Industrie automobile 
Préparation à la CRA : les préparatifs commencent avant 2027 : comment ODOT s’y prépare dès maintenant
L'ARC ne débutera pas en 2027.
Quand la loi européenne sur la cyber-résilience entre-t-elle réellement en vigueur ?
Pour de nombreux fabricants, Décembre 2027Cette date demeure cruciale. Toutefois, la préparation de l'ARC ne peut être reportée à cette date.
La loi sur la cyber-résilience est entrée en vigueur.
Les obligations de déclaration prévues par l'ARC commenceront à s'appliquer.
Les principales obligations restent applicables.
La loi sur la cyber-résilience est entrée en vigueur le 10 décembre 2024Ses principales obligations s'appliqueront à compter de 11 décembre 2027, tandis que les obligations de déclaration en vertu de l'ARC commenceront à s'appliquer à partir de 11 septembre 2026.
Pour les fabricants de produits avec chiffreEn résumé, cela signifie une chose :
Les préparatifs pour l'ARC doivent commencer avant 2027.
L'ARC est bien plus qu'une simple vérification finale de conformité
La cybersécurité ne peut pas simplement être ajoutée à un produit une fois son développement terminé.
Pour les fabricants de systèmes d'automatisation industrielle, la conformité aux exigences de cybersécurité (CRA) va bien au-delà de la simple réalisation d'un test ou de la rédaction d'un document technique. Elle implique d'intégrer les enjeux de cybersécurité à l'ensemble du cycle de vie du produit, depuis les spécifications et le développement jusqu'à la vérification, la gestion des vulnérabilités, les mises à jour et la documentation.
Chez ODOT, c'est l'approche que nous adoptons aujourd'hui.
Notre travail préparatoire se met progressivement en place :
- revue des exigences du produit
- Analyse de l'interface réseau et de la surface d'attaque
- évaluation des risques de cybersécurité
- Logiciels et contrôle de version
- Vérification et tests du produit
- traçabilité des produits et des micrologiciels
- Gestion des vulnérabilités
- Mises à jour logicielles
- Documentation technique
L’objectif est de transformer les exigences réglementaires en actions d’ingénierie pratiques et traçables.
Des exigences produit à l'évaluation des risques de cybersécurité
La cybersécurité commence bien avant les tests du produit final.
Lors de la phase de définition des exigences produit, les considérations de sécurité doivent être identifiées et intégrées au processus de développement. Les interfaces externes, notamment les ports réseau et les interfaces de communication, doivent être prises en compte. ProtocoleLes interfaces accessibles, notamment les interfaces de navigation, doivent également être considérées comme faisant partie de la surface d'attaque potentielle du produit.
Une fois ces interfaces comprises, les risques potentiels en matière de cybersécurité peuvent être identifiés, évalués et traités.
L'important n'est pas seulement de prendre des décisions d'ingénierie, mais aussi de veiller à ce que le raisonnement et les actions qui en découlent restent documentés et traçables tout au long du cycle de vie du produit.
La cybersécurité se poursuit après la sortie du produit de l'usine.
La préparation d'un organisme de réglementation des agences de certification (CRA) ne s'arrête pas à la mise sur le marché d'un produit.
Les produits industriels évoluent constamment grâce aux modifications de micrologiciels, aux mises à jour logicielles et aux nouvelles versions. Lorsqu'un problème de sécurité ou une vulnérabilité est signalé, les fabricants doivent disposer de procédures pour recevoir, évaluer, corriger, vérifier et documenter le problème.
Cela fait de la gestion des vulnérabilités une activité continue plutôt qu'une tâche de développement ponctuelle.
Les mises à jour logicielles doivent également être contrôlées et vérifiées. L'identité du produit (numéro de série, version matérielle et version du micrologiciel) permet d'associer les modifications, les résultats des tests et les actions subséquentes à la configuration correcte du produit.
La documentation fait partie du cycle de vie
Les évaluations des risques, les enregistrements de versions, les rapports de tests, les enregistrements de vulnérabilités et les enregistrements de mises à jour forment ensemble un ensemble de preuves traçables.
La documentation technique ne doit donc pas être considérée comme la dernière étape administrative après la finalisation des travaux d'ingénierie. Elle fait partie intégrante du cycle de vie du produit.
Parallèlement, des normes harmonisées pertinentes sont encore en cours d'élaboration. L'ODOT continue de suivre le processus de normalisation et adaptera ses activités préparatoires en fonction de la disponibilité des normes pertinentes.
ODOT se prépare dès maintenant
L'ARC ne se résume pas à un seul test.
Il ne s'agit pas d'un seul document.
Et ce n'est pas la responsabilité d'un seul département.
Il s'agit d'un cycle de vie reliant exigences, évaluation des risques, développement, vérification, contrôle de version, gestion des vulnérabilités, mises à jour et documentation.
C’est pourquoi ODOT travaille déjà à traduire les exigences en matière de cybersécurité en processus pratiques d’ingénierie et de cycle de vie des produits.