La Cyberresilience Act s'applique-t-elle à votre entreprise ?
La Cyberresilience Act est un règlement européen qui impose des exigences en matière de cybersécurité aux produits comportant des éléments numériques : des appareils et des logiciels qui peuvent se connecter à un réseau ou à un autre appareil. Que ce règlement s'applique à votre entreprise dépend principalement de deux questions : vendez-vous un tel produit, et quel est votre rôle — fabricant, importateur, distributeur ou partie qui met un produit sur le marché sous sa propre marque.
Une boutique en ligne qui revend des produits clés en main sans marque propre remplit généralement le rôle de distributeur, avec des obligations différentes de celles d'un fabricant. Dès que vous faites produire un produit sous votre marque ou votre propre label, vous pouvez être légalement considéré comme fabricant, même si vous ne produisez rien vous-même. Ce texte n'offre pas de réponse définitive pour votre situation spécifique — cela relève d'un juriste ou de l'autorité de surveillance désignée pour ce règlement.
Ce que le règlement vise précisément à réglementer
La Cyberresilience Act s'intéresse au cycle de vie d'un produit : de sa conception et de son développement aux mises à jour après la vente. L'idée sous-jacente est que les produits comportant des éléments numériques contiennent souvent des vulnérabilités qui ne sont découvertes qu'après la vente, et qu'il faut y remédier : une sécurité intégrée en amont et un moyen de corriger les vulnérabilités ultérieurement. Cela ne touche donc pas seulement à la technique d'un produit, mais aussi à la durée pendant laquelle et à la façon dont vous restez joignable après la vente pour les signalements et les mises à jour.
Quand cela peut être pertinent pour votre entreprise
Le cœur du règlement porte sur les produits qui contiennent des logiciels ou qui peuvent se connecter à Internet, à un réseau ou à un autre appareil. Pensez à l'éclairage intelligent, aux caméras de surveillance, aux routeurs, aux capteurs pour la gestion des bâtiments ou aux équipements pilotés par une application. Une entreprise d'installation qui vend et installe un tel équipement, une boutique en ligne qui propose des produits de maison intelligente sous sa propre marque, ou un bureau qui fournit des appareils IoT à ses clients peut relever du champ d'application. Une entreprise qui fournit uniquement des services sans mettre elle-même un tel produit sur le marché n'a généralement pas besoin de se poser de questions sur ce règlement — bien qu'il reste vrai que cela varie selon les situations.
Si vous vendez des produits sous votre propre marque
C'est précisément le point où de nombreuses PME sont touchées contrairement à leurs attentes. Une boutique en ligne qui fait fabriquer par un fabricant en Asie et vend le produit sous sa propre marque est souvent traitée par la réglementation applicable comme un fabricant, et non comme un revendeur. C'est le même glissement qui se produit en matière de sécurité des produits et d'emballages : le rôle que vous jouez détermine les obligations qui vous incombent, et ce rôle n'est pas toujours celui que vous choisiriez. La façon dont cela s'appliquera aussi à la Cyberresilience Act pour votre produit spécifique figure dans le texte officiel et auprès de l'autorité de surveillance désignée.
Pourquoi cela ne fonctionne rarement seul
Une entreprise qui relève de ce règlement relève souvent aussi d'autres réglementations : la sécurité des produits au sens général, éventuellement des exigences en matière d'accessibilité si le produit dispose d'une interface utilisateur, et la protection des données personnelles dès que l'appareil collecte ou transmet des données. C'est précisément la raison pour laquelle il est utile de cartographier une seule fois les réglementations qui s'appliquent à votre entreprise, au lieu de recommencer à chaque question. Reglia est la couche au-dessus des plateformes qui traitent chaque domaine de manière substantielle ; vous pouvez via consulter un aperçu des plateformes connectées pour voir quelle plateforme traite quel sujet.
Ce que reglia fait et ne fait pas avec les données que vous y entrez, vous le lirez sur la page consacrée à comment reglia fonctionne. Une fois que vous avez rempli un dossier d'entreprise, vous n'avez pas besoin de le refaire pour chaque plateforme, et vous gardez toujours une vue d'ensemble des données que chaque plateforme utilise.
Si vous vous demandez si un produit que vous vendez relève du Cyberresilience Act, c'est une question qui doit être posée à un juriste ou à l'autorité de surveillance désignée à cet effet. Sur la page concernant foire aux questions vous trouverez plus d'explications sur ce que reglia fait et ne fait pas pour vous.
Si vous souhaitez savoir quelles plateformes existent et quel sujet est couvert par chacune d'elles, consultez tranquillement la suite à la création d'un compte gratuit pour voir ce qui est disponible pour votre entreprise.