L'ANSSI a publié les modalités de notification des organismes évaluateurs de la conformité au Cyber Resilience Act, étape clé du dispositif de cybersécurité européen, avant l'entrée en vigueur du règlement prévue le 11 décembre 2027.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a mis en ligne, le mardi 21 juillet, l'ensemble des documents encadrant la notification des futurs organismes évaluateurs de la conformité au Cyber Resilience Act (CRA). La France sait désormais comment les organismes notifiés CRA vont être adoubés. Le règlement européen impose aux fabricants d'objets connectés et de logiciels de solides garanties de cybersécurité, sous peine de sanctions pour les entreprises qui ne joueraient pas le jeu. Pour les catégories les plus sensibles, seul un tiers indépendant et accrédité pourra valider cette conformité, et l'ANSSI vient d'en préciser toutes les règles du jeu. On vous explique tout.
Avec le CRA, de nouvelles obligations de cybersécurité pour les objets connectés en Europe
Adopté pour endiguer la multiplication des cyberattaques exploitant des failles logicielles ou matérielles, le Cyber Resilience Act rebat les cartes de la conception numérique en Europe. Ce texte, cousin du règlement NIS 2 dont on vous a déjà parlé, ambitionne de faire émerger un marché de produits numériques dignes de confiance, du simple objet connecté domestique aux infrastructures industrielles les plus critiques, en passant par les logiciels grand public.
Concrètement, les fabricants, importateurs et distributeurs devront désormais penser cybersécurité dès la conception de leurs produits, et non plus comme une rustine ajoutée après coup. Qu'il s'agisse de la gestion rigoureuse des vulnérabilités et des incidents, des mesures de sécurité renforcées, ou de la transparence envers les utilisateurs, le règlement fixe une feuille de route précise, sous le contrôle d'un marquage CE devenu, de fait, un véritable gage de fiabilité numérique pour les consommateurs. Et pour ceux qui seraient tentés de faire l'impasse, le CRA prévoit aussi son lot de sanctions pour les entreprises dont les produits ne rempliraient pas ces nouvelles obligations.
Tous les produits ne sont cependant pas logés à la même enseigne. Plus un objet ou un logiciel touche à des fonctions sensibles, plus les exigences grimpent. Pour les catégories jugées critiques ou de classe II, comme les pare-feux, les systèmes industriels ou certaines cartes à puce, la simple auto-déclaration ne suffit plus. Pour être jugées conformes, il faudra l'aval d'un organisme notifié, indépendant, accrédité et soumis à des audits réguliers.
Le rôle clé de l'ANSSI dans la notification CRA
Pour espérer décrocher ce statut envié, un organisme d'évaluation de la conformité doit d'abord passer par la case COFRAC, seul organisme français habilité à délivrer une accréditation officielle. Une fois ce sésame en poche, direction l'ANSSI, qui endosse son rôle d'autorité. C'est elle qui évalue, notifie et contrôle ces futurs évaluateurs, chargés de certifier des produits destinés à l'ensemble du marché européen. Le dossier à déposer doit comporter une demande explicite signée par un représentant habilité, un engagement écrit à se soumettre au contrôle de l'ANSSI, un extrait Kbis, une attestation d'accréditation et un programme de certification détaillé, au minimum. Une fois le statut obtenu, l'organisme reste tenu à un socle d'exigences légales strictes, fixées aux articles 39, 47, 49 et 51 du fameux règlement.
Pour les candidats les plus pressés, il existe une voie transitoire. Un organisme peut être notifié sans détenir encore son accréditation complète, à condition d'avoir obtenu du COFRAC (le comité français d'accréditation) la recevabilité opérationnelle de son dossier. Il dispose alors de douze mois pour finaliser la procédure, et peut réaliser jusqu'à vingt-cinq évaluations en attendant, sans toutefois pouvoir délivrer le moindre certificat avant l'accréditation définitive.
Seul le fameux « module B », qui est l'examen UE de type, fait l'objet de ce premier cadre de notification. Les organismes qui visent cette procédure devront être accrédités selon la norme ISO/IEC 17065, la référence en matière de certification de produits. Le module H, qui repose sur une logique d'évaluation différente, patientera encore un peu : son propre processus de notification sera publié ultérieurement par l'agence.
Six familles de produits concernées, du gestionnaire de mots de passe au jouet connecté
Une fois notifié, l'organisme n'est pas au bout de ses obligations pour autant. Ses activités d'examen documentaire devront suivre la norme ISO/IEC 17020, tandis que ses essais techniques, pour vérifier que les solutions retenues par le fabricant satisfont bien aux exigences essentielles de cybersécurité, relèveront quant à eux de la norme ISO/IEC 17025. Un audit de surveillance devra en outre être mené au moins tous les vingt-quatre mois, et l'ensemble du personnel impliqué, y compris les sous-traitants, devra justifier de compétences précises, encadrées par un référentiel publié par l'ENISA, l'agence européenne de la cybersécurité.
Six grandes familles de produits sont couvertes par ce dispositif. Il y a les logiciels et équipements réseau, les cartes à puce, les boîtiers sécurisés, les systèmes industriels, les objets connectés et les compteurs intelligents. Mais tous ne sont pas évalués de la même façon. Un gestionnaire de mots de passe, un pare-feu, un routeur domestique ou un jouet connecté n'exposent pas les mêmes risques, et chaque catégorie se voit donc associer une méthode de test bien précise. Parmi les plus utilisées, les Critères Communs, un standard international déjà éprouvé dans la sécurité informatique, ou le référentiel SESIP, plus récent, pensé spécifiquement pour les objets connectés et les puces électroniques.
Le dernier point, tout aussi important, concerne la confidentialité. Car pour évaluer un produit, un organisme notifié doit avoir accès à ses secrets de fabrication, et parfois à des failles de sécurité pas encore rendues publiques, des informations forcément sensibles, qu'il doit impérativement protéger. D'où des règles strictes, comme le chiffrement des données, la signature d'un accord de confidentialité avant tout accès à un dossier, et la vigilance renforcée dès qu'un sous-traitant intervient dans la chaîne. Une fois le produit jugé conforme, il n'y a pas besoin d'apposer le logo CE sur chaque appareil séparément, il peut figurer directement sur la déclaration de conformité, le document officiel qui atteste que toutes les règles ont bien été respectées. Il va falloir tenir les délais désormais, puisqu'à partir du 11 décembre 2027, cette conformité ne sera plus une option, mais une obligation pour tous les produits numériques vendus en Europe.
