Explication de la loi sur la cyber-résilience : implications pour le développement de logiciels sécurisés dès la conception

La loi sur la cyber-résilience devient rapidement une priorité stratégique non seulement pour les entreprises basées dans l'UE, mais aussi pour toutes les entreprises qui commercialisent des produits numériques sur le marché européen. Bien que la date limite de mise en conformité soit fixée à 2027, les équipes d'ingénierie et de sécurité posent déjà des questions difficiles concernant les pratiques de sécurité dès la conception, le traitement des vulnérabilités et les capacités de développement.

Contrairement à de nombreuses réglementations axées sur la documentation et l'audit, la CRA définit la conception et le développement de logiciels sécurisés comme étant au cœur de la conformité. Les organisations qui investissent tôt dans des fonctionnalités de sécurité dès la conception peuvent se conformer plus rapidement et se démarquer sur un marché où la sécurité des produits devient un facteur déterminant dans les décisions d'achat.

Ce qu'exige la loi sur la cyber-résilience

La loi sur la résilience numérique (CRA) introduit des exigences fondamentales en matière de cybersécurité pour la plupart des produits contenant des composants numériques disponibles sur le marché européen, tels que les logiciels, les systèmes d'exploitation, les appareils connectés et les systèmes embarqués.

Il est également important de déterminer où se situe la responsabilité.

La sécurité ne se limite plus aux problèmes liés à l'exécution et à l'exploitation. Dans le cadre de la CRA, elle englobe les obligations suivantes : conception et développement, architecture, mise en œuvre, maintenance et traitement des vulnérabilités.

Pour les responsables de l'ingénierie et de la sécurité, cela signifie ce qui suit :

• Les produits doivent être fabriqués conformément aux principes de conception sécurisée.
• Il est nécessaire de prévenir autant que possible les vulnérabilités connues et de les traiter efficacement.
• L'organisation doit démontrer que des pratiques de développement sécurisées sont mises en œuvre.

En d'autres termes, la conformité est indissociable de la manière dont les développeurs créent et gèrent le code.

Qui est concerné par l'application de la CRA ?

Bien qu'introduite par l'UE, l'application de la CRA s'étend à toutes les organisations à travers le monde. Par conséquent, les produits numériques concernés, y compris les suivants, seront admis sur le marché de l'UE.

• Fournisseurs de logiciels et fournisseurs SaaS proposant des services fonctionnant comme composants de traitement de données à distance pour les produits concernés.
• Fabricant de produits numériques ou connectés
• Importateurs, distributeurs, détaillants
• Organisations intégrant des composants numériques tiers

Pour les entreprises internationales, la conformité CRA ne se limite pas aux exigences de développement transfrontalièreset aux exercices de conformité régionaux.

Les raisons pour lesquelles l'organisation commence maintenant

Principales étapes importantes :

• Septembre 2026 — Début de l'obligation de signaler les vulnérabilités
• Décembre 2027 — Conformité totale requise

Sur le papier, ce calendrier peut sembler raisonnable. Cependant, dans la réalité, les transformations en matière de développement ne se produisent pas tous les trimestres, mais s'étendent sur plusieurs années.

La sécurité dès la conception n'est pas une simple mise à jour de politique. Elle nécessite les éléments suivants :

• Améliorer les compétences de milliers de développeurs, au-delà des langues et des équipes.
• Intégrer les attentes en matière de sécurité dès la phase de conception dans le flux de travail quotidien
• Transition de la correction des vulnérabilités après coup à la prévention
• Création de preuves mesurables démontrant l'application cohérente de méthodes de développement sécurisées.

Ces changements auront un impact sur le recrutement, l'intégration, les décisions architecturales, les processus SDLC et la culture d'ingénierie. Les organisations qui reportent ces changements jusqu'à la fin de l'année 2026 devront améliorer leurs capacités sous la pression réglementaire, ce qui s'avérera être une approche beaucoup plus coûteuse et perturbatrice.

La mise en œuvre comporte également des risques financiers importants. L'article 64 du RGPD prévoit des amendes pouvant atteindre 15 millions d'euros, soit 2,5 % du chiffre d'affaires annuel mondial, en cas de violation des exigences importantes en matière de cybersécurité.

Il serait inapproprié d'attendre jusqu'à la fin de l'année 2026.

CRA est en fin de compte un défi lié aux capacités des développeurs.

De nombreuses réglementations mettent l'accent sur les politiques et la documentation. La CRA va plus loin en associant la conformité aux pratiques réelles utilisées dans la conception et la construction des logiciels. Cela renforce les attentes en matière de développement sécurisé, qui ne se limite plus à une simple exigence de gouvernance, mais devient une discipline opérationnelle.

Pour les responsables techniques, la conformité dépend de la capacité des équipes de développement à appliquer de manière cohérente les pratiques sécuritaires suivantes.

• Compréhension des classes de vulnérabilités courantes
• Application des principes de conception et d'architecture sécurisées
• Éviter les modèles d'implémentation non sécurisés
• Gestion responsable des composants tiers et open source

Les outils de sécurité jouent un rôle essentiel dans la détection des problèmes. Cependant, les faiblesses de ces outils apparaissent après l'écriture du code. Pour mettre en œuvre la sécurité dès la conception, les développeurs doivent d'abord prévenir les vulnérabilités et le faire de manière cohérente, indépendamment de l'équipe, du langage ou du produit.

Les outils seuls ne suffisent pas pour atteindre cet objectif. Les résultats obtenus grâce à la sécurité dès la conception dépendent des éléments suivants : les capacités humaines.

Comment Secure Code Warrior peut-il vous aider à vous préparer pour le CRA ?

Parcours d'apprentissage conforme au CAR proposé par Secure Code Warrior. Il s'agit d'une combinaison des éléments suivants :

• Correspondance avec les exigences techniques de vulnérabilité de l'annexe I, partie I, de la norme CRA Standard Quest.
• Une collection conçue selon le concept « Secure by Design »
• Apprentissage pratique des vulnérabilités axé sur la langue

Veuillez consulter le guide récapitulatif de tous les contenus de formation adaptés à la norme CRA de SCW. SCW ne certifie pas la conformité. Nous soutenons la préparation à la norme CRA par le biais des éléments suivants : une formation structurée conforme aux principes de développement réglementaire sécurisé et une amélioration mesurable des compétences.

Commencer immédiatement à mettre en place une préparation à la CRA

La CRA reflète la direction prise par l'industrie. En d'autres termes, la sécurité par conception est désormais la norme. Les organisations qui investissent actuellement dans les compétences de leurs développeurs sont bien placées non seulement pour se conformer aux exigences, mais aussi pour créer à long terme des logiciels plus résilients et moins risqués.

Pour plus d'informations sur la manière dont Secure Code Warrior peut vous aider à atteindre la conformité, veuillez consulter la base de connaissances suivante. Comment Secure Code Warrior peut-il vous aider à atteindre la conformité?