provenant de multiples fournisseurs, le risque augmente rapidement. Un constructeur de machines qui vend plus de mille unités par an incluant chacune des dizaines de composants matériels et logiciels individuels doit en effet tenir à jour un inventaire vérifiable et dynamique de tous ces composants, pour chaque machine et aussi longtemps qu’elle fait l’objet d’un support sur le terrain. Il est également tenu d’avertir les utilisateurs finaux de chaque mise à jour relative à la sécurité du produit livré.
Ce modèle de fonctionnement est radicalement différent de celui qu’utilisent la plupart des fabricants depuis des décennies. L’ancienne méthode, qui consiste à « concevoir, valider, appliquer le marquage CE et passer à la suite », est remplacée par une obligation de maintenance continue qui suit le produit pendant toute sa durée de vie. Les fabricants qui gèrent cela comme une certification attribuée une fois pour toute (one-and-done) se retrouveront de nouveau non conformes dès qu’un composant changera ou qu’une nouvelle vulnérabilité sera révélée.
La conformité comme source de résilience et pas uniquement pour prévenir les risques
Correctement appréhendée, l’évolution liée au CRA n’est pas seulement un poids. Les fabricants qui intègrent à leurs opérations l’évaluation continue des risques et la visibilité des équipements obtiennent quelque chose qui leur a toujours manqué : une vue précise et à jour de ce qu’il se passe dans l’ensemble de leur parc installé. Cette visibilité permet de réagir plus rapidement en cas d’incident, de planifier la maintenance de manière plus avisée et de mieux déterminer les systèmes à examiner en priorité. Les organismes de normalisation industrielle s’apprêtent à accompagner cette évolution, avec de nouvelles consignes qui associent les méthodes traditionnelles d’identification des risques avec une notation structurée des risques de cybersécurité. Les fabricants disposent ainsi d’une solution reproductible pour évaluer et réduire conjointement le risque lié à la cybersécurité et le risque de sécurité classique, au lieu de les traiter séparément.
Évoluer sans perturber l’usine
Les environnements de technologies opérationnelles (OT) n’acceptent pas les mêmes remèdes que les équipes informatiques (IT). Les fabricants ne peuvent pas lancer des correctifs non testés ou des analyses de vulnérabilité sur des systèmes de contrôle de production sans risquer une interruption imprévue. Et cette dernière représente souvent un risque commercial plus important que la vulnérabilité elle-même. Satisfaire aux exigences du CRA sans perturber la disponibilité des machines se résume à quelques mesures pratiques :
- Intégrer la sécurité à la phase de conception. La confidentialité, les contrôles d’intégrité et l’accès à moindre privilège devraient faire l’objet de décisions architecturales prises au début du développement du produit, et non de révisions faites après coup dans la précipitation.
- Automatiser la visibilité des équipements. Le suivi manuel des versions de matériel, des révisions de micrologiciels et des nomenclatures logicielles d’un vaste parc installé est incompatible avec les délais de reporting imposés par le CRA. La déclaration d’incident sous 24 heures n’est réaliste qu’avec une surveillance continue et automatisée.
- Décloisonner les silos organisationnels. Dans les entreprises manufacturières, la cybersécurité, la sécurité fonctionnelle et les affaires réglementaires ont toujours été gérées séparément. Le CRA et le Règlement sur les machines supposent tous deux que ces disciplines fonctionnent ensemble, et ce doit donc être également le cas des équipes qui en sont responsables.
- Ancrer les décisions dans des cadres éprouvés et reconnus internationalement. Plutôt que de créer de A à Z des programmes de conformité sur mesure, les approches normalisées suivantes sont plus faciles à défendre et à auditer, et elles s’adaptent plus aisément aux évolutions des exigences réglementaires. Ceci ne se limite pas à l’UE, car d’autres marchés considèrent le CRA comme un modèle.
Les fabricants qui s’attèlent dès à présent à la tâche, bien avant les principaux délais fixés, pourront continuer à livrer en Europe sans interruption, tandis que les concurrents qui se laisseront surprendre devront se démener pour rattraper leur retard.
