Si votre entreprise fournit des produits contenant des éléments numériques — pensez à un thermostat intelligent, un logiciel qui accompagne une machine, ou une application qui communique avec un appareil — la Cyberresilience Act exige un dossier qui montre comment la cybersécurité de ce produit est assurée. Globalement, il s'agit d'une évaluation des risques du produit, d'une documentation technique sur son fonctionnement et sa sécurité, d'un aperçu des composants logiciels utilisés, d'un processus de traitement des vulnérabilités, et d'une déclaration de conformité. La structure précise et les termes exacts figurent dans le texte officiel du règlement ; consultez-le, ou votre autorité de surveillance, pour déterminer exactement ce qui s'applique à votre produit.
Ce qui distingue ce dossier d'un dossier de sécurité des produits ou d'un dossier d'emballage, par exemple, c'est qu'il n'est pas terminé à la livraison. Un dossier de sécurité des produits décrit un produit tel qu'il sort de l'usine. Le dossier de cybersécurité doit aussi montrer ce qui se passe après cette livraison : comment vous détectez les vulnérabilités, à quelle vitesse vous publiez une mise à jour, et comment vous le documentez. C'est le détail qui joue le plus grand rôle dans ce domaine, et où les entreprises habituées aux dossiers ponctuels risquent le plus de trébucher.
Ce que le dossier contient généralement
Pour la plupart des produits contenant des éléments numériques, un dossier de cybersécurité se résume à une combinaison des éléments suivants. Une analyse des risques qui décrit quels risques de cybersécurité s'attachent au produit et comment ils sont couverts. Un aperçu technique de l'architecture, incluant quels logiciels et quels composants tiers s'y trouvent — souvent désignés par software bill of materials, une liste de tous les composants logiciels du produit. Une description du processus par lequel vous découvrez, évaluez et remediez les vulnérabilités. Et une déclaration indiquant que le produit satisfait aux exigences applicables.
La question de savoir si votre produit a exactement besoin de ces pièces, et sous quelle forme, dépend du type de produit et de la catégorie dans laquelle il se situe. C'est une question de fond qui sort du périmètre de reglia ; pour cela, le texte du règlement ou un juriste est le bon point de départ. Une première orientation sur les obligations qui peuvent s'appliquer à votre type d'entreprise se trouve auprès de l'aperçu des plateformes connectées.
Pourquoi le processus de mise à jour mérite une attention particulière
Beaucoup des autres dossiers qu'une entreprise doit tenir sont en essence une photographie : vous les remplissez, vous les conservez, et vous les mettez à jour si quelque chose d'essentiel change. Le dossier de cybersécurité exige quelque chose de différent : un processus continu que vous pouvez aussi démontrer. Qui signale une vulnérabilité, dans quel délai est-elle évaluée, et comment une mise à jour parvient-elle à l'utilisateur ? Ce n'est pas quelque chose que vous écrivez une fois et que vous laissez ensuite de côté — c'est un élément du dossier qui continue d'évoluer tant que le produit est en use.
En pratique, cela signifie que le dossier contient deux types d'informations : des pièces fixes qui changent si le produit lui-même change, et un registre continu qui s'enrichit à chaque mise à jour ou signalement. Les entreprises qui ne font pas cette distinction risquent que le dossier soit complet sur le papier mais qu'il ne montre pas en réalité comment la sécurité a été maintenue après la livraison. La question de savoir si et comment cela s'applique à votre produit, vous l'évaluerez au mieux avec un juriste ou l'autorité compétente en la matière.
Un dossier, mais pas votre seule obligation
Un produit contenant des éléments numériques que vous vendez à des consommateurs est souvent soumis dans la pratique à bien plus que le seul Digital Operational Resilience Act. Les mêmes données concernant le produit — spécifications, pays de destination, responsable au sein de votre entreprise — réapparaissent également en matière de sécurité des produits, d'emballages et parfois de protection des données personnelles. Reglia ne remplit pas cette réglementation elle-même, mais veille à ce que vous remplissiez une fois un dossier entreprise et produit, et à ce que les plateformes qui en traitent effectivement le contenu lisent ce dossier au lieu que vous le retapiez quatre fois. Vous lirez comment cela fonctionne précisément et ce que reglia fait et ne fait pas avec ces données sur l'explication sur le fonctionnement de reglia.
Celui qui souhaite savoir comment les données sont sécurisées et qui y a accès les retrouvera sur la page sur la sécurité et la confidentialité. Créer un compte est gratuit et ne vous engage à rien ; ce que vous utilisez ensuite auprès d'une plateforme, vous le payez auprès de celle-ci, au tarif que cette plateforme pratique.
Vous aimeriez savoir quelles plateformes sont connectées à reglia et quel aspect de votre entreprise chacune d'entre elles concerne ? Consultez les questions les plus fréquemment posées sur reglia ou jetez un œil à l'aperçu des solutions disponibles.