Conformité à la loi européenne sur la cyber-résilience (CRA) : un guide complet

Les produits connectés s'intègrent désormais à presque toutes les catégories de produits de consommation et industriels. Appareils intelligents, caméras de sécurité, objets connectés portables, équipements réseau, applications mobiles, logiciels embarqués et produits connectés au cloud peuvent tous engendrer des risques de cybersécurité s'ils ne sont pas conçus, maintenus et mis à jour de manière sécurisée.

L'Union européenne a réagi en Loi sur la cyber-résilience, officiellement connu sous le nom de Règlement (UE) 2024/2847.

La loi sur la cyber-résilience (CRA) instaure des exigences obligatoires en matière de cybersécurité pour les produits matériels et logiciels mis sur le marché de l'Union européenne. Elle transforme la cybersécurité, qui était jusqu'alors une pratique technique largement volontaire, en une obligation formelle de conformité des produits.

Les fabricants doivent évaluer les risques de cybersécurité, intégrer la sécurité au produit, documenter leur conformité, gérer les vulnérabilités, fournir des mises à jour de sécurité et, le cas échéant, signaler les vulnérabilités activement exploitées et les incidents de sécurité graves.

Pour de nombreux produits, la conformité aux exigences des ARC fera également partie du processus de marquage CE.

Qu’est-ce que la loi européenne sur la cyber-résilience ?

La loi sur la cyber-résilience est un règlement européen horizontal relatif à la cybersécurité des produits. Elle s'applique de manière générale aux produits matériels et logiciels comportant des éléments numériques mis sur le marché de l'Union européenne.

Son objectif est de garantir que les produits sont développés en toute sécurité et le restent pendant toute leur durée d'utilisation prévue. Il vise également à fournir aux utilisateurs des informations plus claires sur la sécurité des produits, les mises à jour disponibles et la durée du support en cybersécurité.

Le CRA aborde deux problèmes récurrents sur le marché des produits numériques :

1. Les produits sont souvent mis sur le marché avec des mesures de cybersécurité insuffisantes ou des vulnérabilités connues.
2. Les fabricants peuvent fournir des mises à jour de sécurité insuffisantes, des informations sur les vulnérabilités ou un support après-vente insuffisant une fois le produit vendu.

En vertu de la loi CRA, les fabricants doivent prendre en compte la cybersécurité dès la planification, la conception, le développement, la production, la livraison et la maintenance d'un produit. La cybersécurité ne se limite donc plus à un test d'intrusion final ou à un examen préalable au lancement. Elle doit être intégrée à l'ensemble du cycle de vie du produit.

Des informations complémentaires sont disponibles dans le Résumé de la loi de la Commission européenne sur la cyber-résilience.

Quand la loi sur la cyber-résilience s'applique-t-elle ?

L'ARC est entrée en vigueur le 10 décembre 2024, mais ses exigences s'appliquent par étapes.

• 11 juin 2026 : Les dispositions relatives à la notification des organismes d'évaluation de la conformité commencent à s'appliquer.
• 11 septembre 2026 : Les obligations de signalement des vulnérabilités activement exploitées et des incidents de sécurité graves commencent à s'appliquer.
• 11 décembre 2027 : La plupart des exigences restantes de l'ARC deviennent pleinement applicables.

Les produits mis sur le marché de l'UE avant le 11 décembre 2027 ne sont généralement soumis aux principales exigences de l'ARC que s'ils subissent une modification substantielle après cette date. Cependant, les obligations de déclaration applicables à compter du 11 septembre 2026 peuvent également concerner les produits déjà disponibles sur le marché de l'UE.

Les fabricants ne devraient pas attendre décembre 2027 pour commencer à se préparer. La mise en place d'un processus de développement sécurisé, l'élaboration d'une nomenclature logicielle, la réalisation de tests de cybersécurité et l'implémentation de procédures de signalement des vulnérabilités peuvent prendre un temps considérable.

Quels produits sont couverts par l'ARC ?

L'ARC s'applique généralement à un produit avec des éléments numériques dont la finalité prévue ou l'utilisation raisonnablement prévisible comprend une connexion de données logique ou physique directe ou indirecte à un appareil ou à un réseau.

Un produit comportant des éléments numériques peut inclure :

• Un produit matériel
• Un produit logiciel
• Composants matériels ou logiciels vendus séparément
• micrologiciel embarqué
• Solutions de traitement de données à distance nécessaires au bon fonctionnement du produit

Le traitement des données à distance peut inclure un service cloud contrôlé par le fabricant, dont l'absence empêcherait le produit de remplir l'une de ses fonctions prévues.

Exemples de produits potentiellement couverts

Selon leurs fonctions et leur mode de fourniture, les produits couverts par l’ARC peuvent comprendre :

• appareils de l'Internet des objets
• Produits pour maison intelligente
• appareils électroménagers connectés
• caméras de sécurité intelligentes et systèmes d'alarme
• serrures intelligentes
• Jouets connectés
• Dispositifs portables
• Routeurs, modems et commutateurs réseau
• Ordinateurs, smartphones et tablettes
• périphériques de stockage externes
• Produits d'interface réseau
• Produits de contrôle industriel
• Capteurs connectés
• Systèmes de contrôle d'accès
• Systèmes d'exploitation
• Applications mobiles et de bureau
• Gestionnaires de mots de passe
• logiciel de réseau privé virtuel
• Pare-feu
• Logiciel antivirus et de détection de logiciels malveillants
• Logiciel et micrologiciel embarqués
• Bibliothèques logicielles et composants logiciels commerciaux
• Jeux vidéo et autres logiciels autonomes

La définition est volontairement large. Un produit n'a pas nécessairement besoin d'être connecté directement à Internet. Une connexion indirecte à un autre appareil ou réseau peut suffire.

Par exemple, un produit compatible Bluetooth qui se connecte à une application pour smartphone peut relever de la CRA même si le produit lui-même ne se connecte pas directement à Internet.

L'ARC s'applique-t-elle aux logiciels autonomes ?

Oui. Les logiciels autonomes mis à disposition sur le marché de l'UE peuvent relever du champ d'application de la CRA.

