TLDR : Aikido Security vous aide à vous conformer au Cyber Resilience Act. Nous vous aidons également à automatiser les politiques de sécurité et les contrôles de conformité pour SOC2, ISO27001, CIS & NIS2.
Nous expliquons ici l'importance du Cyber Resilience Act et comment Aikido vous aide à vous y conformer.
Qu'est-ce que le Cyber Resilience Act et pourquoi est-il important pour la sécurité logicielle ?
Le Cyber Resilience Act (CRA) est un règlement de l'Union européenne (UE), introduit en décembre 2024, qui établit des exigences de base en matière de cybersécurité et de conformité pour tous les produits comportant des éléments numériques – y compris leurs composants (matériel et logiciel) – qui sont vendus dans l'UE. Cela inclut les produits Software-as-a-Service (SaaS) qui sont considérés comme des solutions de traitement de données à distance. Il concerne tous les fabricants et distributeurs vendant des produits numériques dans l'Union européenne, et pas seulement les entreprises basées dans l'UE.
Cela transfère la responsabilité de la prévention des défaillances de cybersécurité aux fabricants, avec des sanctions importantes en cas de non-conformité, pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Cela signifie concrètement que la cybersécurité des produits devient une barrière à l'entrée sur le marché et une exigence non négociable pour rester pertinent dans la chaîne d'approvisionnement numérique.
Le règlement vise à fournir des lignes directrices claires aux personnes concernées - mais si c'était si clair, vous ne liriez pas cette page, alors décortiquons-le pour vous.
Pourquoi le Cyber Resilience Act a-t-il été introduit ?
La Commission européenne a introduit le CRA pour lutter contre le faible niveau de sécurité des produits sur le marché intérieur. Le nombre croissant de produits numériques mis fréquemment sur le marché avec des vulnérabilités connues, souvent sans fournir de mises à jour de sécurité, élargit la surface d'attaque des consommateurs et des entreprises. Même s'ils peuvent souvent sembler inoffensifs, un seul appareil connecté peut servir de point d'entrée pour des acteurs malveillants cherchant à compromettre un réseau plus vaste.
Pour protéger les consommateurs, le CRA soumet les produits critiques, y compris les serrures de porte intelligentes, les systèmes de surveillance pour bébés, les systèmes d'alarme, les jouets connectés et les technologies de santé portables, à une conformité plus stricte, déplaçant ainsi efficacement la charge de l'utilisateur final vers le fabricant. En rendant légalement obligatoires les mises à jour de sécurité automatiques par défaut et en exigeant des instructions claires pour l'utilisateur, le CRA garantit que les consommateurs sont correctement informés et peuvent maintenir leurs appareils dans un état sécurisé sans avoir besoin d'une expertise technique avancée.
Un autre problème que l'UE souhaite résoudre est la difficulté pour les consommateurs et les entreprises de savoir quels produits sont sécurisés lorsqu'ils effectuent un achat.
Le CRA veille à ce que les logiciels et les appareils connectés soient mis à jour, sécurisés et restent résilients face aux cyberattaques en constante évolution. De nombreux produits ont historiquement été commercialisés avec des vulnérabilités connues, alimentant des attaques de la chaîne d'approvisionnement à grande échelle ; le CRA vise à changer cela.
Quand le CRA entre-t-il en vigueur ?
Pour les équipes développant des logiciels, le calendrier se résume à deux échéances :
- À partir du 11 septembre 2026, les développeurs de logiciels devront se conformer aux règles de déclaration obligatoire, ce qui signifie que vous serez légalement tenus de signaler toute vulnérabilité activement exploitée ou incident de sécurité grave aux autorités de l'UE dans les 24 heures suivant leur découverte.
- La deuxième et dernière échéance est le 11 décembre 2027, date à laquelle vos produits devront être entièrement conformes à toutes les exigences de sécurité essentielles, y compris une configuration sécurisée par défaut, une déclaration de conformité et le marquage CE pour être vendus sur le marché de l'UE.
