Initiatives pour
En tant qu'autorité nationale en matière de cybersécurité, le CCB a développé plusieurs initiatives destinées à des publics spécifiques, qui sont présentées ici.
Le Cyber Resilience Act (CRA) a été publié le 20 novembre 2024. Ce nouveau règlement de l'UE contient des « exigences horizontales en matière de cybersécurité pour les produits à éléments numériques ». Autrement dit, il impose des exigences minimales de cybersécurité pour tous les produits connectés mis sur le marché de l'UE, rendant ainsi l'Internet des objets (IoT) plus sûr. Les nouvelles règles s'appliqueront dans tous les pays de l'UE et seront mises en œuvre progressivement. Il est finalement attendu que le CRA contribue à la vision du CCB de rendre la Belgique plus sûre sur le plan cyber en veillant à ce que les citoyens et les organisations, tant publiques que privées, soient moins vulnérables aux cyberattaques.
Voir également ci-dessous les Questions et Réponses sur le CRA
Les citoyens et les organisations dépendent de plus en plus des produits connectés dans leurs activités quotidiennes. Pensez par exemple aux smartphones, aux caméras intelligentes utilisées à des fins de sécurité, aux compteurs intelligents qui sont utilisés pour optimiser la production et la consommation d'électricité, etc. Dans le même temps, de nombreux produits connectés mis sur le marché ont encore des normes de cybersécurité faibles (par exemple des mots de passe par défaut faibles, l'absence de chiffrement des données…), ce qui en fait des cibles idéales pour les cyberattaques. De telles vulnérabilités mineures peuvent même provoquer des attaques graves de la chaîne d'approvisionnement, affectant des entités essentielles, avec des impacts potentiellement graves sur notre économie et notre société dans son ensemble. Puisque les utilisateurs ne sont souvent pas conscients des risques et sont mal équipés pour se protéger, le CRA a été conçu pour s'assurer que les fabricants fassent leur part en concevant des produits plus sûrs d'un point de vue cyber et en facilitant la mise en sécurité des produits tout au long de leur cycle de vie.
Les produits couverts par le CRA varient des produits bon marché pour les consommateurs aux logiciels B2B et aux systèmes industriels complexes. Plus précisément, les « produits à éléments numériques » sont définis comme des produits qui peuvent, d'une manière ou d'une autre, être connectés à un appareil ou à un réseau et comprennent :
Cependant, les produits suivants ne sont pas soumis aux exigences du CRA :
Tous les fabricants qui mettent des produits sur le marché de l'UE doivent se conformer au CRA, même s'ils sont établis en dehors de l'UE. Par exemple, le CRA s'applique à un développeur américain qui vend une application mobile sur des téléphones européens ou à un fabricant chinois qui vend des panneaux solaires en Belgique.
Le CRA impose principalement des obligations aux fabricants (concernant la conception, l'évaluation de la conformité de leurs produits, la déclaration des vulnérabilités et des incidents, la transparence à l'égard des utilisateurs...) afin de s'assurer que leurs produits sont sûrs avant d'être mis sur le marché de l'UE, mais aussi tout au long du cycle de vie du produit.
Le CRA contient également des dispositions qui concernent d'autres parties, telles que les importateurs, les distributeurs, les gestionnaires de logiciels open source (comme les fondations), les organismes d'évaluation de la conformité (OEC) et les autorités publiques (agences nationales de cybersécurité, autorités de surveillance du marché).
La principale nouveauté du CRA est qu'il définit un niveau minimum de cybersécurité pour tous les produits connectés disponibles sur le marché de l'UE – quelque chose qui n'existait pas auparavant. Par exemple :
Oui et non. D'une part, le CRA contient un ensemble unique d'exigences de cybersécurité qui s'appliquent à tous les produits connectés, qu'ils soient bon marché ou coûteux, qu'ils soient utilisés par des consommateurs individuels ou des utilisateurs professionnels avancés. Les obligations de déclarer les vulnérabilités et les incidents et d'indiquer clairement la fin de la période de support pour un produit, par exemple, s'appliquent à tous les types de produits.
D'autre part, la procédure permettant d'évaluer si les produits sont conformes aux règles du CRA diffère pour les produits standard et les produits considérés comme plus sensibles d'un point de vue cybersécurité. Ces produits, dits « importants » ou « critiques », sont inclus dans les annexes III et IV du règlement (par exemple, les gestionnaires de mots de passe, les pare-feu, les cartes intelligentes, les compteurs intelligents…). Ces produits devront suivre des procédures d'évaluation de la conformité plus strictes, par exemple obtenir une certification de cybersécurité de l'UE (ou une certification nationale équivalente), être évalués pour leur conformité par un auditeur tiers dans le cadre du système législatif actuel sur les produits (NLF), ou – dans des cas limités – se conformer aux normes harmonisées reconnues au niveau européen pour couvrir les exigences du CRA.