Cela peut inclure :

• Applications mobiles
• Applications de bureau
• Systèmes d'exploitation
• Logiciel de sécurité
• bibliothèques logicielles commerciales
• Logiciel de gestion des périphériques
• Outils de gestion de réseau
• Logiciels vendus via des plateformes de téléchargement
• Logiciel fourni sans produit physique séparé

La prise en charge du logiciel dépend de son mode de fourniture, de sa mise à disposition dans le cadre d'une activité commerciale et de l'application éventuelle d'une exclusion spécifique.

Les logiciels fournis entièrement en tant que service peuvent nécessiter une évaluation plus approfondie. L’ARC ne réglemente généralement pas tous les contrats de logiciel en tant que service, mais les fonctionnalités de traitement de données à distance nécessaires au bon fonctionnement d’un produit visé peuvent faire partie intégrante de ce produit comportant des éléments numériques.

Quels produits sont exclus ?

Certaines catégories de produits sont exclues ou réglementées par d'autres législations sectorielles de l'UE.

Selon les circonstances, des exclusions peuvent s'appliquer aux produits couverts par la législation régissant :

• dispositifs médicaux
• dispositifs médicaux de diagnostic in vitro
• Aviation civile
• véhicules à moteur
• Certains équipements marins
• Produits développés exclusivement à des fins de sécurité nationale ou de défense
• Certains logiciels libres et open source fournis en dehors d'une activité commerciale

Le traitement des logiciels libres exige une attention particulière. Les logiciels mis à disposition en dehors de toute activité commerciale peuvent être exclus, tandis que les produits libres commercialisés et certains gestionnaires de logiciels libres peuvent être soumis à des obligations en matière d'évaluation du risque de contamination.

Un produit ne doit pas être considéré comme exclu du seul fait qu'il soit soumis à une autre législation de l'UE. Les fabricants doivent vérifier si cette autre législation couvre spécifiquement les exigences pertinentes en matière de cybersécurité et si l'accord de reconnaissance mutuelle (ARC) prévoit une exclusion totale ou partielle.

Qui est le fabricant aux termes de l'ARC ?

Le fabricant est la personne physique ou morale qui développe, fabrique ou fait concevoir, développer ou fabriquer un produit comportant des éléments numériques, et commercialise ce produit sous son propre nom ou sa propre marque.

Une entreprise peut donc être considérée comme le fabricant même lorsque :

• Le produit physique est fabriqué par une usine tierce.
• Le logiciel est développé par un prestataire externe.
• Le firmware est fourni par une autre société.
• L'entreprise importe un produit fini et le vend sous sa propre marque.
• Les travaux de développement sont sous-traités à des ingénieurs logiciels ou à des prestataires de services techniques.

L'externalisation du développement n'externalise pas la responsabilité légale du fabricant.

L’entreprise qui met le produit sur le marché sous son nom ou sa marque de commerce doit s’assurer que le produit complet, y compris les composants logiciels et matériels tiers, répond aux exigences de l’ARC.

Quelles sont les principales obligations du fabricant envers les agences d'évaluation du crédit ?

La responsabilité principale en matière de conformité incombe aux fabricants.

Avant de mettre sur le marché de l'UE un produit comportant des éléments numériques, le fabricant doit généralement :

1. Déterminez si le produit entre dans le champ d'application de l'ARC.
2. Déterminez si le produit est un produit par défaut, important ou critique.
3. Effectuez une évaluation des risques de cybersécurité.
4. Concevoir, développer et fabriquer le produit conformément aux exigences essentielles en matière de cybersécurité.
5. Faites preuve de diligence raisonnable lors de l'intégration de composants tiers.
6. Mettre en place des processus de gestion des vulnérabilités.
7. Déterminer et documenter la période de support produit.
8. Préparez la documentation technique requise.
9. Procéder à l'évaluation de conformité appropriée.
10. Préparer et signer la déclaration de conformité UE.
11. Apposer le marquage CE.
12. Fournissez les informations produit requises et les consignes de sécurité.
13. Surveiller les vulnérabilités et les incidents après la mise sur le marché du produit.
14. Fournir des mises à jour de sécurité pendant la période de support.
15. Prenez des mesures correctives lorsqu'un produit n'est pas conforme ou présente un risque pour la cybersécurité.
16. Respectez les délais applicables en matière de signalement des vulnérabilités et des incidents.

Le fabricant doit pouvoir démontrer sa conformité au moyen de documents, de procédures et de preuves techniques. Une simple déclaration générale attestant de la sécurité du produit ne sera pas suffisante.

Exigences essentielles en matière de cybersécurité

L’annexe I de la CRA contient les exigences essentielles en matière de cybersécurité.

Ces exigences se divisent en deux grands domaines :

• Propriétés de cybersécurité du produit
• exigences en matière de gestion des vulnérabilités

La sécurité dès la conception et par défaut

Les produits doivent être conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction de leurs risques.

Selon le produit, cela peut nécessiter des mesures concernant :

• Configurations par défaut sécurisées
• Authentification
• Contrôle d'accès
• Confidentialité
• Cryptage
• Intégrité des données
• Disponibilité du service et du système
• Protection contre l'accès non autorisé
• Protection contre la manipulation
• Réduction de la surface d'attaque
• Limitation des interfaces exposées
• Communication sécurisée
• Résilience face aux attaques par déni de service
• Journalisation et surveillance de la sécurité
• Suppression sécurisée des données
• Réduction du traitement des données inutiles
• Protection contre les techniques d'attaque connues
• mécanismes de mise à jour sécurisés
• Récupération suite à des incidents de sécurité

Les contrôles appropriés dépendent du produit, de son utilisation prévue, des utilisations abusives raisonnablement prévisibles, de l'environnement d'exploitation et des conséquences potentielles d'une cyberattaque réussie.

Aucune vulnérabilité exploitable connue

Un produit ne doit pas être mis sur le marché avec des vulnérabilités exploitables connues.

Cela nécessite bien plus qu'un simple test ponctuel juste avant le lancement. Les fabricants ont besoin d'un processus pour identifier, évaluer, hiérarchiser et résoudre les vulnérabilités affectant :

• Logiciel propriétaire
• Micrologiciel
• Systèmes d'exploitation
• Bibliothèques open source
• Composants logiciels tiers
• Protocoles de communication
• Composants matériels
• Dépendances du cloud
• Applications mobiles
• interfaces de programmation d'applications

Mises à jour sécurisées

Lorsque des mises à jour de sécurité sont nécessaires, les fabricants doivent les mettre à disposition sans délai et généralement gratuitement pendant la période de support.

