EaseCert | GPSR Compliance
Représentant agréé et service de conformité en vertu de la loi européenne sur la cyber-résilience
Représentant agréé et service de conformité en vertu de la loi européenne sur la cyber-résilience
Ne peut pas charger la disponibilité du ramassage
Conformité et représentation autorisée en matière de cybersécurité au sein de l'UE
EaseCert accompagne les fabricants dans leur mise en conformité avec la loi européenne sur la cyber-résilience (CRA) et agit en tant que représentant autorisé au sein de l'UE pour les produits comportant des éléments numériques couverts par le périmètre de service convenu.
La loi sur la cyber-résilience instaure des exigences obligatoires en matière de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l'Union européenne. Les fabricants doivent assurer la cybersécurité tout au long du cycle de vie du produit, tenir à jour la documentation technique, établir des procédures de gestion des vulnérabilités, fournir des mises à jour de sécurité et respecter les obligations de déclaration et de suivi après commercialisation applicables.
Ce service est conçu pour les fabricants établis hors de l'Union européenne qui ont besoin à la fois d'un soutien en matière de conformité aux exigences des CRA et d'un représentant autorisé basé dans l'UE.
Suite à l'examen de la documentation et à la signature du mandat écrit, EaseCert GmbH est désignée comme représentant autorisé du fabricant au sein de l'UE en vertu de la loi sur la cyber-résilience.
Dans le cadre de son mandat, EaseCert :
- Agit en tant qu'interlocuteur réglementaire basé dans l'UE pour les produits concernés
- Maintient à la disposition des autorités de surveillance du marché la déclaration de conformité de l'UE et la documentation technique.
- Répond aux demandes motivées d'informations et de documents de conformité.
- Coopère avec les autorités de surveillance du marché de l'UE concernant les produits couverts par le mandat
- Assure le soutien en matière de communication réglementaire, de demandes de documentation et de contrôles de traçabilité.
Le fabricant demeure responsable de la conception, du développement, de la production, de la cybersécurité, de l'évaluation de la conformité, de la gestion des vulnérabilités, des mises à jour de sécurité, du signalement des incidents et de la conformité continue du produit.
Catégories de produits appropriées
- appareils pour maison intelligente
- Produits de l'Internet des objets (IoT)
- Électronique grand public
- appareils électroménagers connectés
- Dispositifs portables
- Produits d'éclairage intelligent
- Équipement réseau
- caméras de sécurité
- Jouets connectés
- Équipements IoT industriels
- Capteurs intelligents
- appareils sans fil
- Produits connectés alimentés par batterie
- Logiciel fourni avec le matériel connecté
- Produits logiciels autonomes
- Autres produits comportant des éléments numériques
Conformité à la loi européenne sur la cyber-résilience et processus EAR en cinq étapes
-
Cartographier le produit, le logiciel et l'environnement numérique
Nous documentons la manière dont le produit ou le logiciel est fourni, installé, accessible, connecté, mis à jour et maintenu. Cette analyse porte sur les versions logicielles et micrologicielles, les environnements d'exploitation, les dépendances au cloud, les API, les interfaces réseau, les rôles des utilisateurs, les méthodes d'authentification, les flux de données, les modèles de déploiement, les plateformes prises en charge, les services externes et les connexions à d'autres appareils ou systèmes.
-
Examiner le cycle de vie de la cybersécurité et le périmètre de l'ARC
Nous évaluons l'usage prévu du produit, ses fonctionnalités numériques, son architecture de cybersécurité, sa procédure d'évaluation de la conformité et les obligations applicables en matière d'évaluation de la conformité. Nous examinons également le cycle de vie de développement sécurisé du fabricant, notamment le contrôle du code source, la gestion des dépendances, l'approbation des modifications, les tests de sécurité, les procédures de mise en production, le suivi des problèmes, le développement des correctifs, les contrôles d'accès et les responsabilités internes en matière de cybersécurité.
-
Évaluer les risques, les dépendances, les vulnérabilités et la SBOM
Nous examinons l'évaluation des risques de cybersécurité, les composants logiciels, les bibliothèques open source, les packages tiers, les services cloud et les dépendances externes.Lorsque cela est possible, nous évaluons la nomenclature logicielle (SBOM), les enregistrements de vulnérabilités, l'inventaire des dépendances, le processus d'évaluation de la gravité, le flux de travail de correction, la procédure coordonnée de divulgation des vulnérabilités, le processus de mise à jour de sécurité et les engagements relatifs à la période de support.