Les classifications de produits du CRA
Le CRA définit quatre niveaux de classification pour les produits comportant des éléments numériques, basés sur leurs risques de cybersécurité inhérents :
- Classe par défaut : Ceci couvre la majorité des produits et permet aux fabricants d'effectuer une auto-évaluation pour prouver la conformité au CRA sans audits tiers obligatoires.
- Classe Importante I : Cette catégorie contient des produits ayant des rôles de sécurité fondamentaux, tels que les systèmes d'exploitation, les gestionnaires de mots de passe et les routeurs, nécessitant une validation plus stricte, par exemple via des normes harmonisées (qui sont en cours d'élaboration).
- Classe II importante : Cette catégorie à risque plus élevé couvre les composants de sécurité opérationnelle tels que les pare-feu, les hyperviseurs et les outils de détection d'intrusion, et exige des tests indépendants par un organisme notifié, obligatoires avant la mise sur le marché.
- Critique : Réservée aux logiciels et matériels de sécurité les plus élevés, tels que les cartes à puce, les éléments sécurisés et les passerelles de compteurs intelligents, cette classe exige une évaluation de la conformité indépendante par une tierce partie via un organisme notifié.
Comment la conformité au CRA affecte les développeurs et les équipes de sécurité
Si vous faites partie d'une équipe d'ingénierie ou de sécurité, cela a un impact majeur, car cela modifie la façon dont vous concevez, construisez, testez et livrez des logiciels. De la gestion des vulnérabilités à la réponse aux incidents, la conformité signifie intégrer la sécurité dès la conception dans votre cycle de développement.
Comment Aikido Security simplifie les exigences de conformité au CRA
Le CRA énumère des exigences strictes pour les fabricants, de l'analyse des vulnérabilités et de la génération de SBOM à la résilience face aux attaques DoS. Aikido vous aide à répondre à ces exigences grâce à l'analyse de sécurité automatisée, la protection en temps d’exécution et le reporting de conformité dans un système centralisé.
Voici un aperçu plus détaillé de la manière dont Aikido vous aide à vous conformer aux exigences spécifiques :Les produits doivent offrir un niveau de cybersécurité approprié en fonction des risques Aikido vous aide en surveillant en permanence votre code, votre cloud et votre runtime contre les risques connus. Cela vous offre une bonne vue d'ensemble de votre posture de sécurité.
Les produits doivent être livrés sans aucune vulnérabilité exploitable connue
C'est là qu'Aikido est essentiel ; Aikido propose un certain nombre de scanners qui recherchent les vulnérabilités. Ceux-ci incluent SAST – l'analyse de votre code source pour les vulnérabilités de sécurité, l'analyse de la composition logicielle (SCA) – l'analyse des vulnérabilités des dépendances open source, l'analyse des machines virtuelles (instances AWS EC2), DAST, la gestion de la posture de sécurité du cloud (CSPM) – les vérifications de mauvaise configuration du cloud, l'analyse d'API, l'analyse des secrets, l'analyse de conteneurs, l'analyse d'Infrastructure-as-Code (IaC), l'analyse de malwares, et l'analyse des licences open source.
Et avant de livrer tout produit, Aikido propose Zen, une solution d'autoprotection des applications en temps d’exécution (RASP), qui protège une application en fournissant un pare-feu intégré à l’application. Ceci détecte les menaces pendant l'exécution de votre application, arrête les attaques de type zero-day en temps réel et bloque automatiquement les attaques par injection critiques. En installant Zen, vous n'avez plus à vous soucier des nouvelles vulnérabilités.
Les produits doivent protéger la disponibilité des fonctions essentielles, y compris la résilience et l'atténuation des attaques par déni de service.