Pour de nombreux produits, les mises à jour de sécurité devraient être installées automatiquement par défaut lorsque cela est techniquement possible. Les utilisateurs devraient généralement pouvoir reporter ou désactiver l'installation automatique grâce à un mécanisme clair et accessible.

Dans la mesure du possible, les mises à jour de sécurité doivent être dissociées des mises à jour fonctionnelles. Cela évite aux utilisateurs d'être contraints d'accepter des modifications fonctionnelles sans lien avec les mises à jour fonctionnelles, simplement pour bénéficier d'un correctif de sécurité essentiel.

Évaluation des risques de cybersécurité

L’évaluation des risques de cybersécurité est l’un des documents centraux de l’ARC.

Il ne s'agit pas d'une liste de contrôle de sécurité informatique générique. Elle doit être spécifique au produit, à ses composants, à son utilisation prévue et prévisible, à ses utilisateurs, à ses données, à sa connectivité et à son environnement d'exploitation.

Que doit couvrir l'évaluation des risques ?

Une évaluation des risques appropriée peut prendre en compte :

• Architecture du produit
• Composants matériels et logiciels
• technologies de communication
• interfaces réseau
• Services cloud
• Applications mobiles
• Rôles et privilèges des utilisateurs
• Méthodes d'authentification
• Données traitées ou stockées
• Chiffrement et gestion des clés
• Mécanismes de mise à jour
• Dépendances tierces
• Acteurs de menace potentiels
• vecteurs d'attaque
• faiblesses connues
• Utilisation abusive prévisible
• Conséquences du compromis
• Contrôles de sécurité existants
• Risques résiduels
• Tests requis
• Mesures de gestion des vulnérabilités
• Surveillance post-commercialisation

Quand faut-il mettre à jour l'évaluation des risques ?

L'évaluation doit orienter la conception et le développement du produit. Elle doit également être révisée en cas de changements importants, tels que :

• Une mise à jour logicielle majeure
• Une nouvelle fonction produit
• Une modification de l'architecture du produit
• L'intégration d'un nouveau composant tiers
• Une nouvelle menace importante
• Découverte d'une vulnérabilité activement exploitée
• Une modification de l'utilisation prévue du produit
• Une modification substantielle de l'infrastructure cloud ou réseau

L’évaluation des risques fait partie de la documentation technique et peut être demandée par les autorités de surveillance du marché.

Nomenclature logicielle

UN Nomenclature logicielle, Communément appelée SBOM, il s'agit d'un inventaire structuré des composants logiciels contenus dans un produit.

Informations généralement incluses dans une nomenclature d'entreprise (SBOM)

Un SBOM peut identifier :

• Modules logiciels propriétaires
• Bibliothèques open source
• Dépendances tierces
• Composants du micrologiciel
• Noms des composants
• Versions des composants
• Fournisseurs
• Licences
• Relations de dépendance
• Références aux vulnérabilités connues
• Identifiants de paquet

La nomenclature des composants (SBOM) aide le fabricant à déterminer si ses produits sont affectés lorsqu'une vulnérabilité est découverte dans un composant tiers.

Pourquoi la nomenclature des services (SBOM) doit être tenue à jour

Par exemple, si une bibliothèque logicielle largement utilisée s'avère contenir une vulnérabilité critique, le fabricant devrait pouvoir l'identifier rapidement :

• Quels produits utilisent la bibliothèque concernée ?
• Quelles versions de produits sont concernées ?
• Que la fonction vulnérable soit accessible ou exploitable
• Est-il nécessaire de déterminer si une mise à jour corrective est requise ?
• Quels clients ou autorités doivent être informés
• Que les obligations de déclaration auprès de l'ARC soient déclenchées

Une nomenclature logicielle (SBOM) créée une seule fois et jamais mise à jour est inutile. Les fabricants ont besoin d'un système de contrôle de version et d'un processus pour la maintenir à mesure que le logiciel évolue.

Exigences en matière de gestion des vulnérabilités

La conformité aux exigences des ARC se poursuit après la mise sur le marché du produit.

Les fabricants doivent mettre en place des processus pour :

• Identifier les vulnérabilités
• Recevoir des rapports de vulnérabilité
• vulnérabilités des documents
• Évaluer leur gravité et leur potentiel d'exploitation
• Surveiller les vulnérabilités affectant les composants tiers
• Tester et examiner la sécurité des produits
• Corrigez les vulnérabilités sans délai
• Diffuser les mises à jour de sécurité en toute sécurité
• Informer les utilisateurs des corrections disponibles
• Divulguer publiquement les informations relatives aux vulnérabilités corrigées lorsque cela est nécessaire
• Préservez la confidentialité des informations relatives aux vulnérabilités jusqu'à ce qu'une correction soit disponible.
• Maintenir une politique de divulgation des vulnérabilités coordonnée

Divulgation coordonnée des vulnérabilités

Les fabricants devraient publier une méthode claire et activement contrôlée permettant aux chercheurs en sécurité, aux clients et aux autres parties de signaler les vulnérabilités.

Le processus devrait permettre d'identifier :

• Le contact de signalement
• Les informations que les journalistes doivent fournir
• Le processus d'accusé de réception du fabricant
• Délais de réponse prévus
• attentes en matière de confidentialité
• Comment le fabricant coordonne la divulgation
• Comment les chercheurs en sécurité seront-ils traités ?
• Modalités de publication des corrections et des avis

Obligations de déclaration auprès de l'ARC à compter de septembre 2026

Les obligations de déclaration prévues à l'article 14 s'appliquent à compter de 11 septembre 2026.

Les fabricants doivent signaler certaines vulnérabilités activement exploitées et les incidents graves via la plateforme de signalement unique CRA gérée par l'Agence de l'Union européenne pour la cybersécurité (ENISA).

Délais de déclaration

Le processus de signalement comprend généralement :

• Une notification d'alerte précoce dans les 24 heures
• Une notification plus détaillée vous sera envoyée dans les 72 heures.
• Un rapport final dans le délai légal applicable

Vulnérabilités activement exploitées

En cas de vulnérabilité activement exploitée, le rapport final doit généralement être remis au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation.

Incidents de sécurité graves

En cas d'incident de sécurité grave, le rapport final est généralement requis dans un délai d'un mois suivant la notification de 72 heures.

Le délai de signalement commence lorsque le fabricant prend connaissance de la vulnérabilité ou de l'incident concerné. Les fabricants doivent donc disposer de procédures d'escalade internes permettant de transmettre rapidement l'information aux responsables de la conformité et de la sécurité.