-
Préparer et examiner la documentation de conformité de l'ARC
EaseCert prépare, examine et organise la documentation réglementaire convenue. Celle-ci peut inclure l'évaluation des risques de cybersécurité, la description de l'architecture du produit et du logiciel, la documentation technique, les nomenclatures de sécurité (SBOM), la procédure de gestion des vulnérabilités, la politique de divulgation coordonnée des vulnérabilités, la procédure de mise à jour du logiciel, la déclaration relative à la période de support, les informations de sécurité destinées aux utilisateurs, le processus de signalement des incidents, les informations de traçabilité et la déclaration de conformité UE.
-
Désigner EaseCert comme représentant autorisé de l'UE
Une fois l'audit de conformité terminé et le mandat écrit signé, EaseCert GmbH est désignée représentante agréée du fabricant auprès de l'UE pour les produits concernés. EaseCert conserve la déclaration de conformité UE et la documentation technique, répond aux demandes motivées des autorités de surveillance du marché et coopère avec elles concernant les risques de non-conformité et les actions correctives. Cette désignation reste soumise au mandat convenu, aux conditions de service et au maintien de la conformité des produits concernés.
Service de représentant autorisé de l'UE
Le service de représentant agréé de l'UE est inclus pour les fabricants établis hors de l'Union européenne.
La nomination est officialisée par un mandat écrit identifiant le fabricant, les produits concernés et les tâches réglementaires confiées à EaseCert.
Responsabilités d'EaseCert en matière d'EAR
- Agir en qualité de représentant autorisé de l'UE désigné en vertu de la loi sur la cyber-résilience
- Conservez une copie du mandat écrit signé
- Conservez la déclaration de conformité de l'UE à la disposition des autorités de surveillance du marché.
- Conservez la documentation technique requise à la disposition des autorités de surveillance du marché.
- Fournir les informations et la documentation relatives à la conformité suite à une demande motivée de l'autorité compétente
- Coopérer avec les autorités concernant les risques présentés par les produits couverts
- Soutenir les demandes de communication et de documentation réglementaires
- Soutenir les contrôles de traçabilité concernant le fabricant et les produits couverts
- Informer le fabricant des demandes de renseignements réglementaires pertinentes reçues par EaseCert
Responsabilités du fabricant
La nomination d'EaseCert ne transfère pas les obligations fondamentales du fabricant en vertu de la loi sur la cyber-résilience.
Le fabricant demeure responsable de :
- Conception et développement de produits et logiciels conformes
- Réaliser et maintenir l'évaluation des risques de cybersécurité
- Respecter les exigences essentielles en matière de cybersécurité
- Réaliser l'évaluation de conformité applicable
- Préparation et mise à jour d'une documentation technique précise
- Signature de la déclaration de conformité de l'UE
- Apposer le marquage CE aux endroits requis
- Surveillance et correction des vulnérabilités
- Fourniture de mises à jour de sécurité pendant la période de support
- Signaler les vulnérabilités activement exploitées et les incidents de sécurité graves
- Prendre des mesures correctives lorsqu'un produit est non conforme ou présente un risque en matière de cybersécurité
- Informer EaseCert des changements pertinents concernant les produits, les logiciels, la propriété ou la conformité
Ce qui est inclus
- évaluation de l'applicabilité de la loi sur la cyber-résilience
- Examen de la portée des produits et des logiciels
- Examen de la voie d'évaluation de la conformité
- Examen de la documentation technique existante
- Examen de la documentation en cybersécurité
- analyse des écarts de conformité en matière de cybersécurité
- Examen du cycle de vie du développement logiciel sécurisé
- Examen de l'identification et de la traçabilité des produits
- Examen des informations relatives à l'étiquetage des produits et au marquage CE
- Examen de la documentation utilisateur et des consignes de sécurité
- Examen des procédures de gestion des vulnérabilités
- Examen des procédures de mise à jour et de maintenance des logiciels
- Examen de la nomenclature logicielle, si disponible
- Examen de la documentation relative à la période de soutien
- Examen de la déclaration de conformité de l'UE
- Rapport de conformité écrit et recommandations
- Mandat écrit de représentant autorisé de l'UE
- Nomination d'EaseCert GmbH en tant que représentant autorisé de l'UE
- Conservation de la déclaration de conformité UE et de la documentation technique
- Point de contact réglementaire basé dans l'UE
- Assistance pour les demandes des autorités de surveillance des marchés
- Un accompagnement réglementaire tout au long du projet
Documents requis
Informations du fabricant
- Nom légal de l'entreprise
- Adresse commerciale enregistrée
- Numéro d'immatriculation de l'entreprise
- Personne de contact
