Quelles sont les exigences de la CRA envers les OEM ?
La CRA impose la sécurité à chaque étape : conception, déploiement, exécution et maintenance. Si vous la ramenez à son élément essentiel, elle se résume à trois questions. Répondez sincèrement à ces questions et vous saurez où vous en êtes.
Question 1 : Votre entreprise est-elle sécurisée ?
Pas seulement vos produits, votre entreprise également. Pouvez-vous desservir votre marché, fournir le support et fonctionner selon un niveau de qualité que vous seriez prêt à garantir ?
La façon la plus simple de l’envisager est de penser en termes de culture de cybersécurité. La cybersécurité est-elle partie intégrante de votre entreprise de la même manière que la sécurité est devenue une composante de la culture manufacturière il y a 15 à 20 ans ?
Question 2 : Ce que vous livrez est-il sécurisé par conception et par défaut ?
Ce sont deux termes industriels qu’il convient de bien distinguer. C’est sur ce point que les fabricants d’équipements d’origine doivent être en mesure de démontrer que la cybersécurité a été prise en compte tout au long du processus de conception et de développement, permettant ainsi l’obtention du marquage CE et la conformité à la norme IEC 62443.
Sécurisé par conception = comment la machine est construite
Cela inclut la façon dont elle est conçue, la manière dont elle est connectée, ainsi que la façon dont les personnes s’y connectent physiquement ou à distance.
Sécurisé par défaut = l’état dans lequel elle est livrée
Cela signifie qu'elle est conçue avec le moins de composants inutiles et le minimum de points de fixation. Les machines ne sont pas complètement ouvertes et n’attendent pas que quelqu’un les sécurise en aval.
Question 3 : Pouvez-vous fournir le support et les mises à jour sur la durée ?
Ce point est obligatoire. C'est aussi celui que les fabricants d'équipement d'origine sous-estiment le plus.
Vous pouvez vérifier que votre produit est exempt de virus le jour de son expédition, mais comment suivrez-vous les nouvelles vulnérabilités émergentes au fil du temps ? Les vulnérabilités apparaissent généralement après qu’un attaquant ait mis la main sur des versions de cet équipement et cherche des moyens d’y accéder.
Cela signifie que votre posture doit être constamment active. Vous savez ce que vous avez vendu et ce que les rapports sur les menaces et les vulnérabilités vous en disent. Et maintenant, vous avez le devoir d’aider les clients à qui vous avez vendu la machine. Ou cela pourrait créer d'autres problèmes.
Le calcul que la plupart des OEM n'ont pas fait
Voici l'autre point à retenir concernant la question trois : cette obligation s’applique à la machine pendant toute sa durée de vie, ou pendant 10 ans tant qu'elle est en production.
Exemple hypothétique : votre fabricant d'équipement d'origine expédie cent machines par an. Lorsque vous atteignez cette période de dix ans, vous avez à votre charge 1 000 machines pour lesquelles cette obligation reste en vigueur. Et chacune avec un certain nombre de dispositifs installés. Disons 100 dispositifs chacune. Cela signifie que vous devez être en mesure de suivre les vulnérabilités et les mises à jour produit associées à plus de 100 000 points de terminaison que vous avez expédiés un peu partout. Le tout sur un millier de machines dont vous êtes censé connaître, suivre et signaler les versions et l’état de vulnérabilité.
Ensuite, ajoutez le coût de la main-d'œuvre. Il augmente en parallèle de votre taille et n'est pas anodin. Les équipementiers en Europe qui doivent gérer cette situation nous disent que la charge liée au suivi est immense ; et ceux qui ont trouvé un moyen de la simplifier ont constaté des gains de temps considérables.
Le choix auquel sont confrontés les équipementiers.
Ce genre de charge de travail impose une décision difficile. Vous pouvez considérer cette situation comme un statu quo et l’intégrer comme une fonctionnalité fondamentale de votre produit, fonction et service. Ou bien, vous pouvez la considérer comme une simple formalité, cocher la case et passer à autre chose.
C'est sur le deuxième chemin que les problèmes apparaissent. Ne vous y trompez pas, la CRA va transformer le marché des équipementiers. La question est de savoir de quel côté de ce changement vous vous trouvez.
Un avertissement aux fabricants OEM nord-américains
Les OEM et les constructeurs de machines nord-américains pourraient être tentés de considérer la CRA comme « un problème européen ». Mais il est important de surveiller la trajectoire.
Si vous vendez en Europe, ou si vous avez des clients qui le font, l'exigence vous parvient via le bon de commande.
Si vous êtes strictement basé en Amérique du Nord, le gouvernement fédéral a déjà commencé à renforcer les exigences en matière de cybersécurité dans divers secteurs industriels et gouvernementaux, ce qui laisse penser que ces exigences continueront de s’étendre à d’autres industries. Que cela se produise selon un calendrier précis ou non, la tendance n’est pas à une diminution de la responsabilité.