Une vulnérabilité découverte par une équipe de support client, un chercheur externe, un distributeur, un fournisseur de logiciels ou un bureau de développement à l'étranger peut déclencher la même procédure de signalement légal qu'une vulnérabilité découverte par l'équipe centrale de cybersécurité du fabricant.

Qu’est-ce qu’une vulnérabilité activement exploitée ?

Une vulnérabilité activement exploitée ne se limite pas à une faiblesse théorique ou à chaque entrée d'une base de données de vulnérabilités.

En pratique, le fabricant doit évaluer s'il existe des preuves fiables qu'un acteur malveillant a exploité la vulnérabilité d'un système sans l'autorisation du propriétaire du système.

Cette distinction est importante car l'obligation de déclaration auprès des agences d'évaluation du crédit est liée à l'exploitation active, et non simplement à l'existence de chaque vulnérabilité potentielle.

Toutefois, les fabricants doivent toujours identifier, évaluer et corriger les vulnérabilités qui ne sont pas activement exploitées, dans le cadre de leurs obligations générales de gestion des vulnérabilités.

Période de support et mises à jour de sécurité

Les fabricants doivent définir une période de support durant laquelle les vulnérabilités seront traitées et les mises à jour de sécurité fournies.

Facteurs influençant la période de soutien

La durée du soutien doit tenir compte de facteurs tels que :

• La période d'utilisation prévue
• La nature et la finalité prévue du produit
• Attentes raisonnables des utilisateurs
• L'environnement opérationnel
• La durée pendant laquelle les produits similaires sont normalement pris en charge
• La disponibilité des pièces de rechange ou des services associés
• Les risques de cybersécurité associés à l'arrêt du support

La date de fin de la période d'assistance, y compris le mois et l'année, doit être clairement communiquée aux utilisateurs au moment de l'achat.

Les fabricants doivent éviter de considérer la période de support comme un simple argument marketing sans fondement opérationnel. Ils doivent disposer des capacités techniques et organisationnelles nécessaires pour surveiller les vulnérabilités, développer des mises à jour et les diffuser pendant toute la durée annoncée.

Accords à long terme avec les fournisseurs

Cela peut nécessiter des accords à long terme avec :

• développeurs de logiciels
• Fournisseurs de micrologiciels
• Fournisseurs de cloud
• Fabricants de composants
• développeurs d'applications mobiles
• services de surveillance de la cybersécurité
• Laboratoires d'essais
• Fournisseurs d'hébergement et d'infrastructure

Informations sur le produit et instructions d'utilisation

Les produits visés par l’ARC doivent être accompagnés de renseignements et d’instructions clairs.

Selon le produit, les informations peuvent devoir inclure :

• Nom légal du fabricant
• Nom commercial ou marque déposée
• Adresse postale
• Adresse courriel ou autre contact numérique
• Type de produit, lot, numéro de série ou autre identifiant
• Objectif visé
• Fonctions essentielles du produit
• propriétés de cybersécurité
• Instructions d'installation sécurisées
• Instructions de configuration sécurisée
• Instructions pour une utilisation en toute sécurité
• Informations concernant les mises à jour de sécurité pertinentes
• Instructions pour installer les mises à jour
• Informations sur les mises à jour automatiques
• Instructions pour désactiver les mises à jour automatiques, le cas échéant
• date de fin de la période de support
• Contact pour le signalement des vulnérabilités
• Informations coordonnées sur la divulgation des vulnérabilités
• Instructions pour supprimer en toute sécurité les données utilisateur
• Avertissements ou limitations pertinents en matière de cybersécurité

Les instructions doivent être claires, compréhensibles, intelligibles et lisibles. Elles doivent être fournies dans une langue que les utilisateurs et les autorités compétentes peuvent facilement comprendre dans l'État membre où le produit est vendu.

Documentation technique

Les fabricants doivent préparer une documentation technique avant de mettre sur le marché un produit concerné.

Le dossier technique doit démontrer comment le produit est conforme à l'ARC et doit normalement inclure :

• Description générale du produit
• Identification du produit
• Objectif visé
• Utilisateurs visés
• Versions du produit
• architecture matérielle
• architecture logicielle
• Versions du micrologiciel et du logiciel
• interfaces de communication
• Architecture réseau
• Dépendances de traitement de données à distance
• Informations sur la conception et le développement
• évaluation des risques de cybersécurité
• Évaluation des exigences essentielles
• Normes appliquées ou spécifications techniques
• Descriptions des contrôles de sécurité
• Plans de test et rapports de test
• Évaluations de la vulnérabilité
• Rapports de tests d'intrusion, le cas échéant
• Nomenclature logicielle
• Dossiers de développement sécurisé
• Procédures de mise à jour et de gestion des correctifs
• Procédure de gestion des vulnérabilités
• Politique de divulgation coordonnée des vulnérabilités
• justification de la période de soutien
• Étiquettes de produits
• Instructions d'utilisation
• Dossiers d'évaluation de la conformité
• Déclaration de conformité de l'UE
• Informations relatives à l'organisme notifié, le cas échéant.

La documentation doit être suffisamment précise pour permettre aux autorités d'évaluer la conformité du produit.

Un ensemble de certificats sans lien clair avec le produit, les risques et les exigences des agences d'évaluation du crédit ne constituera généralement pas un dossier technique adéquat.

Classification des produits en vertu de l'ARC

L'ARC utilise différentes méthodes d'évaluation de la conformité en fonction du type et du profil de risque du produit.

Les produits se répartissent généralement dans l'un des groupes suivants :

• Produits par défaut
• Produits importants, classe I
• Produits importants, classe II
• Produits essentiels

La classification dépend de la présence, dans le produit, des fonctionnalités essentielles d'une catégorie figurant à l'annexe III ou à l'annexe IV.

Produits par défaut

Les produits qui ne sont pas classés comme importants ou critiques suivent généralement la voie par défaut.

Les fabricants de ces produits peuvent normalement utiliser un contrôle interne, également appelé module A, pour évaluer la conformité.

