CRA Réglementation

Le Cyber Resilience Act (CRA) introduit des exigences obligatoires de cybersécurité pour tous les produits comportant des éléments numériques vendus sur le marché européen. Ce règlement de grande portée s'applique aux matériels comme aux logiciels — des objets connectés aux applications d'entreprise — exigeant que les fabricants traitent les vulnérabilités, fournissent des mises à jour de sécurité et mettent en œuvre les principes de sécurité dès la conception tout au long du cycle de vie du produit.

Une exigence centrale du CRA est l'agilité cryptographique : la capacité de mettre à jour ou de remplacer les algorithmes et paramètres cryptographiques sans remplacer l'intégralité du produit. Cette capacité est essentielle pour la préparation post-quantique et garantit que les produits peuvent s'adapter à l'évolution des menaces. Pour la PKI, cela signifie que les certificats et primitives cryptographiques doivent être conçus dès le départ pour permettre la rotation.

Le CRA impose également la sécurité de la chaîne d'approvisionnement logicielle, incluant la signature de code pour garantir l'intégrité des logiciels et les Software Bills of Materials (SBOM) pour la transparence. Ces exigences créent de nouvelles demandes en matière de gestion de certificats à grande échelle, notamment pour les fabricants gérant des flottes de produits connectés et des livraisons logicielles fréquentes.