Zen d'Aikido peut filtrer le trafic malveillant en périphérie et appliquer la limitation de débit, contribuant à atténuer les attaques DoS/DDoS. Il réduit le rayon d'impact des attaques volumétriques ou par épuisement des ressources avant qu'elles n'atteignent la logique de l'application.
Les produits doivent minimiser l'impact négatif sur la disponibilité des services fournis par d'autres appareils ou réseaux.
Aikido Zen peut garantir que les services compromis ne propagent pas de trafic abusif vers l'extérieur.
Les produits doivent être conçus, développés et produits de manière à limiter les surfaces d'attaque, y compris les interfaces externes.
En identifiant les services exposés, le code non sécurisé et les dépendances vulnérables, Aikido contribue à réduire les surfaces d'attaque. Les tests d'intrusion autonomes sondent dynamiquement les interfaces et les points d'extrémité, aidant à identifier les expositions inattendues.
Les produits conçus, développés et produits pour réduire l'impact d'un incident en utilisant des mécanismes et techniques d'atténuation d'exploitation appropriés.
En détectant les bibliothèques vulnérables ou les pratiques de codage non sécurisées tôt grâce à la qualité de code Aikido, Aikido réduit activement l'exploitabilité. Nos tests d'intrusion autonomes valident si les mesures d'atténuation (par exemple, règles WAF, sandboxing, désérialisation sécurisée) arrêtent réellement les exploits du monde réel. Pendant ce temps, DAST peut valider si les défenses d'exécution fonctionnent réellement et vous dire si la vérification est (ou non) efficace en cas d'attaque. En simulant des tentatives d'exploitation, il vérifie que même si une vulnérabilité existe, les contrôles compensatoires peuvent limiter les dommages.
Les vulnérabilités peuvent être traitées par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques et la notification des mises à jour disponibles aux utilisateurs.
Aikido surveille en permanence les nouvelles vulnérabilités dans vos dépendances et vous alerte, vous aidant ainsi à garantir que les mises à jour sont appliquées rapidement.
Les fabricants doivent identifier et documenter les vulnérabilités et les composants contenus dans le produit, y compris l'établissement d'un Software Bill of Materials (SBOM) dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de premier niveau du produit.
Vous pouvez utiliser Aikido pour exporter une Software Bill of Materials (SBOM) complète au format CycloneDX ou SPDX en un seul clic. Cela fournit un inventaire complet de tous les packages et de leurs licences pour les audits et la transparence.
En ce qui concerne les risques posés aux produits comportant des éléments numériques, traiter et corriger les vulnérabilités sans délai, y compris en fournissant des mises à jour de sécurité.
Aikido est la meilleure option pour réduire le temps de remédiation, car nos analyses réduisent le bruit (faux positifs) de 95 %. De plus, notre outil de Tests de sécurité des applications statiques (SAST) peut exclure la possibilité d'exploitabilité, et lorsque cela n'est pas possible, il trie automatiquement les alertes pour que vous puissiez les prioriser.
De plus, nous pouvons corriger un certain nombre de problèmes automatiquement en un clic grâce à notre fonctionnalité AutoFix. Nous savons, d'après nos propres recherches auprès de développeurs, d'ingénieurs AppSec et de CISO en Europe et aux États-Unis, que 79 % des organisations utilisent déjà des outils de correction automatique par IA pour les vulnérabilités, et que 18 % supplémentaires sont intéressées à le faire.
Les résultats de nos tests d'intrusion autonomes peuvent également être intégrés dans les pipelines de remédiation, ce qui facilite la validation de l'efficacité des correctifs.
De plus, nous pouvons corriger un certain nombre de problèmes automatiquement en un clic grâce à notre fonctionnalité AutoFix. Nous savons, d'après nos propres recherches auprès de développeurs, d'ingénieurs AppSec et de CISO en Europe et aux États-Unis, que 79 % des organisations utilisent déjà des outils de correction automatique par IA pour les vulnérabilités, et que 18 % supplémentaires sont intéressées à le faire.