Cela ne signifie pas qu'aucune évaluation ni aucun test n'est requis. Le fabricant doit toujours :

• Réalisez l'évaluation des risques de cybersécurité
• Respecter les exigences essentielles en matière de cybersécurité
• Préparer la documentation technique
• Obtenir des preuves techniques appropriées
• Effectuer les tests requis
• Établir des procédures de gestion des vulnérabilités
• Préparer la déclaration de conformité UE
• Apposer le marquage CE

L’auto-évaluation signifie que le fabricant assume la responsabilité de l’évaluation de la conformité. Elle ne le dispense pas des obligations techniques sous-jacentes.

Produits importants, classe I

La classe I comprend certains produits dotés de fonctions importantes en matière de cybersécurité ou dont la compromission pourrait engendrer des risques de sécurité plus importants.

Selon leurs fonctionnalités principales, les exemples peuvent inclure certains :

• Systèmes de gestion des identités
• Produits de gestion des accès privilégiés
• Navigateurs
• Gestionnaires de mots de passe
• Produits antivirus
• Produits de réseau privé virtuel
• Systèmes de gestion de réseau
• Systèmes de gestion des informations et des événements de sécurité
• Gestionnaires de démarrage
• Produits d'infrastructure à clé publique
• Systèmes d'exploitation
• Routeurs, modems et commutateurs
• Produits pour la maison connectée avec fonctions de sécurité
• Microprocesseurs et microcontrôleurs dotés de fonctionnalités liées à la sécurité

Pour les produits de classe I, le contrôle interne peut rester possible lorsque le fabricant applique pleinement les normes harmonisées pertinentes, les spécifications communes ou un système de certification européen de cybersécurité applicable.

Lorsque ces voies d'accès ne sont pas disponibles ou ne sont pas pleinement appliquées, une évaluation de conformité par un organisme notifié tiers peut être requise.

Produits importants, classe II

La classe II concerne les produits importants à risque plus élevé.

En fonction de leurs fonctionnalités principales, les exemples peuvent inclure certains :

• Hyperviseurs
• systèmes d'exécution de conteneurs
• Pare-feu
• Systèmes de détection d'intrusion
• Systèmes de prévention des intrusions
• Microprocesseurs inviolables
• Microcontrôleurs inviolables

Les produits de classe II nécessitent généralement une évaluation de conformité par un organisme tiers ou un système de certification de cybersécurité européen applicable.

Produits essentiels

Les produits critiques sont listés séparément à l'annexe IV et sont soumis aux exigences d'évaluation de conformité les plus strictes.

Les fabricants ne doivent pas classer un produit uniquement en fonction de sa dénomination commerciale. La classification dépend des fonctionnalités essentielles du produit et des descriptions techniques adoptées dans le cadre de l'accord de reconnaissance mutuelle des produits (ARC).

Évaluation de la conformité

Avant de mettre le produit sur le marché, le fabricant doit effectuer la procédure d'évaluation de la conformité appropriée.

Selon la classification, les options applicables peuvent inclure :

• Contrôle interne
• Examen de type UE suivi d'une vérification de conformité au type
• Assurance qualité complète
• Évaluation par un organisme notifié
• Un système de certification européen applicable en matière de cybersécurité

La disponibilité de l'auto-évaluation dépend de la catégorie de produit et, pour certains produits de classe I, de l'application intégrale des normes harmonisées pertinentes ou d'autres voies de conformité reconnues.

Les fabricants doivent définir au plus tôt la procédure d'évaluation de la conformité. Découvrir tardivement, au cours du développement du produit, que l'intervention d'un organisme notifié est requise peut retarder l'accès au marché.

Normes harmonisées

Les normes européennes harmonisées devraient jouer un rôle important dans la conformité aux exigences des agences d'évaluation du crédit.

Lorsqu'une norme harmonisée pertinente est citée au Journal officiel de l'Union européenne et correctement appliquée, elle peut constituer une présomption de conformité aux exigences légales correspondantes.

En attendant la mise en place de normes appropriées, les fabricants doivent toujours démontrer leur conformité par des méthodes techniques et des preuves adéquates.

Les normes et cadres de cybersécurité existants peuvent faciliter la préparation, selon le produit. Toutefois, l'utilisation d'une norme reconnue ne garantit pas automatiquement la conformité à toutes les obligations des autorités de réglementation des cybersécurités, à moins qu'elle ne possède le statut juridique requis et ne couvre les exigences pertinentes.

Documenter l'utilisation des normes

Les fabricants doivent documenter :

• Quelle norme ou spécification a été utilisée ?
• Quelle version a été appliquée ?
• Quelles exigences de l'ARC cela couvre-t-il ?
• Qu'elle ait été appliquée intégralement ou partiellement
• Comment les exigences non identifiées ont été prises en compte
• Quels tests ou évaluations ont été effectués

Déclaration de conformité de l'UE

Une fois la conformité démontrée, le fabricant doit établir et signer une déclaration de conformité UE.

La déclaration confirme que le fabricant assume la responsabilité de la conformité du produit aux exigences applicables de l'UE.

Elle devrait inclure les informations requises par l’annexe V, telles que :

• Nom et identification du produit
• Nom et adresse du fabricant
• Déclaration de responsabilité
• Objet de la déclaration
• Législation européenne applicable
• Normes ou spécifications harmonisées pertinentes
• Informations sur l'organisme notifié, le cas échéant
• Informations complémentaires sur la conformité
• Lieu et date d'émission
• Nom, fonction et signature de la personne autorisée

Lorsque plusieurs lois de l'UE s'appliquent à un même produit, le fabricant peut normalement établir une seule déclaration de conformité UE couvrant toute la législation applicable.

Par exemple, un appareil sans fil connecté peut également être soumis à la directive sur les équipements radioélectriques, à la directive RoHS, aux exigences de compatibilité électromagnétique et à d'autres législations spécifiques aux produits.

Obligations de l'importateur

Un importateur de l'UE qui met sur le marché de l'Union un produit provenant d'un fabricant non membre de l'UE doit vérifier que ce dernier a respecté les obligations applicables en matière d'accords de reconnaissance mutuelle (ARC).

L'importateur doit notamment vérifier que :

• L'évaluation de conformité appropriée a été réalisée.
• La documentation technique a été préparée
• La déclaration de conformité de l'UE est disponible
• Le produit porte le marquage CE
• L'identification du produit est présente
• Les informations du fabricant sont fournies
• Les instructions nécessaires accompagnent le produit.
• La période de soutien est indiquée
• Des processus de gestion des vulnérabilités sont en place

Si l'importateur estime que le produit n'est pas conforme ou présente un risque important en matière de cybersécurité, il ne doit pas le mettre sur le marché tant que le problème n'a pas été résolu.