Il est important de noter que les logiciels open source non commerciaux, tels que les logiciels dont le code source est disponible publiquement et qui peuvent être téléchargés gratuitement, ne sont pas soumis aux obligations du CRA, car de nombreux projets open source reposent sur la contribution de bénévoles et imposer des obligations légales strictes à ces projets pourrait mettre en danger leur existence.
Cependant, d'autres types de logiciels open source sont distribués commercialement et peuvent être utilisés à grande échelle par des individus et des organisations dans le monde entier. Ces logiciels doivent être traités de la même manière que les autres logiciels commerciaux et sont donc soumis aux mêmes exigences du CRA.
Le CRA prévoit toutefois un régime spécifique pour les logiciels open source commerciaux gérés selon un modèle de fondation, car les fondations jouent souvent le rôle de « gestionnaires » de projets open source et ne peuvent être tenues responsables du travail des développeurs individuels. Dans le cadre du régime spécifique créé par le CRA, les gestionnaires de logiciels open source n'ont pas à suivre les procédures d'évaluation de la conformité du CRA, mais doivent documenter leur politique de cybersécurité. Ils doivent également déclarer les incidents graves et les vulnérabilités les concernant et sont encouragés à participer à des programmes de certification de sécurité volontaires.
Pour s'assurer que les petites et micro-entreprises ne soient pas désavantagées par rapport aux grandes entreprises, le CRA inclut plusieurs dispositions visant à réduire la charge de conformité pour les PME. Des exemples de telles mesures incluent la possibilité pour les PME d'utiliser un format simplifié pour l'émission de la documentation technique de leurs produits et l'obligation pour les organismes d'évaluation de la conformité de tenir compte de la taille d'une entreprise lorsqu'ils déterminent le montant des frais à payer pour une évaluation de la conformité.
Les autorités publiques joueront également un rôle clé dans le soutien des petits fabricants dans leurs efforts de conformité. La Commission européenne s'est engagée à publier des lignes directrices du CRA spécialement destinées aux PME, tandis que chaque pays de l'UE doit établir un canal dédié pour la communication avec les micro- et petites entreprises afin de répondre à leurs questions et demandes de conseils sur la mise en œuvre du CRA.
De nos jours, les consommateurs ont souvent du mal à savoir si un produit connecté est suffisamment sécurisé ou s'il peut être facilement piraté par des tiers. Grâce au CRA, les consommateurs européens peuvent être sûrs que les produits qu'ils achètent sur le marché de l'UE respectent des normes minimales et, par exemple, ne présentent pas de vulnérabilités connues importantes ni des paramètres par défaut faibles.
Mais le CRA permet également aux consommateurs de faire des choix plus éclairés en exigeant des fabricants qu'ils soient transparents sur le niveau de cybersécurité offert par leurs produits. L'une des principales innovations du CRA est qu'il oblige les fabricants à indiquer clairement, sur le produit, l'emballage ou une page web facilement accessible, jusqu'à quelle date les mises à jour de sécurité seront fournies pour le produit. En d'autres termes, les utilisateurs peuvent non seulement comparer les produits en fonction du prix et des fonctionnalités, mais aussi en fonction de la durée de la période de support – un indicateur clé pour garantir que les produits puissent être utilisés en toute sécurité pendant leur durée de vie prévue.
En favorisant la cybersécurité par défaut et dès la conception, en rendant obligatoire la déclaration des vulnérabilités activement exploitéées et en garantissant un bon processus de mise à jour, le CRA aidera le CCB à réaliser sa vision de faire de la Belgique l'un des pays les moins vulnérables dans le domaine de la cybersécurité. En tant qu'autorité nationale en matière de cybersécurité :
Le CRA entre officiellement en vigueur 20 jours après sa publication, soit le 10 décembre 2024. Étant donné qu'il s'agit d'un règlement de l'UE et non d'une directive, il est directement applicable dans tous les pays de l'UE sans nécessité de transposition nationale. Toutefois, une période de transition est prévue pour garantir que les opérateurs économiques disposent de suffisamment de temps pour se conformer aux nouvelles exigences. L'implémentation du CRA se déroulera donc en plusieurs étapes entre fin 2024 et 2027 :
La réglementation sur la cyberrésilience ou Cyber Resilience Act (CRA) a été adoptée le 20/11/2024. Voici quelques réponses préliminaires aux questions les plus fréquemment posées sur cette nouvelle réglementation européenne et sur son application en Belgique. Veuillez garder à l'esprit que les conseils fournis ici sont donnés à titre d'information uniquement et ne constituent pas un avis juridique. Le texte juridique de la CRA, une fois publié, prévaudra sur toutes les explications fournies ici.
