La Commission européenne a fait de la cybersécurité sa principale priorité pour une Europe numérique et connectée. L’adoption prochaine du Cyber Resilience Act représente un exemple manifeste de cet engagement.
Olaqin a participé au premier rendez-vous Cyber Resilience Act, organisé par la société Moabi au sein de l’incubateur valbonnais Village by CA, qui s’est tenu le 13 octobre à Sophia-Antipolis.
Cet événement a permis de rassembler des entités influentes telles que l’ENISA – agence européenne de cybersécurité – et des acteurs français de la sécurité pour discuter des implications de cette réglementation, enrichissant la rencontre d’une perspective légale et sociale sur le sujet. Le CRA, qui concernera les entreprises de l’UE fournissant des produits matériels et logiciels, comporte encore des interrogations quant à son application.
Le projet de réglementation CRA répond à deux problématiques majeures :
Le CRA est la toute première législation européenne portant sur la cyber résilience. La loi introduit auprès des entreprises européennes des exigences en matière de sécurité informatique pour les produits comportant des éléments numériques.
Mais qu’est-ce que la cyber résilience, beaucoup moins connue que la cybersécurité ?
La cyber résilience englobe l’entièreté de la sécurisation numérique, de façon holistique, pourrions-nous dire ! Elle s’articule autour de deux axes principaux : faire face aux menaces, en adoptant une démarche préventive et non plus seulement curative, et savoir relancer rapidement une production de services en cas d’attaque informatique aboutie.
L’ambition de la Commission européenne est donc de veiller au développement de produits numériques moins vulnérables. Elle désire également s’assurer que la sécurité soit considérée comme une priorité par les fabricants et éditeurs à chaque étape du cycle de vie d’un produit.
Amélioration continue durant le cycle de vie, maintien d’un cadre cohérent de sécurité, amélioration de la transparence des propriétés de sécurité, et utilisation « en toute sécurité » des produits numériques sont les objectifs spécifiques de cette loi.
Avec les États membres de l'UE ayant récemment adopté une position commune sur les exigences du CRA en juillet, cette réglementation devient une réalité de plus en plus concrète.
À l’entrée en vigueur du Cyber Resilience Act, les entreprises auront un délai de deux ans pour se conformer aux nouvelles normes, et d’un an pour signaler les failles de sécurité et les incidents.
Le non-respect de ces règles entraînera des amendes allant jusqu'à 15 millions d’euros ou 2,5 % du chiffre d'affaires annuel mondial global de l’entreprise contrevenante.
La mise en application du CRA est donc un impératif pour toute société évoluant dans le domaine numérique.
Il est alors crucial d’en commencer les préparatifs dès maintenant !
Le CRA a pour ambition de responsabiliser les industriels, les éditeurs de logiciels, et les fournisseurs de service dans la commercialisation de services et produits numériques plus sûrs.
Cela implique moins de vulnérabilités, des cycles garantis de mise à niveau de sécurité et une meilleure transparence sur la sécurité réelle de ces produits et services.
La sécurité informatique devient, de facto, une obligation et donc un élément intrinsèque et non négociable de la conception d’un produit, tout comme le recyclage ou la conformité électrique le sont depuis longtemps.
La catégorie par défaut, qui concerne 90% des solutions numériques, n’exige que de l’auto-évaluation. Il s’agit par exemple de solutions aussi variées que des logiciels d’édition de photo, des enceintes connectées, des disques durs et des consoles de jeu vidéo. Les deux autres catégories, critiques, comprennent 10% des solutions et produits, et sont rangées en deux classes :
Cette classification est basée principalement sur des fonctionnalités spécifiques et la catégorie d’utilisation prévue du produit. (Par exemple du secteur d’activité soumis à NIS2)
Le marché de la santé en France est déjà soumis à de fortes contraintes de sécurité. Si l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) assure la mission d’autorité nationale en matière de sécurité des systèmes d’information, d’autres organismes concourent à la mise en place de cadres d’application de la sécurité dans le domaine spécifique de la santé tels que :
Actuellement, le CRA ne comporte pas de volet spécifique dédié à la santé. Cependant, en Europe, les dispositifs médicaux sont soumis à des processus d’évaluation et de certification distincts. À cet égard, l’ANSM (Agence Nationale de Sécurité du Médicament) propose 68 recommandations de sécurité détaillées pour ces dispositifs.
Les équipements et systèmes destinés à l’édition de feuilles de soins électroniques via les cartes Vitale et CPS (Carte Professionnel de Santé) sont soumis à des homologations et agréments définis par le GIE SESAM-Vitale. Ces homologations et agréments, en vigueur depuis 25 ans, exigent la production de dossiers de sécurité déclaratifs conformes aux exigences formulées dans les référentiels techniques.
Les entreprises françaises de la santé sont donc déjà fortement sensibilisées aux enjeux de la sécurité ; ceci faisant partie intégrante de leur culture d’entreprise. Nul doute alors qu’elles auront en main toutes les cartes pour répondre aux exigences imposées par le Cyber Resilience Act.