Interprétation de la loi sur la résilience des réseaux : que signifie la sécurité par le biais de la conception et du développement de logiciels ?

La loi sur la résilience des réseaux est en train de devenir rapidement une priorité stratégique, non seulement pour les entreprises de l'Union européenne, mais aussi pour toute entreprise commercialisant des produits numériques sur le marché européen. Bien que la date limite de mise en conformité soit reportée à 2027, les équipes d'ingénierie et de sécurité soulèvent déjà des questions complexes concernant la sécurité par le biais de pratiques de conception, de gestion des vulnérabilités et de capacités de développement.

Contrairement à de nombreuses réglementations axées sur la documentation et l'audit, la CRA place la conception et le développement de logiciels sécurisés au cœur de la conformité. Les organisations qui investissent dès le début dans des capacités de conception sécurisée atteindront plus rapidement la conformité et se démarqueront sur un marché où la sécurité des produits est devenue un facteur déterminant dans les décisions d'achat.

Quelles sont les exigences de la loi sur la résilience des réseaux ?

La loi sur la résilience des réseaux (CRA) introduit des exigences de cybersécurité fondamentales pour la plupart des produits comportant des composants numériques (y compris les logiciels, les systèmes d'exploitation, les appareils connectés et les systèmes embarqués) commercialisés dans l'Union européenne.

Plus important encore, cela peut entraîner des changements au niveau des responsabilités.

La sécurité n'est plus seulement une question d'exécution ou d'exploitation. Dans le cadre de la CRA, elle est devenue une obligation de conception et de développement couvrant l'architecture, la mise en œuvre, la maintenance et la gestion des vulnérabilités.

Pour les responsables de l'ingénierie et de la sécurité, cela signifie :

• Les produits doivent être fabriqués conformément aux principes de « conception sécuritaire ».
• Il est impératif de prévenir et de traiter efficacement les vulnérabilités connues dans la mesure du possible.
• Les organisations doivent démontrer que des pratiques de développement sécurisé sont en place.

En résumé : la conformité est étroitement liée à la manière dont les développeurs écrivent et maintiennent le code.

À qui s'adresse le CRA ?

Bien qu'introduite par l'Union européenne, la CRA s'applique à toute organisation mondiale commercialisant des produits numériques sur le marché européen, y compris :

• Ses services agissent en tant que fournisseur de logiciels et fournisseur SaaS pour les composants de traitement de données à distance des produits couverts.
• Fabricant de produits numériques ou connectés
• Importateurs, distributeurs et détaillants
• Organisation intégrant des composants numériques tiers

Pour les entreprises internationales, la conformité CRA est une exigence de développement transfrontalier et non une activité de conformité régionale.

Pourquoi l'organisation a-t-elle commencé maintenant ?

Étapes importantes :

• Septembre 2026 — Début de l'obligation de signalement des vulnérabilités
• Décembre 2027 — Conformité totale requise

À première vue, ce calendrier peut sembler satisfaisant. En réalité, la transition vers le développement durable ne se fait pas en quelques trimestres, mais s'étend sur plusieurs années.

La conception sécuritaire n'est pas une simple mise à jour des politiques. Elle nécessite :

• Améliorer les compétences de développement de milliers de personnes dans différents langages et équipes
• Intégrer les attentes en matière de sécurité dans les processus de travail quotidiens
• De la correction passive des vulnérabilités à la prévention
• Créer des preuves mesurables démontrant l'application cohérente des pratiques de développement sécurisé.

Ces changements auront une incidence sur le recrutement, l'intégration, les décisions organisationnelles, les processus SDLC et la culture d'ingénierie. Les organisations qui reportent ces changements jusqu'à la fin de 2026 devront faire face à des pressions réglementaires pour transformer leurs capacités, ce qui représente une voie beaucoup plus coûteuse et disruptive.

L'application de la loi comporte également des risques financiers importants. Conformément à l'article 64 du RGPD, les amendes pour violation des exigences de base en matière de cybersécurité peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.

Il sera trop tard d'attendre la fin de l'année 2026.

En fin de compte, le CRA représente un défi pour les capacités des développeurs.

De nombreuses réglementations se concentrent sur les politiques et les documents. La CRA va plus loin en établissant un lien entre la conformité et les pratiques réelles utilisées pour concevoir et développer des logiciels. Elle renforce les attentes en matière de développement sécurisé en tant que discipline opérationnelle, et non pas simplement en tant qu'exigence de gouvernance.

Pour les responsables de projet, cela signifie que la conformité dépend de l'application cohérente des pratiques de sécurité par l'équipe de développement, notamment :

• Comprendre les types de vulnérabilités courantes
• Principes de conception et d'architecture de sécurité des applications
• Éviter les modèles de mise en œuvre non sécurisés
• Gestion responsable des composants tiers et open source

Les outils de sécurité jouent un rôle essentiel dans la détection des problèmes. Cependant, une fois le code écrit, ces outils peuvent présenter des faiblesses. La conception axée sur la sécurité exige des développeurs qu'ils préviennent les vulnérabilités en amont et qu'ils appliquent cette approche de manière cohérente entre les équipes, les langages et les produits.

Les outils seuls ne suffisent pas pour atteindre cet objectif. Le résultat de la conception de la sécurité dépend des capacités humaines.

Comment les spécialistes en sécurité informatique peuvent-ils contribuer à la préparation au CRA ?

Les Code Warriors offrent un parcours d'apprentissage conforme aux normes CRA. Ils combinent :

• Une tâche standard CRA conforme aux exigences techniques de vulnérabilité de la partie I de l'annexe I.
• Un ensemble de concepts de sécurité garantis par la conception
• Apprentissage pratique, apprentissage des failles spécifiques à un langage

Veuillez consulter notre guide d'une page pour découvrir tous les contenus d'apprentissage conformes à la CRA proposés par SCW. SCW ne certifie pas la conformité. Nous soutenons la préparation à la CRA par le biais d'un apprentissage structuré et d'une amélioration mesurable des compétences, conformément aux principes de développement sécurisé.

Veuillez vous préparer dès maintenant pour la CRA.

La CRA reflète l'orientation du secteur : garantir la sécurité par défaut grâce à la conception technique. Les organisations qui investissent aujourd'hui dans les compétences des développeurs seront mieux à même de se conformer aux normes et pourront créer à long terme des logiciels plus résilients et moins risqués.

Pour plus d'informations sur Secure Code Warrior assurer votre conformité, veuillez consulter notre base de connaissances : Secure Code Warrior votre conformité