Résilience cyber Loi

Le Cyber Resilience Act (CRA) introduit des exigences obligatoires en matière de cybersécurité pour tous les produits contenant des éléments numériques vendus sur le marché de l'UE. Cette réglementation globale s'applique tant au matériel qu'au logiciel — des appareils IoT aux applications d'entreprise — obligeant les fabricants à gérer les vulnérabilités, à fournir des mises à jour de sécurité et à mettre en œuvre principes de sécurité dès la conception tout au long du cycle de vie du produit.

Une exigence fondamentale du CRA est agilité cryptographique — la capacité de mettre à jour ou de remplacer les algorithmes cryptographiques et les paramètres sans remplacer l’ensemble du produit. Cela est essentiel pour la préparation post‑quantique et garantit que les produits peuvent s’adapter à l’évolution des menaces. Pour la PKI, cela signifie que les certificats et les primitives cryptographiques doivent être conçus pour la rotation dès le premier jour.

Le CRA impose également la sécurité de la chaîne d'approvisionnement logicielle, y compris la signature de code pour garantir l'intégrité des logiciels et les fiches de matériaux logiciels (SBOM) pour la transparence. Ces exigences créent de nouvelles demandes de gestion de certificats à grande échelle, en particulier pour les fabricants gérant des flottes d'appareils connectés et des versions logicielles fréquentes.