Le TÜV a certifié les processus opérationnels et de développement CRA d’EUCHNER. Cela signifie que les mesures prises par EUCHNER pour se conformer à la loi sur la cyber-résilience (Cyber Resilience Act) d’ici 2027 sont appropriées.
Les composants de sécurité « intelligents » modernes envoient et reçoivent des données provenant des systèmes de commande. Ces données doivent être protégées contre toute intrusion malveillante.
Parmi ces composants figurent bien sûr les systèmes de clés électroniques (Electronic-Key-System) utilisés à des fins d’autorisation, mais aussi les serrures de porte intelligentes connectées à des bus industriels (ProfiNet, EtherNet, EtherCat). Les interrupteurs de sécurité à codage par transpondeur qui ne fournissent que des signaux OSSD côté utilisateur ne transmettent pas de données et ne relèvent pas du champ d’application de la CRA.
Des spécialistes en logiciels malveillants tentent de s’introduire dans les systèmes d’exploitation afin soit de semer le chaos, soit de prendre les systèmes en otage contre rançon. Les 27 pays de l’Union européenne ont mis en place la loi CRA afin de réduire ces risques.
Les données doivent être protégées contre toute influence externe involontaire. Le chiffrement des données constitue bien sûr une solution de première ligne. Cependant, le comportement humain joue également un rôle majeur à cet égard. La sécurité des données est mise en place par des personnes et peut donc également être contournée par des personnes. La CRA impose donc de rendre également résilients les processus opérationnels internes qui ne sont que marginalement liés aux produits.
Toutes les mesures à prendre et celles qui ont été prises doivent être garanties et documentées. Une fois que tout est en ordre, vous pouvez être certifié par un « organisme notifié ». Les acheteurs de produits souhaitent voir et recevoir ces certificats, car ce n’est qu’avec une telle garantie qu’ils peuvent fabriquer un produit fini qui doit lui aussi être certifié CRA.
Certains composants ne peuvent pas obtenir de certificat CRA mais peuvent néanmoins être livrés. Il s’agit de pièces de modernisation, mais aussi de pièces qui ne présentent aucun risque dans un produit fini. C’est au constructeur du produit fini (machine) qu’il revient d’évaluer et de consigner cela.
On pourrait penser que les implications de la CRA ne concernent que l’UE. Mais si vous êtes un constructeur de machines hors de l’UE et que vous souhaitez livrer vos produits dans l’UE, la CRA s’applique également à ces produits. La situation devient donc nettement plus compliquée pour les fournisseurs hors de l’UE qui souhaitent livrer au sein de l’UE.
La CRA est une législation stricte. En effet, limiter les succès des cybercriminels nécessite des mesures rigoureuses. Il est possible que cette législation soit reprise dans des pays hors de l’UE, car les cyberattaques constituent un problème mondial.
Bien entendu, la CRA va bien au-delà du simple secteur de la construction mécanique. Pensez au nombre d’organisations essentielles qui sont vulnérables : hôpitaux, sociétés de transport, constructeurs automobiles, entreprises du secteur de l’énergie, etc. Se conformer à la CRA représente un travail considérable. Mais c’est absolument nécessaire.
La CRA est un règlement ; elle entrera donc immédiatement en vigueur dans toute l'Union européenne.
À compter du 11 septembre 2026, les fabricants seront tenus de signaler les vulnérabilités activement exploitées et les incidents graves.
À compter du 11 décembre 2027, le règlement CRA s'appliquera pleinement. À partir de cette date, tous les matériels et logiciels comportant des éléments numériques devront répondre à des exigences de sécurité strictes (sécurité dès la conception).
