Le CRA impose des exigences aux composants de machines numériques
Le Cyber Resilience Act (CRA) oblige les fabricants à intégrer la cybersécurité dans la conception, le développement et la maintenance des produits dotés d'éléments numériques. Pour les fournisseurs de technologies de sécurité industrielle, cela signifie notamment une attention particulière accordée à la sécurité des communications, à la gestion des accès et aux vulnérabilités. EUCHNER a fait certifier ses processus d'entreprise et de développement par le TÜV dans le cadre de la préparation aux nouvelles exigences européennes.
La sécurité dès la conception
Les machines industrielles échangent de plus en plus de données avec d'autres systèmes. Pensons aux systèmes de clés électroniques pour l'autorisation des utilisateurs et aux interrupteurs de sécurité qui communiquent avec une commande via des réseaux industriels. Cette connectivité rend les processus de production plus flexibles, mais augmente également la surface d'attaque potentielle. L'exploitation de vulnérabilités peut par exemple entraîner des modifications indésirables de configurations, une perturbation des communications ou un accès non autorisé aux systèmes.
Le CRA doit limiter ces risques. Le principe de base est la 'security-by-design' (sécurité dès la conception): les fabricants doivent intégrer la sécurité dès la phase de conception et prêter attention à la cybersécurité pendant la durée de vie prévue de leurs produits.
Les obligations applicables dépendent de la fonctionnalité numérique et du domaine d'application du produit. L'évaluation prend notamment en compte les connexions réseau, le traitement des données et la possibilité d'accéder à des fonctions via des interfaces numériques.
EUCHNER souligne que les interrupteurs de sécurité à codage par transpondeur qui fournissent exclusivement des signaux OSSD du côté utilisateur peuvent s'avérer hors du champ d'application. L'OSSD (Output Signal Switching Device) est une sortie de commutation de sécurité qui transmet l'état d'un dispositif de protection. La présence de telles sorties ne suffit cependant pas en soi à exclure un produit du CRA. Ce sont les propriétés du produit et les critères légaux qui sont déterminants.
Détecter, évaluer et corriger les vulnérabilités
Le chiffrement des données stockées et transmises, une authentification forte et des droits d'accès limités aident à prévenir les accès indésirables. Des configurations d'usine sécurisées sont également importantes: les interfaces et services inutiles doivent être limités et les mots de passe par défaut ne doivent pas constituer un maillon faible. Les fabricants doivent en outre mettre en place un processus pour la détection, l'évaluation et la correction des vulnérabilités, notamment via des mises à jour de sécurité. Cela implique aussi des accords clairs sur la période de support et la disponibilité des mises à jour.
EUCHNER a fait certifier ses processus d'entreprise et de développement par le TÜV. Le fabricant franchit ainsi une étape dans la préparation au CRA. Une certification des processus d'entreprise n'est pas identique à une évaluation de la conformité de produits individuels. La conformité d'un produit au CRA doit être établie selon la procédure applicable.
Sécuriser une machine
Les constructeurs de machines ont tout intérêt à intégrer la cybersécurité des composants intégrés dans leurs choix de conception. À cet égard, les fonctions et les raccordements ne sont pas les seuls éléments importants; la documentation de sécurité disponible, la gestion des vulnérabilités et le support fourni par le fournisseur le sont tout autant. La sécurité d'une machine dépend en effet en partie de la manière dont les composants communiquent entre eux et avec les systèmes externes.
Le CRA s'applique également aux fabricants hors de l'Union européenne qui commercialisent des produits entrant dans son champ d'application sur le marché européen. Depuis le 11 septembre 2026, les obligations de notification pour les vulnérabilités activement exploitées et les incidents graves sont en vigueur. Les fabricants doivent en principe envoyer une première alerte dans les 24 heures et communiquer des informations complémentaires dans les 72 heures.
Les principales obligations relatives aux produits deviendront applicables à partir du 11 décembre 2027. Une attention précoce portée au choix des composants, aux processus de développement et à la documentation aide les fabricants et les constructeurs de machines à s'y préparer.