Les importateurs doivent également coopérer avec les autorités et peuvent avoir des obligations lorsqu'ils prennent connaissance de vulnérabilités affectant le produit.

Obligations du distributeur

Les distributeurs doivent faire preuve de toute la diligence requise lorsqu'ils mettent des produits à disposition sur le marché de l'UE.

Ils doivent vérifier les éléments de conformité formels pertinents, notamment :

• Identification du produit
• Détails du fabricant et de l'importateur
• Informations utilisateur requises
• consignes de sécurité
• Informations sur la période de soutien

Un distributeur ne doit pas continuer à fournir un produit qu'il a des raisons de croire non conforme. Il peut également être tenu d'en informer le fabricant ou l'importateur et de coopérer avec les autorités de surveillance du marché.

Représentant autorisé de l'UE

Un fabricant établi hors de l'Union européenne peut désigner un Représentant autorisé de l'UE par un mandat écrit.

Le représentant autorisé peut effectuer certaines tâches réglementaires au nom du fabricant, telles que :

• Maintenir la déclaration de conformité de l'UE disponible
• Maintenir la documentation technique à la disposition des autorités
• Répondre aux demandes motivées des autorités
• Fournir des informations de conformité
• Coopérer avec les autorités de surveillance du marché
• Soutien à la traçabilité et à la communication réglementaire
• Informer le fabricant des demandes de renseignements des autorités

Toutefois, la désignation d'un représentant agréé ne transfère pas la responsabilité fondamentale du fabricant concernant le produit.

Responsabilités qui incombent au fabricant

Le fabricant demeure responsable de :

• Conception et développement de produits sécurisés
• évaluation des risques de cybersécurité
• Conformité aux exigences essentielles
• Documentation technique
• Évaluation de la conformité
• Gestion des vulnérabilités
• Mises à jour de sécurité
• Signalement d'incidents
• Mesures correctives
• Conformité continue du produit

Modifications substantielles

Une personne qui apporte une modification substantielle à un produit et qui met ensuite ce produit sur le marché peut assumer les responsabilités de fabricant.

Une modification peut être considérée comme substantielle lorsqu'elle affecte la conformité du produit aux exigences essentielles de cybersécurité ou lorsqu'elle modifie sa finalité prévue.

Exemples de modifications potentiellement substantielles

• Ajout de fonctionnalités connectées majeures
• Architecture d'authentification en évolution
• Remplacement du système d'exploitation
• Présentation d'une nouvelle plateforme cloud
• Ajout de la fonctionnalité de télécommande
• Activation de nouvelles interfaces réseau
• Apporter des modifications importantes aux logiciels critiques pour la sécurité
• Modification du groupe d'utilisateurs prévu ou de l'environnement d'exploitation

Les mises à jour de sécurité courantes qui rétablissent ou maintiennent la conformité ne doivent pas être automatiquement considérées comme des modifications substantielles. Toutefois, les fabricants et les opérateurs en aval doivent documenter les modifications importantes apportées aux produits et évaluer leur incidence réglementaire.

Surveillance post-commercialisation et mesures correctives

La conformité aux exigences de l'ARC est une obligation continue.

Après la mise sur le marché du produit, le fabricant doit continuer à surveiller les informations pertinentes en matière de cybersécurité.

Sources de surveillance potentielles

Les sources peuvent inclure :

• Tests de sécurité interne
• Réclamations des clients
• Rapports de vulnérabilité
• Chercheurs en sécurité
• Fournisseurs de composants
• Avis de sécurité open source
• bases de données de vulnérabilité
• Services de renseignement sur les menaces
• Importateurs et distributeurs
• autorités de surveillance du marché
• Équipes d'intervention en cas d'incident de sécurité informatique
• communications ENISA

Mesures correctives possibles

Lorsqu'un produit est jugé non conforme ou présente un risque pour la cybersécurité, le fabricant peut être amené à :

• Corriger le produit
• Publier une mise à jour de sécurité
• Fournir une solution de contournement
• Informer les utilisateurs concernés
• Informer les importateurs et les distributeurs
• Avertir les autorités compétentes
• Limiter la disponibilité des produits
• Retirer le produit
• Rappel du produit

La réponse doit être proportionnée au risque, mais l'inaction n'est pas une stratégie de conformité acceptable.

Conservation des documents

Les fabricants doivent conserver la documentation technique requise et la déclaration de conformité UE pendant la période applicable en vertu de l'accord de reconnaissance mutuelle (CRA).

Un système d'archivage de documents fiable doit préserver :

• Versions du produit
• Versions logicielles
• Versions SBOM
• Versions d'évaluation des risques
• Rapports de test
• Décisions relatives à la vulnérabilité
• Avis de sécurité
• Dossiers de mesures correctives
• Historique des mises à jour
• Rapports d'incidents
• Communications des autorités
• Déclarations de conformité

Le contrôle des versions est particulièrement important. Les autorités peuvent avoir besoin de déterminer quels logiciels, composants et preuves de conformité s'appliquaient à une version particulière d'un produit à un moment précis.

Sanctions en cas de non-respect

L'ARC prévoit des amendes administratives substantielles.

Selon la gravité de l'infraction, les sanctions peuvent atteindre :

• Jusqu'à €15 millions, soit 2,5 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, pour certaines infractions graves
• Jusqu'à €10 millions ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu pour les autres obligations
• Jusqu'à €5 million ou 1 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour avoir fourni des informations incorrectes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités de surveillance du marché.

Les autorités peuvent également ordonner des mesures correctives, restreindre ou interdire la vente de produits, exiger leur retrait ou ordonner un rappel.

Les conséquences commerciales peuvent donc aller au-delà de l'amende elle-même. Le non-respect de la réglementation peut affecter l'accès aux distributeurs européens, aux plateformes de vente en ligne, aux détaillants, aux clients, aux programmes d'approvisionnement et à la couverture d'assurance.

Feuille de route pratique pour la conformité aux ARC

Étape 1 : Confirmer le périmètre du produit

Déterminer si le produit comporte des éléments numériques et si une exclusion s'applique.

Document:

• Le produit
• Logiciel et micrologiciel
• Connectivité
• Fonctions de traitement de données à distance
• Objectif visé
• Modèle d'approvisionnement commercial
• Exclusions applicables

Étape 2 : Classer le produit

Déterminez si le produit est :

• Un produit par défaut
• Classe importante I
• Classe II importante
• Critique

La classification détermine la voie d'évaluation de la conformité.

