Le Cyber Resilience Act crée un cadre européen de cybersécurité pour les produits comportant des éléments numériques. Pour les organismes d’évaluation de la conformité, son impact ne se résume pas à une nouvelle référence réglementaire. Il modifie la manière de préparer une mission, d’examiner les preuves fournies par un fabricant, de décider d’une conformité et de suivre un produit après l’évaluation.
Les dispositions relatives à la notification de ces organismes s’appliquent depuis le 11 juin 2026. L’application générale du règlement interviendra le 11 décembre 2027, avec une étape intermédiaire pour certaines obligations de signalement à partir du 11 septembre 2026. Cette chronologie donne du temps pour construire les capacités nécessaires, mais elle impose de distinguer ce qui est déjà applicable de ce qui doit encore être préparé.
Une mission commence par un périmètre précis
Avant d’examiner un produit, l’organisme devra définir ce qui entre dans l’évaluation : version du logiciel ou du matériel, composants intégrés, interfaces réseau, services associés, mécanisme de mise à jour et durée de support annoncée. Un produit numérique évolue après sa mise sur le marché ; une photographie prise le jour de l’audit ne suffit donc pas.
Le cadrage doit aussi préciser le module d’évaluation. Le module A relève de l’auto-évaluation du fabricant. Le schéma B + C fait intervenir un organisme notifié pour l’examen de type, tandis que le module H porte sur le système complet d’assurance qualité. Le travail, les preuves et le niveau de surveillance ne sont pas identiques.
Les preuves doivent relier le risque, le contrôle et le résultat
Un dossier exploitable ne peut pas se limiter à une liste de fonctions de sécurité. L’organisme doit pouvoir suivre le raisonnement du fabricant : quels risques ont été identifiés, quelles mesures y répondent, comment elles ont été testées et quels résultats ont été obtenus.
Dans la pratique, cela conduit à examiner notamment l’architecture de sécurité, la gestion des identités et des secrets, les mécanismes de mise à jour, le traitement des vulnérabilités, les dépendances logicielles et la documentation destinée à l’utilisateur. Une preuve doit être datée, liée à une version et suffisamment reproductible pour permettre une décision motivée.
Cette exigence change aussi la relation avec le fabricant. Une affirmation comme « les communications sont sécurisées » n’est pas une preuve. Il faut connaître le protocole, la configuration, les clés utilisées, les scénarios testés et les limites observées. L’organisme doit savoir demander les éléments manquants sans se transformer en concepteur du produit qu’il évalue.
La gestion des vulnérabilités devient un processus continu
Le CRA place la gestion des vulnérabilités au centre du cycle de vie du produit. Pour l’organisme notifié, cela signifie qu’il faut évaluer non seulement la sécurité au moment de l’examen, mais aussi la capacité du fabricant à recevoir, analyser, corriger et communiquer les vulnérabilités après la mise sur le marché.
Les questions deviennent opérationnelles : existe-t-il un point de contact ? Les dépendances sont-elles inventoriées ? Le fabricant peut-il identifier les versions touchées ? Les correctifs sont-ils testés avant diffusion ? Les utilisateurs reçoivent-ils une information utile ? Les incidents et vulnérabilités activement exploitées sont-ils traités selon les obligations applicables ?
Le but n’est pas de promettre l’absence de faille. Il est de démontrer qu’un dispositif crédible permet de réduire le risque, de réagir et de conserver une trace des décisions.
L’impartialité doit être visible dans chaque dossier
La qualité technique ne suffit pas. En France, la notification par l’ANSSI repose sur une accréditation COFRAC et implique des exigences d’indépendance. L’organisme doit pouvoir montrer qui réalise l’évaluation, qui revoit les conclusions et qui prend la décision. Les éventuels liens commerciaux ou prestations antérieures doivent être identifiés et traités.
Une séparation nette entre conseil et évaluation évite qu’un organisme juge sa propre solution. Cette règle doit se traduire dans l’affectation des personnes, les accès aux dossiers, les déclarations de conflit d’intérêts et les comptes rendus de décision.
Un dossier type à préparer dès maintenant
Pour tester sa maturité, un organisme peut construire un dossier pilote comprenant :
- la description du produit et de ses versions ;
- le périmètre de l’évaluation et le module retenu ;
- la cartographie des exigences réglementaires ;
- le modèle de menace et l’analyse des risques ;
- les preuves de conception et les résultats d’essai ;
- le processus de gestion des vulnérabilités ;
- les non-conformités, décisions et actions correctives ;
- les règles de surveillance et de gestion des changements ;
- la preuve de l’impartialité des intervenants.
Ce dossier pilote permet de repérer les zones faibles. Il révèle par exemple qu’une équipe sait réaliser un test technique mais ne sait pas encore justifier sa sélection, ou qu’une procédure existe sans preuve de son application.
Mesurer la capacité plutôt que compter les documents
La préparation au CRA ne devrait pas être pilotée par le nombre de procédures écrites. Des indicateurs plus utiles existent : délai de qualification d’un évaluateur, taux de dossiers complets au premier examen, délai de traitement d’une non-conformité, traçabilité des versions, proportion de décisions revues indépendamment et capacité à reproduire un test.
Ces mesures ne garantissent pas la notification, mais elles montrent si le système fonctionne réellement. Elles aident aussi à dimensionner les ressources, car l’évaluation de produits numériques exige des compétences techniques qui doivent être disponibles dans la durée.
Une responsabilité de confiance
Un organisme notifié n’appose pas seulement une validation administrative. Il contribue à la confiance accordée à des produits utilisés par des entreprises, des administrations et des particuliers. Une décision insuffisamment étayée peut déplacer le risque vers toute la chaîne d’utilisateurs.
La priorité est donc claire : bâtir un processus explicable, reproductible et indépendant. Les organismes qui commencent par des dossiers pilotes, une cartographie des compétences et une gouvernance solide seront mieux préparés que ceux qui traitent le CRA comme une simple extension commerciale.
Sources officielles : questions fréquentes de l’ANSSI sur le CRA et synthèse officielle EUR-Lex du règlement.
#CyberRésilience #OrganismesNotifiés #Conformité #SécuritéDesProduits #RéglementationUE
