Cyber Resilience Act : durée de support et achats IT

Stratégie IT · 5 min

Le Cyber Resilience Act introduit des règles pour le support de sécurité des produits numériques. Découvrez comment évaluer les durées, les mises à jour et les risques de fin de support avant d'acheter.

Cyber Resilience Act : durée de support et achats IT

TL;DR

Le Cyber Resilience Act impose aux fabricants de définir et de communiquer une période de support de sécurité pour les produits concernés.
La règle générale prévoit un minimum de cinq ans, sauf lorsque la durée d'utilisation attendue du produit est inférieure ; les produits à durée de vie plus longue peuvent exiger un support plus étendu.
La période de support doit être prise en compte dans les achats, au même titre que le prix, la sécurité, la compatibilité et la durée de vie prévue.
Enregistrer les dates de fin de support dans l'inventaire permet d'anticiper les renouvellements, d'identifier les risques et de préparer les budgets.
Les nouvelles obligations ne s'appliquent pas automatiquement à tous les équipements existants ; les produits anciens nécessitent une évaluation spécifique.

Une nouvelle information entre dans le processus d'achat

Le Règlement (UE) 2024/2847, connu sous le nom de Cyber Resilience Act (CRA), établit des exigences de cybersécurité pour les produits comportant des éléments numériques commercialisés dans l'Union européenne, y compris les équipements réseau, les appareils connectés et les logiciels relevant de son champ d'application. L'application générale est prévue pour le 11 décembre 2027, bien que les obligations de notification des vulnérabilités activement exploitées et de certains incidents graves s'appliquent déjà depuis le 11 septembre 2026. L'un des changements les plus pertinents pour ceux qui achètent de la technologie est l'obligation faite aux fabricants de définir et de communiquer la période pendant laquelle ils assurent le traitement des vulnérabilités. Pour un responsable IT, cette information permet d'évaluer non seulement le prix et les fonctionnalités, mais aussi la durée pendant laquelle le produit pourra continuer à être utilisé avec un support de sécurité adéquat. La période de support devient ainsi un élément important de la décision d'achat et de la planification du cycle de vie technologique.

La période de support est soumise à des règles minimales

L'article 13, paragraphe 8, du CRA prévoit que le fabricant doit déterminer une période de support reflétant la durée pendant laquelle le produit est censé être utilisé. En règle générale, cette période ne peut être inférieure à cinq ans. Lorsque la durée d'utilisation attendue est inférieure, le support doit correspondre à cette durée ; lorsqu'elle est supérieure, le fabricant doit envisager une période plus longue. Cette distinction est particulièrement pertinente pour les équipements réseau, les systèmes industriels et d'autres produits qui restent en service pendant de nombreuses années. Pendant la période déclarée, le fabricant doit respecter les obligations applicables en matière de traitement des vulnérabilités, y compris la mise à disposition de mises à jour de sécurité. Il convient toutefois de distinguer le support de sécurité de la garantie commerciale ou de la maintenance fonctionnelle : le CRA ne garantit pas que toutes les failles soient corrigées ni que le produit reçoive indéfiniment de nouvelles fonctionnalités.

Le décalage entre support et utilisation réelle crée un risque

De nombreuses organisations maintiennent en production des commutateurs, des contrôleurs Wi-Fi, des systèmes de vidéosurveillance et des équipements industriels pendant des périodes supérieures à celles initialement prévues. Lorsque le support de sécurité prend fin avant le remplacement, l'organisation peut cesser de recevoir des correctifs pour les nouvelles vulnérabilités, ce qui accroît son exposition au risque. Dans ces cas, la gestion des correctifs basée sur le risque ne suffit plus, car il n'existe plus nécessairement de mises à jour fournies par le fabricant. Des mesures temporaires peuvent alors s'imposer, comme l'isolation réseau, des restrictions d'accès, une surveillance renforcée ou un remplacement anticipé. C'est pourquoi, avant d'acquérir un produit, il importe de comparer la période de support annoncée avec la durée de vie attendue, surtout lorsque l'installation exige un investissement important, une intégration avec d'autres systèmes ou des interruptions planifiées pour le remplacement.

Critères à inclure dans les cahiers des charges

La période de support doit être prise en compte dès la définition des exigences d'acquisition. Dans les cahiers des charges, l'équipe achats peut demander la date de fin de support de sécurité, la politique de mises à jour, les canaux de signalement des vulnérabilités et les conditions de mise à disposition des correctifs. Lorsque cela est pertinent, elle peut également demander des informations sur les composants logiciels, y compris une nomenclature logicielle (SBOM), ainsi que sur la dépendance à des services externes. Ces éléments doivent être évalués conjointement avec le coût total de possession, la criticité de l'équipement et la durée d'utilisation prévue. Un produit dont le prix initial est inférieur peut nécessiter un remplacement anticipé si le support s'achève trop tôt. En contrepartie, les exigences doivent rester proportionnées : un dispositif périphérique à faible impact ne requiert pas nécessairement le même niveau d'évaluation qu'un pare-feu ou un équipement réseau central. L'objectif est d'acheter de la technologie avec une vision réaliste de son cycle de vie.

De l'inventaire au budget pluriannuel

L'information sur la fin du support ne crée de la valeur que lorsqu'elle est intégrée à la gestion des actifs. Enregistrer dans la CMDB le fabricant, le modèle, la version, la date de fin de support et les services dépendants permet d'identifier les équipements qui requièrent de l'attention avant qu'ils ne deviennent un problème. Cette information peut alimenter des alertes, des plans de renouvellement et des budgets pluriannuels, en s'articulant avec la gestion de l'infrastructure IT. Pour les équipements déjà installés, il importe de distinguer la date de fin de support contractuelle des obligations introduites par le CRA. Les produits mis sur le marché avant le 11 décembre 2027 ne sont pas automatiquement soumis à toutes les nouvelles exigences, des règles transitoires et des exceptions spécifiques existant. Dans ces cas, il peut être nécessaire de demander des précisions au fabricant, de consulter les politiques de cycle de vie publiées et d'évaluer des mesures d'atténuation ou de remplacement.

Un critère de décision qui exige de la méthode

Le Cyber Resilience Act adresse ses principales obligations aux fabricants et aux autres opérateurs économiques impliqués dans la mise à disposition de produits comportant des éléments numériques sur le marché européen. Pour les organisations qui achètent de la technologie pour leur propre usage, le règlement crée l'occasion d'améliorer les critères d'acquisition, la gestion des actifs et la planification des renouvellements. La période de support ne doit pas être analysée isolément : il importe de la mettre en relation avec la criticité de l'équipement, l'exposition aux menaces, les dépendances technologiques et le coût de remplacement. Les entités concernées par NIS2 ou par une réglementation sectorielle doivent en outre évaluer comment ces critères s'articulent avec leurs obligations de gestion des risques et de sécurité de la chaîne d'approvisionnement. Acheter une technologie dont le support est adapté à l'usage prévu est une décision de sécurité, mais aussi de continuité opérationnelle et de pérennité de l'investissement.