Étape 3 : Cartographier la chaîne d’approvisionnement et les responsabilités

Identifier:

• Fabricant légal
• développeurs de logiciels
• Fabricants de matériel
• Fournisseurs de composants
• Fournisseurs de cloud
• Importateur de l'UE
• Distributeurs
• Représentant autorisé de l'UE
• fournisseurs de tests
• Organisme notifié, le cas échéant

Les responsabilités contractuelles doivent venir appuyer les obligations légales du fabricant.

Étape 4 : Réaliser l'évaluation des risques de cybersécurité

Identifier les menaces, les vulnérabilités, les impacts potentiels et les contrôles nécessaires en matière de cybersécurité.

L'évaluation doit couvrir l'intégralité du produit, y compris les composants externes et les dépendances liées au cloud.

Étape 5 : Cartographier les exigences essentielles

Créez une matrice de conformité reliant chaque exigence applicable des agences d'évaluation du crédit à :

• Contrôle du produit
• Spécifications de conception
• Procédure
• Résultat du test
• Document technique
• Personne responsable
• Action exceptionnelle

Étape 6 : Établir le cycle de vie de développement sécurisé

Documentez la manière dont la cybersécurité est gérée pendant :

• Définition des exigences
• Architecture
• Développement
• revue de code
• Sélection des composants
• Essai
• Libérer
• Entretien
• Remédiation des vulnérabilités
• Fin de vie

Étape 7 : Préparer et tenir à jour la nomenclature des pièces (SBOM).

Identifier tous les composants logiciels concernés et établir un processus de surveillance des vulnérabilités qui les affectent.

Étape 8 : Tests techniques complets

Selon le produit et les risques, les tests peuvent comprendre :

• Analyse des vulnérabilités
• Tests d'intrusion
• Analyse du code source
• Analyse de la composition logicielle
• Tests d'authentification
• Revue de cryptage
• Tests d'interface
• Tests du mécanisme de mise à jour
• Tests de fuzz
• Tests de sécurité réseau
• Tests de résilience
• Examen de la configuration sécurisée

Les essais doivent être basés sur l'évaluation des risques et la démarche de conformité.

Étape 9 : Établir les procédures de gestion des vulnérabilités et des incidents

Élaborer les procédures pour :

• Réception des rapports
• Triage
• Évaluation de la gravité
• Escalade
• Remédiation
• Divulgation
• Communication avec les utilisateurs
• Rapport de l'ENISA
• Communication des autorités
• Mesures correctives

Étape 10 : Déterminer la période de soutien

Définir et justifier la durée pendant laquelle le fabricant assurera la gestion des vulnérabilités et les mises à jour de sécurité.

S'assurer que les fournisseurs techniques et les ressources de développement restent disponibles pendant cette période.

Étape 11 : Préparer les informations et l’étiquetage pour l’utilisateur

Revoir:

• Identification du produit
• Informations du fabricant
• Informations sur l'importateur
• Marquage CE
• consignes de sécurité
• Instructions de mise à jour
• Contact de vulnérabilité
• date de fin de support
• Instructions de suppression sécurisée des données

Étape 12 : Compiler la documentation technique

Organisez les preuves dans un dossier technique structuré pour les agences de notation de crédit.

Étape 13 : Réaliser l’évaluation de la conformité

Utiliser un contrôle interne, un organisme notifié ou toute autre voie autorisée conformément à la classification du produit.

Étape 14 : Signer la déclaration de conformité de l’UE

Le fabricant ne doit signer la déclaration qu'une fois l'évaluation applicable réalisée et la conformité démontrée.

Étape 15 : Assurer la conformité après la mise sur le marché

Surveiller les vulnérabilités, fournir des mises à jour, signaler les événements pertinents et mettre à jour la documentation lorsque le produit évolue.

Erreurs courantes de conformité aux normes de l'ARC

Traiter l'ARC comme une certification ponctuelle

L'ARC exige une gestion continue des vulnérabilités, des mises à jour de sécurité, une surveillance et des mesures correctives.

En supposant que tous les produits puissent être auto-certifiés

Les produits importants de classe II et les produits critiques nécessitent généralement une évaluation par un organisme tiers. Les produits de classe I peuvent également nécessiter l'intervention d'un organisme notifié lorsque les spécifications reconnues pertinentes ne sont pas intégralement appliquées.

Se fier uniquement aux tests d'intrusion

Les tests d'intrusion peuvent fournir des preuves utiles, mais ils ne remplacent pas l'évaluation des risques, le processus de développement sécurisé, les procédures de gestion des vulnérabilités, la documentation technique ni les obligations de support.

Ignorer les composants tiers

Le fabricant demeure responsable de l'évaluation des risques engendrés par les bibliothèques intégrées, les micrologiciels, les puces, les systèmes d'exploitation et les services cloud.

Création d'une nomenclature d'agencement sans surveillance

Une liste de composants obsolète ne constitue pas un système de gestion des vulnérabilités efficace.

Déclarer une période de soutien irréaliste

Le fabricant doit être en mesure de fournir des mises à jour de sécurité et de gérer les vulnérabilités pendant toute la période déclarée.

Absence de liaison entre les équipes techniques et les équipes réglementaires

Le délai de signalement de 24 heures exige une communication interne rapide. Les équipes du service client, de l'ingénierie, du service juridique, de la conformité et de la direction doivent connaître la procédure d'escalade.

Attendre des normes harmonisées avant d'agir

Les fabricants restent responsables de la conformité même si les normes et les directives d'accompagnement continuent d'évoluer.

Comment EaseCert assure la conformité aux exigences des agences d'évaluation du crédit (AEC)

EaseCert fournit un Service de représentation et de conformité autorisé en vertu de la loi européenne sur la cyber-résilience pour les fabricants de produits comportant des éléments numériques.

Ce service est spécialement conçu pour les fabricants établis hors de l'Union européenne qui ont besoin d'un soutien en matière de conformité réglementaire et d'un représentant agréé basé dans l'UE.

