normakte / CRA pour firmware
Pour le CRA, le firmware n'est pas un sujet à part mais une partie de l'appareil. Le fabricant de l'appareil est responsable, y compris pour les bibliothèques et modules achetés.
| Sujet | Ce qu'attend le CRA |
|---|---|
| Composants tiers | diligence dans le choix, SBOM, correction des vulnérabilités |
| Mises à jour | canal de livraison sécurisé, vérification avant installation, gratuites |
| Paramètres par défaut | configuration sûre dès la sortie d'usine, pas de mot de passe par défaut identique |
| Durée de vie | période de support reflétant la durée d'utilisation prévue |
Système d'exploitation, chargeur d'amorçage, piles de protocoles et bibliothèques tierces font partie du produit. Le fabricant les évalue avec diligence, les recense dans la SBOM et corrige les vulnérabilités même lorsqu'elles proviennent d'un composant acheté.
Les mises à jour sont livrées par un canal sécurisé et vérifiées avant installation, par exemple au moyen d'un firmware signé. Le cas échéant, les mises à jour de sécurité sont automatiques, avec un moyen simple de les désactiver.
Les appareils embarqués restent souvent de nombreuses années sur le terrain. La période de support doit refléter cette durée d'utilisation prévue, et le canal de mise à jour doit fonctionner pendant toute cette durée.
Registre, classification, SBOM, signalements avec délais et page cible pour les utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.