- Adresse email
- Numéro de téléphone
- Site web
- Informations concernant l'importateur de l'UE, le cas échéant
Informations sur le produit
- Nom du produit
- Nom de marque
- Numéro de modèle
- UGS ou identifiant de produit
- Spécifications techniques
- Photos de produits
- Objectif et utilisateurs visés
- technologies de communication
- Manuel d'utilisation
- Illustrations d'emballage
- Étiquettes de produits
- Informations sur le marquage CE
Informations sur les logiciels et la cybersécurité
- Versions du micrologiciel et du logiciel
- Architecture logicielle et matérielle
- Protocoles de communication
- interfaces réseau
- Services cloud et dépendances externes
- Méthodes d'authentification et de contrôle d'accès
- Méthodes de chiffrement, le cas échéant
- mécanisme de mise à jour logicielle
- processus de mise à jour et de correctifs de sécurité
- Procédure de gestion des vulnérabilités
- Politique de divulgation coordonnée des vulnérabilités
- Période de soutien
- Nomenclature logicielle, si disponible
- Documentation du cycle de vie du développement sécurisé
- Procédure de signalement des incidents
Documentation de conformité existante
- Déclaration de conformité de l'UE
- Documentation technique
- évaluation des risques de cybersécurité
- Rapports de test CE applicables
- Documentation logicielle et micrologicielle
- Rapports de tests de cybersécurité existants
- Rapports de tests d'intrusion, s'ils sont disponibles
- Rapports d'analyse de vulnérabilité, le cas échéant
- Rapports de certification, le cas échéant
- Accords de représentation autorisés existants, le cas échéant
Limitations du service
EaseCert propose des services de conseil réglementaire, d'évaluation de la conformité, d'assistance documentaire et de représentant autorisé auprès de l'UE dans le cadre du mandat signé.
Sauf accord écrit séparé, le service n'inclut pas :
- Tests d'intrusion
- Revue du code source
- Analyse des vulnérabilités
- piratage éthique
- Tests en laboratoire
- certification en cybersécurité
- Évaluation de la conformité par un organisme notifié
- Développement ou modification de logiciels
- Correction de logiciels ou de vulnérabilités
- surveillance continue des vulnérabilités techniques
- services du centre des opérations de sécurité
- Réponse aux incidents techniques
- Refonte du produit ou du logiciel
- La soumission des rapports des fabricants est interdite, sauf si elle est expressément prévue dans le mandat écrit et légalement autorisée.
Lorsque des tests techniques de cybersécurité sont nécessaires, EaseCert peut aider à définir le périmètre des tests et à coordonner les actions avec un laboratoire de cybersécurité qualifié ou un prestataire technique.
La nomination d'EaseCert en tant que représentant autorisé de l'UE ne constitue pas une certification, une approbation ou une confirmation que le produit est exempt de vulnérabilités en matière de cybersécurité.
Le fabricant demeure légalement responsable de la cybersécurité, de la conformité, de l'exactitude de la documentation et de la conformité continue de ses produits.
Délai de traitement
La plupart des examens de conformité initiaux sont effectués dans un délai d'environ 5 à 10 jours ouvrables après réception de tous les documents requis.
La nomination du représentant autorisé de l'UE prend effet une fois l'examen de la documentation terminé, les produits couverts acceptés par EaseCert et le mandat écrit signé par les deux parties.
Les délais de traitement peuvent varier en fonction de la complexité du produit, du nombre de groupes de produits, de l'exhaustivité de la documentation soumise, de la procédure d'évaluation de la conformité et de la nécessité d'essais techniques supplémentaires.
Foire aux questions
Qu’est-ce que la loi européenne sur la cyber-résilience ?
La loi européenne sur la cyber-résilience établit des exigences obligatoires en matière de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l'Union européenne. Elle couvre la cybersécurité tout au long du cycle de vie du produit, y compris la conception, le développement, la gestion des vulnérabilités, les mises à jour de sécurité, la documentation technique, l'évaluation de la conformité et le suivi après commercialisation.
Ce service inclut-il un représentant agréé par l'UE ?
Oui. La désignation d'EaseCert GmbH en tant que représentant autorisé du fabricant au sein de l'UE, conformément à la loi sur la cyber-résilience, est incluse pour les produits acceptés dans le cadre du service convenu.
La nomination prend effet une fois l'examen de conformité terminé et le mandat écrit signé par le fabricant et EaseCert.
Que fait EaseCert en tant que représentant autorisé de l'UE ?
EaseCert tient à la disposition des autorités de surveillance du marché la déclaration de conformité UE et la documentation technique, répond aux demandes motivées d'informations sur la conformité et coopère avec les autorités concernant les produits couverts par le mandat écrit.
Le recours à EaseCert entraîne-t-il le transfert des responsabilités du fabricant ?