Services de conformité EaseCert CRA

Notre service comprend :

• Évaluation de l'applicabilité de l'ARC
• Examen de la portée des produits et des logiciels
• examen de la classification des produits
• Examen de la voie d'évaluation de la conformité
• Examen de la documentation technique existante
• Examen de la documentation en cybersécurité
• analyse des écarts de conformité en matière de cybersécurité
• Examen du cycle de vie du développement logiciel sécurisé
• Examen de l'identification et de la traçabilité des produits
• Examen des étiquettes et des informations relatives au marquage CE
• Examen de la documentation utilisateur et des consignes de sécurité
• Examen des procédures de gestion des vulnérabilités
• Examen des procédures de mise à jour et de maintenance des logiciels
• Examen de la nomenclature logicielle
• Examen de la documentation relative à la période de soutien
• Examen de la déclaration de conformité de l'UE
• Rapport de conformité écrit et recommandations
• Mandat écrit de représentant autorisé de l'UE
• Nomination d'EaseCert GmbH en tant que représentant autorisé de l'UE
• Conservation de la déclaration de conformité UE et de la documentation technique
• Contact réglementaire basé dans l'UE
• Assistance pour les demandes des autorités de surveillance des marchés
• Un accompagnement réglementaire tout au long du projet

Lorsque des tests techniques de cybersécurité sont nécessaires, EaseCert peut vous aider à définir le périmètre des tests et à coordonner les actions avec un laboratoire de cybersécurité qualifié ou un prestataire technique.

EaseCert n'effectue pas de tests d'intrusion, d'analyse de code source ni de tests de cybersécurité en laboratoire et n'agit pas en tant qu'organisme notifié. Le fabricant demeure responsable de la cybersécurité du produit, de l'évaluation de sa conformité, de son exactitude technique, de la gestion des vulnérabilités, des mises à jour, des rapports et du maintien de sa conformité.

Rôle du représentant autorisé d'EaseCert au sein de l'UE

Pour les produits acceptés fabriqués hors de l'Union européenne, EaseCert GmbH peut agir en tant que Représentant autorisé de l'UE.

Dans le cadre du mandat convenu, EaseCert peut :

• Conservez la déclaration de conformité UE à la disposition des autorités
• Conservez la documentation technique requise à disposition
• Répondre aux demandes motivées d'informations sur la conformité
• Coopérer avec les autorités de surveillance du marché
• Contrôles de traçabilité du support
• Soutenir les communications réglementaires
• Informer le fabricant des demandes de renseignements des autorités compétentes.

La nomination prend effet une fois l'examen de la documentation terminé, les produits acceptés par EaseCert et le mandat écrit signé par les deux parties.

Obtenez du soutien en matière de conformité aux exigences des agences d'évaluation du crédit et de représentation auprès de l'UE.

Commencez à vous préparer pour l'ARC

La loi sur la cyber-résilience crée un nouveau cadre de conformité pour le matériel connecté, les logiciels autonomes, les logiciels embarqués et les composants numériques.

Pour les fabricants, le principal défi ne se limite pas à la simple préparation d'une déclaration de conformité. La mise en conformité exige une coordination entre le développement produit, la cybersécurité, l'assurance qualité, les affaires réglementaires, le service client, la gestion de la chaîne d'approvisionnement et la direction générale.

Quatre questions auxquelles les fabricants devraient répondre

1. L'ARC s'applique-t-elle à notre produit ?
2. Quelle classification des produits et quelle méthode d'évaluation de la conformité s'appliquent ?
3. Disposons-nous de preuves et de documentation technique suffisantes en matière de cybersécurité ?
4. Pouvons-nous surveiller, mettre à jour et prendre en charge le produit pendant toute la durée de son support déclaré ?

Les fabricants établis hors de l'Union européenne doivent également déterminer s'ils ont besoin d'un représentant agréé par l'UE et comment ils géreront les demandes des autorités de surveillance du marché de l'UE.

EaseCert accompagne les fabricants internationaux en leur proposant des analyses d'applicabilité des CRA, des évaluations des écarts de conformité, des revues de documentation technique et des services de représentant agréé UE.

Consultez le service de représentation et de conformité EaseCert en matière de cyber-résilience de l'UE

Sources officielles et lectures complémentaires

Les sources officielles suivantes de l'Union européenne fournissent le texte juridique, les orientations de mise en œuvre et les informations complémentaires concernant la loi européenne sur la cyber-résilience :

• Règlement (UE) 2024/2847, loi sur la cyber-résilience
  Le texte officiel et juridiquement contraignant de la loi sur la cyber-résilience, publié au Journal officiel de l'Union européenne.
• Commission européenne : Loi sur la cyber-résilience
  La page principale de la Commission européenne consacrée à la politique relative à la cyber-résilience (loi sur la cyber-résilience) couvre l'objectif, la portée, la mise en œuvre et les effets attendus.
• Commission européenne : Résumé du texte législatif relatif à la cyber-résilience
  Un résumé officiel des exigences de l'ARC, comprenant la portée des produits, les obligations des opérateurs économiques, l'évaluation de la conformité et les dates de mise en œuvre.
• Commission européenne : Mise en œuvre de la loi sur la cyber-résilience - Foire aux questions
  Réponses officielles aux questions pratiques concernant le périmètre du produit, le logiciel, le traitement des données à distance, les périodes de support, le reporting et la mise en œuvre.
• Commission européenne : Mise en œuvre de la loi sur la cyber-résilience
  Un aperçu du processus de mise en œuvre des CRA, comprenant des orientations, des activités de normalisation et des ressources pour les fabricants et autres parties prenantes.
• ENISA : Plateforme de déclaration unique pour la loi sur la cyber-résilience
  Informations officielles sur la plateforme que les fabricants utiliseront pour signaler les vulnérabilités exploitées et les incidents de sécurité graves à compter du 11 septembre 2026.
• ENISA : Cartographie des exigences et normes de la loi sur la cyber-résilience
  Une étude de l'ENISA cartographiant les normes de cybersécurité existantes par rapport aux exigences de la CRA et identifiant les domaines nécessitant une normalisation plus poussée.
• ENISA : Mise en œuvre de la loi sur la cyber-résilience par le biais du système de certification de cybersécurité de l’UE
  Une étude officielle examinant comment le système européen de certification de cybersécurité basé sur les critères communs peut soutenir l'évaluation de la conformité aux critères communs.

Cet article fournit des informations réglementaires générales et ne constitue pas un avis juridique. Le périmètre, la classification, l'évaluation de la conformité et les exigences documentaires du produit doivent être évalués individuellement.