Les résultats de notre nouvelle solution de tests d'intrusion autonomes peuvent également être intégrés dans les pipelines de remédiation, ce qui facilite la validation de l'efficacité des correctifs.
Appliquer des tests et des examens efficaces et réguliers de la sécurité du produit avec des éléments numériques.
Aikido propose des tests d'intrusion autonomes qui sont plus approfondis et efficaces que les alternatives manuelles, permettant aux organisations d'effectuer des tests automatisés à la demande ou de manière continue. (Cela transforme des tests d'intrusion de plusieurs semaines en évaluations qui prennent moins d'une heure). Séparément, Aikido automatise également les tests de sécurité à chaque modification de code ou build, garantissant des examens continus.
Au-delà d'ISO27001, NIS2 et DORA : Ce qu'apporte le Cyber Resilience Act
De nombreuses organisations sont déjà conformes à des cadres tels qu'ISO27001, NIS2 ou DORA. Ceux-ci se concentrent principalement sur la manière dont votre entreprise gère la sécurité au niveau organisationnel (politiques, gestion des risques, réponse aux incidents et reporting). Aikido fournit déjà des rapports de conformité au sein de sa plateforme pour :
- Conformité ISO 27001:2022
- Conformité SOC2
- Conformité au Top 10 OWASP
- Conformité CIS
- Conformité NIS2
- Conformité NIST 800-53
- Conformité PCI
- Conformité HIPAA
- Conformité DORA
- Conformité HITRUST LVL3
- Conformité ENS
- RGPD
Le Cyber Resilience Act (CRA) est différent. Il introduit des obligations de sécurité au niveau des produits, ce qui signifie que la réglementation s'applique directement aux produits numériques que vous développez et vendez. La conformité ne consiste pas seulement à prouver que vous avez mis en place les bons processus, mais aussi à prouver que votre produit lui-même est sécurisé :
- Il doit être livré sans vulnérabilités connues
- Il doit inclure un SBOM, couvrant au moins les dépendances de premier niveau
- Il doit être résilient aux attaques (par ex. DoS/DDoS)
- Il doit recevoir des mises à jour de sécurité automatiques, pendant au moins 5 ans
- Il doit être testé régulièrement pour détecter les failles exploitables
Ce sont des exigences sur le produit lui-même, et pas seulement sur le système de gestion de la sécurité de votre entreprise.
Autres outils de sécurité dont vous pourriez avoir besoin pour une conformité CRA complète
Alors qu'Aikido couvre la sécurité du code, du cloud et du runtime dans un système centralisé, le Cyber Resilience Act aborde également l'évaluation des risques, la sécurité fonctionnelle et architecturale, la gestion des identités, le chiffrement, la protection des données et la sécurité réseau. Selon votre environnement, vous pourriez avoir besoin d'outils complémentaires tels que l'IAM, des outils de modélisation des menaces, des contrôles cryptographiques ou des solutions de reprise après sinistre en complément d'Aikido.
FAQ
Conclusion
Le Cyber Resilience Act établit une nouvelle norme pour les logiciels sécurisés en Europe. La cybersécurité n'est plus une simple case de conformité optionnelle, mais une barrière à l'entrée du marché. Pour les équipes d'ingénierie et de sécurité, cela signifie concevoir la sécurité dès le départ et prouver que vos produits répondent aux exigences du CRA.
Aikido Security simplifie tout cela. Du code au cloud, jusqu'à l'exécution, Aikido vous offre l'analyse automatisée, la qualité du code, la génération de SBOM, le pentesting et la protection en temps d'exécution sur une seule plateforme. Fini de jongler avec plusieurs outils. Fini le bruit superflu. Juste des chemins plus rapides vers la conformité et des produits plus sûrs.Prêt à découvrir comment Aikido vous aide à satisfaire aux exigences du CRA ?
Planifiez une démo et commencez à créer des logiciels sécurisés sans ralentir votre équipe.