Non. Le fabricant demeure responsable de la conception du produit, du développement du logiciel, de la gestion des risques de cybersécurité, de l'évaluation de la conformité, de la documentation technique, de la gestion des vulnérabilités, des mises à jour de sécurité, du signalement des incidents, des mesures correctives et du maintien de la conformité.
Le rendez-vous doit-il être consigné par écrit ?
Oui. La nomination est établie par un mandat écrit identifiant le fabricant, EaseCert GmbH, les produits concernés et les missions réglementaires confiées à EaseCert.
Quels produits sont couverts par la loi sur la cyber-résilience ?
Le règlement s'applique généralement aux produits matériels et logiciels comportant des éléments numériques qui se connectent directement ou indirectement à un autre appareil ou réseau. Cela peut inclure les produits grand public connectés, les objets connectés, les équipements réseau, les produits numériques industriels, les logiciels embarqués et les logiciels autonomes.
La loi sur la cyber-résilience s'applique-t-elle aux logiciels autonomes ?
Dans de nombreux cas, oui. Les logiciels autonomes mis sur le marché de l'UE peuvent relever du champ d'application de la loi sur la cyber-résilience, selon leur mode de distribution, leur finalité et l'application éventuelle d'une exclusion.
Quand les exigences de la loi sur la cyber-résilience s'appliquent-elles ?
La loi sur la cyber-résilience est entrée en vigueur le 10 décembre 2024. Les principales exigences s'appliquent à compter du 11 décembre 2027. Les obligations de signalement des vulnérabilités et des incidents graves s'appliquent à compter du 11 septembre 2026.
Qu'est-ce qu'une nomenclature logicielle ?
Une nomenclature logicielle (SBOM) est un inventaire structuré des composants logiciels, des bibliothèques, des dépendances et des éléments tiers utilisés dans un produit. Elle aide les fabricants à déterminer si un produit est affecté lorsqu'une vulnérabilité est identifiée.
Ai-je besoin de tests de cybersécurité ?
Les exigences en matière de tests dépendent du produit, des risques de cybersécurité, des normes applicables, de la classification du produit et de la méthode d'évaluation de la conformité. EaseCert examine les éléments de preuve disponibles et détermine si des tests supplémentaires ou une évaluation par un tiers sont nécessaires.
EaseCert effectue-t-il des tests d'intrusion ?
Non. Les tests d'intrusion, l'analyse du code source, l'analyse des vulnérabilités et les tests de cybersécurité spécialisés doivent être réalisés par un prestataire technique qualifié. EaseCert peut vous aider à définir et à coordonner le périmètre des tests requis.
Le produit est-il certifié par EaseCert ?
Non. EaseCert fournit un accompagnement en matière de conformité réglementaire et agit en tant que représentant autorisé auprès de l'UE. EaseCert ne délivre pas de certificats de cybersécurité, n'effectue pas de tests en laboratoire et n'agit pas en tant qu'organisme notifié.
EaseCert peut-il préparer la documentation requise ?
Oui. Selon le périmètre convenu, EaseCert peut préparer, examiner ou organiser la documentation relative à l'évaluation des risques de cybersécurité (CRA), y compris l'évaluation des risques de cybersécurité, la documentation technique, la procédure de gestion des vulnérabilités, le processus de mise à jour des logiciels, la documentation relative à la période de support, les informations de sécurité pour les utilisateurs et la déclaration de conformité UE.
Est-il possible de photographier plusieurs modèles lors d'un seul rendez-vous ?
Les modèles partageant la même plateforme logicielle, le même micrologiciel, la même architecture matérielle, la même connectivité, le même mécanisme de mise à jour, la même finalité et les mêmes contrôles de cybersécurité peuvent parfois être regroupés. EaseCert examine la gamme de produits avant de confirmer le périmètre du regroupement.
Le service inclut-il une surveillance continue des vulnérabilités ?
Non. Le service standard n'inclut pas la surveillance technique continue, les opérations de sécurité, la maintenance logicielle ni la réponse aux incidents. Le fabricant doit maintenir des processus de cybersécurité post-commercialisation adaptés pendant toute la durée du support.
Combien de temps dure le service ?
La plupart des examens initiaux sont effectués dans un délai d'environ 5 à 10 jours ouvrables après réception de tous les documents requis. Le rendez-vous avec l'expert en évaluation des besoins (EAR) débute une fois l'examen terminé et le mandat écrit signé.
Démarrez votre projet de conformité en matière de cybersécurité européenne et d'EAR
Passez votre commande et EaseCert vous contactera par e-mail pour vous fournir la liste des documents requis, le mandat écrit et les prochaines étapes concernant l'examen de conformité à la loi sur la cyber-résilience et la nomination d'un représentant autorisé de l'UE.
Partager