Le CRA est le premier règlement européen qui impose des exigences minimales en matière de cybersécurité à tous les produits connectés mis sur le marché européen. Son objectif : rendre l'internet des objets plus sûr. Les nouvelles règles s'appliqueront à tous les pays de l'UE et seront mises en œuvre progressivement. Le CRA devrait contribuer à la vision du CCB consistant à rendre la Belgique moins vulnérable dans le domaine cyber en veillant à ce que les citoyens et les organisations, publiques comme privées, soient mieux protégés contre les cyberattaques.
Les citoyens et les organisations utilisent de plus en plus de produits connectés dans leur vie quotidienne. Dans le même temps, de nombreux produits connectés mis sur le marché présentent encore des standards de cybersécurité faibles (par exemple, des mots de passe par défaut peu sécurisés, des mécanismes de transfert ou de stockage de données non chiffrés, des processus de mise à jour difficiles...), ce qui en fait des cibles idéales pour les cyberattaques. Étant donné que les utilisateurs ne sont souvent pas conscients des risques et ne sont pas suffisamment équipés pour se protéger, le CRA vise à s’assurer que les fabricants contribuent à sécuriser leurs produits et à faciliter le maintien d’un haut niveau de cybersécurité tout au long du cycle de vie des produits.
Les produits couverts par le CRA vont des produits de consommation bon marché aux logiciels d’entreprises en passant par des systèmes industriels complexes. Plus précisément, les "produits comportant des éléments numériques" sont définis comme des produits pouvant être connectés à un dispositif ou à un réseau quelconque et comprennent :
Les produits NON soumis aux exigences du CRA comprennent les logiciels libres non commerciaux, les services cloud et Software as a Service (SaaS), ces deux derniers étant déjà réglementés par la directive NIS2.
Tous les fabricants qui mettent des produits sur le marché européen devront se mettre en conformité avec le CRA, même s'ils sont établis en dehors de l'UE. Par exemple, la CRA s'applique à un développeur américain qui vend une application mobile sur des téléphones européens ou à un fabricant chinois qui vend des panneaux solaires en Belgique. En outre, les distributeurs et les importateurs de produits connectés devront également s'y conformer.
La grande nouveauté du CRA est la mise en place d’un niveau minimum de cybersécurité pour tous les produits connectés disponibles sur le marché européen, ce qui n'existait pas auparavant. Par exemple :
Oui, et non. D'un côté, le CRA contient un ensemble unique d'exigences en matière de cybersécurité qui s'appliqueront à tous les produits connectés, qu'ils soient bon marché ou coûteux, qu'ils soient utilisés par des consommateurs individuels ou par des utilisateurs professionnels avertis. L'obligation de signaler les vulnérabilités et d'indiquer clairement la fin de la période d'assistance sur le produit, par exemple, s'appliquera à tous les types de produits.
D’un autre côté, la procédure d'évaluation de la conformité des produits dans le cadre du CRA sera différente pour les produits « standards » et pour les produits jugés plus sensibles du point de vue de la cybersécurité. Ces derniers sont appelés produits "importants" ou "critiques" et sont énumérés dans les annexes III et IV du règlement (par exemple, les gestionnaires de mots de passe, les pare-feu, les cartes à puce, les compteurs intelligents...). Ces produits serons soumis à des procédures d'évaluation de la conformité plus strictes, par exemple via l’obtention d’une certification de cybersécurité européenne (ou une certification nationale correspondante), via une évaluation de conformité par un auditeur externe dans le cadre de la législation existante sur les produits (NLF), ou - dans des cas limités – via la mise en place de normes harmonisées reconnues au niveau européen pour couvrir les exigences du CRA. L'UE travaille actuellement à l'élaboration des normes nécessaires pour ces différents types de produits.
Les logiciels libres non commerciaux ne sont pas soumis aux obligations du CRA, compte tenu du fait que de nombreux projets open source reposent sur la contribution de bénévoles. L'imposition d'obligations juridiques strictes à de tels projets risquerait d'en compromettre l'existence.
