Cyber Resilience Act : ce que les fabricants de produits numériques doivent savoir

Qui est concerné

Les produits matériels et logiciels dont l'utilisation inclut une connexion de données, directe ou indirecte, à un appareil ou à un réseau : appareils domestiques et industriels connectés, routeurs, automates, firmware et logiciels vendus comme produits. Les domaines dotés de règles propres sont exclus, comme les dispositifs médicaux, les véhicules à moteur et l'aviation civile.

Les obligations du fabricant

Cybersécurité dès la conception, gestion des vulnérabilités avec SBOM et mises à jour de sécurité gratuites, une période de support d'en général au moins cinq ans, signalements via la plateforme de l'ENISA, documentation technique, déclaration UE de conformité et marquage CE.

Produits importants et critiques

Pour la plupart des produits, le contrôle interne du fabricant suffit. Certains produits importants ou critiques, comme les routeurs, les pare-feu ou les éléments sécurisés, exigent des procédures plus strictes, en partie avec un organisme notifié.