Explication de la loi sur la cyber-résilience : implications pour le développement de logiciels sécurisés dès la conception

La loi sur la cyber-résilience devient de plus en plus une priorité stratégique, non seulement pour les entreprises basées dans l'UE, mais aussi pour toutes les entreprises qui commercialisent des produits numériques sur le marché européen. Les délais de mise en conformité avec la réglementation s'étendent jusqu'en 2027, mais les équipes d'ingénieurs et de sécurité se posent déjà des questions cruciales sur les méthodes de sécurité, les lacunes en matière de sécurité et les capacités de développement.

Contrairement à de nombreuses réglementations qui se concentrent sur la documentation et les audits, la CRA place la conception et le développement de logiciels sécurisés au cœur de la conformité. Les entreprises qui investissent tôt dans des fonctions de sécurité se conformeront plus rapidement aux réglementations et se démarqueront sur un marché où la sécurité des produits est un facteur déterminant dans la décision d'achat.

Quelles sont les exigences de la loi sur la cyber-résilience ?

La loi sur la cyber-résilience (Cyber Resilience Act, CRA) introduit des exigences de base en matière de cybersécurité pour la plupart des produits comportant des composants numériques qui sont commercialisés sur le marché européen, notamment les logiciels, les systèmes d'exploitation, les appareils connectés et les systèmes embarqués.

Il est encore plus important de noter que la responsabilité est transférée.

La sécurité n'est plus seulement un problème de fonctionnement ou d'exploitation. L'obligation de conception et de développement de la CRA comprend l'architecture, la mise en œuvre, la maintenance et l'accès avec des lacunes de sécurité.

Pour les cadres dans les domaines de la technologie et de la sécurité, cela signifie :

• Les produits doivent être conçus selon les principes de la sécurité dès la conception.
• Les failles de sécurité connues doivent être évitées dans la mesure du possible et traitées efficacement.
• Les entreprises doivent démontrer qu'elles ont mis en place des pratiques de développement sécurisées.

En résumé : la conformité est indissociable de l'art et de la conception, tout comme l'écriture et la gestion du code par les développeurs.

Pour lorsque vous faites appel à l'ARC

Bien que le CRA ait été introduit par l'UE, il s'applique à toute organisation dans le monde qui commercialise des produits numériques sur le marché européen, notamment :

• Fournisseurs de logiciels et fournisseurs SaaS dont les services servent de composants de traitement de données à distance pour les produits couverts
• Fabricant de produits numériques ou connectés
• Importateurs, distributeurs et détaillants
• Organisations, les composants numériques des fournisseurs tiers

Pour les entreprises internationales, la préparation au CRA constitue un élément essentiel du développement transfrontalier, et non une procédure de conformité régionale.

Pourquoi les organisations devraient commencer dès maintenant

Étapes importantes :

• Septembre 2026 — Début des contractions pour le message de sécurité lücken beginnen
• Décembre 2027 — Une réserve complète est requise.

Ce calendrier peut être clairement observé sur le papier. En réalité, la transformation dans le développement ne se produit pas tous les trimestres, mais s'étend sur plusieurs années.

Secure by Design n'est pas une simple mise à jour des directives. Il implique :

• Qualification de milliers de développeurs dans différents langages et équipes
• Intégration des attentes relatives à la conception sécurisée dans les processus de travail quotidiens
• Transition de la correction réactive des failles de sécurité vers la prévention
• Création de preuves mesurables démontrant que des pratiques de développement sécurisées sont systématiquement appliquées

Ces changements concernent les paramètres, l'intégration, les décisions architecturales, les processus SDLC et la culture d'ingénierie. Les entreprises qui attendent jusqu'à fin 2026 tenteront de mettre à niveau leurs capacités sous la pression réglementaire, ce qui s'avérera être une approche beaucoup plus coûteuse et perturbatrice.

La mise en œuvre comporte également un risque financier considérable. Conformément à l'article 64, l'Agence de notation peut infliger des amendes pouvant atteindre 15 millions d'euros en cas de violation des exigences fondamentales en matière de cybersécurité. Ces amendes peuvent s'élever à 2,5 % du chiffre d'affaires annuel mondial.

Attendre jusqu'à fin 2026 serait tout simplement trop tard.

CRA représente en fin de compte un défi pour les compétences des développeurs.

De nombreuses réglementations se concentrent sur les directives et la documentation. La CRA va plus loin en associant la conformité réglementaire aux pratiques réelles utilisées dans le développement et la création de logiciels. Elle suscite des attentes en matière de développement sécurisé en tant que discipline opérationnelle et non pas seulement en tant qu'exigence réglementaire.

Pour les responsables techniques, cela signifie que la conformité aux réglementations dépend de l'application systématique de procédures sécurisées par les équipes de développement, notamment :

• Comprendre les catégories générales de vulnérabilités
• Application de principes de conception et d'architecture sécurisés
• Éviter un modèle d'implémentation non sécurisé
• Gestion responsable des composants tiers et open source

Les outils de sécurité jouent un rôle important dans la détection des problèmes. Cependant, ces outils identifient les vulnérabilités après que le code a été écrit. La sécurité dès la conception exige que les développeurs préviennent les failles de sécurité dès le départ, et ce de manière cohérente dans toutes les équipes, tous les langages et tous les produits.

Les outils seuls ne peuvent y parvenir. Les résultats, qui sont fondamentalement sûrs, dépendent des capacités humaines.

Comment Secure Code Warrior la préparation de l'ARC

Secure Code Warrior des parcours d'apprentissage axés sur le CRA qui combinent :

• EIN CRA Standard Quest attribué aux exigences techniques de sécurité de l'annexe I, partie I
• Collection conceptuelle EIN Secure by Design
• Apprentissage pratique et spécifique à la langue des vulnérabilités

Veuillez consulter notre guide d'une page présentant tous les contenus pédagogiques axés sur la CRA dans SCW. SCW ne certifie pas la conformité aux réglementations. Nous soutenons la préparation des agences de notation grâce à un apprentissage structuré et à une amélioration mesurable des compétences, conformément aux principes du règlement sur le développement durable.

Commencez dès maintenant à mettre en place la préparation CRA

Le CRA reflète la direction que prend le secteur : la sécurité par la technologie de construction en tant que maintenance standard. Les entreprises qui investissent actuellement dans les compétences de leurs développeurs sont mieux à même de garantir la conformité aux réglementations et, à long terme, de développer des logiciels robustes et moins risqués.

Pour plus d'informations sur la manière dont Secure Code Warrior peut Secure Code Warrior aider à respecter les réglementations, veuillez consulter notre base de connaissances : Comment Secure Code Warrior peut Secure Code Warrior aider à respecter les réglementations.