Toutefois, les logiciels libres distribués à des fins commerciales seront traités de la même manière que les autres logiciels soumis aux exigences du CRA. À titre d'exception, au sein de cette catégorie, le CRA prévoit un régime spécial pour les logiciels libres à vocation commerciale gérés dans le cadre d'un modèle de fondation, compte tenu du fait que les fondations agissent généralement en tant que « coordonnatrices » de projets open source et ne peuvent donc être tenues pour responsables du travail des développeurs individuels.
Pour tenir compte du fait que de nombreux produits commerciaux reposent en grande partie sur des logiciels libres, le CRA oblige les fabricants (ou les distributeurs ou les importateurs) de ces produits à s'assurer que les logiciels libres qu'ils utilisent sont suffisamment sécurisés. De cette manière, la possibilité d'attaques de la chaîne d'approvisionnement est limitée.
Afin de s'assurer que les microentreprises et les petites entreprises ne sont pas désavantagées par rapport aux grandes entreprises, le CRA comprend plusieurs dispositions visant à réduire la charge de conformité pour les PME. Parmi ces mesures figurent la possibilité pour les PME d'utiliser un format simplifié pour la publication de la documentation technique de leurs produits et l'obligation pour les organismes d'évaluation de la conformité de tenir compte de la taille de l'entreprise lorsqu'ils déterminent le montant des frais à payer pour les évaluations de conformité.
Les autorités publiques ont également un rôle clé à jouer pour soutenir les petites entreprises dans leurs efforts de mise en conformité. La Commission européenne s'est engagée à publier des orientations sur le CRA spécialement destinées aux PME, tandis que chaque pays de l'UE doit mettre en place un canal de communication dédié aux micro et petites entreprises afin de répondre à leurs questions et demandes de conseils sur la mise en œuvre du CRA.
Tout d'abord, il est important de souligner que les fabricants ne devront signaler à la plateforme unique que les failles activement exploitées. Cela signifie que les vulnérabilités notifiées dans le cadre de l'ARC auront déjà été utilisées par des acteurs malveillants pour mener des cyberattaques.
Deuxièmement, l'objectif de la plateforme unique de signalement est d'assurer une transmission fluide et efficace des informations sur les vulnérabilités et les incidents entre les agences nationales de cybersécurité (Computer Security Computer Security Incident Response Teams), et avec l'ENISA. La plateforme ne stockera pas d'informations sensibles concernant, par exemple, des vulnérabilités non corrigées. Plusieurs garanties techniques, opérationnelles et organisationnelles seront mises en place pour s'assurer que la plateforme est développée et fonctionne de manière totalement sécurisée, en accordant une attention particulière à la confidentialité des données transmises.
Enfin, il ne faut pas confondre la plateforme unique de signalement établie par l'ARC avec la base de données européenne sur les vulnérabilités établie par la directive NIS2.
Aujourd'hui, il est difficile pour les consommateurs de savoir si un produit connecté est suffisamment sécurisé ou s'il peut être facilement piraté par des tiers. Grâce au CRA, les consommateurs européens auront la garantie que les produits qu'ils achètent dans l'UE sont conformes à des normes de cybersécurité minimales et ne présentent pas, de vulnérabilité majeure connue, ou de paramètres par défaut avec un faible niveau de cybersécurité.
Le CRA permettra également aux consommateurs de faire des choix plus éclairés en exigeant des fabricants qu'ils fassent preuve de transparence quant à la période d’assistance des produits connectés, à savoir la date jusqu’à laquelle ils s’engagent à fournir des mises à jour de sécurité. En d'autres termes, les utilisateurs pourront comparer les produits non seulement en fonction de leur prix et de leurs caractéristiques, mais aussi en fonction de la durée de la période d’assistance - un indicateur important pour garantir que les produits peuvent être utilisés en toute sécurité pendant leur durée de vie prévue.
Le CRA étant un règlement européen et non une directive, il sera directement applicable dans tous les pays de l'UE sans qu'il soit nécessaire de le transposer au niveau national. Une période de transition est toutefois prévue pour permettre aux opérateurs de disposer de suffisamment de temps pour s'adapter aux nouvelles exigences. Le Parlement européen a déjà voté sur une version préliminaire du texte. Après une révision juridico-linguistique, la législation devrait être officiellement votée par le Parlement européen nouvellement élu et par le Conseil de l'UE d’ici la fin de l'été 2024. Le texte final sera alors publié au Journal officiel de l'UE et entrera en vigueur 20 jours plus tard. La mise en œuvre du CRA se fera ensuite en plusieurs étapes entre la fin de l'année 2024 et l'année 2027 :