Règlement sur la cyberrésilience

Les clients qui développent des produits pour le marché européen nous demandent comment le règlement sur la cyberrésilience affecte les logiciels qui intègrent nos composants. Cette page expose où en est le règlement, quelles obligations nous incombent et lesquelles vous incombent, et ce que nous fournissons pour que vous puissiez constituer votre propre dossier de diligence raisonnable.

Où en est le CRA aujourd'hui

Le règlement (UE) 2024/2847 est entré en vigueur le 10 décembre 2024, mais ses obligations arrivent par étapes :

• 11 juin 2026. Les règles relatives à la notification des organismes d'évaluation de la conformité prennent effet, l'infrastructure d'évaluation commence donc à exister.
• 11 septembre 2026. Les fabricants doivent signaler à l'ENISA et au CSIRT compétent les vulnérabilités activement exploitées et les incidents graves, avec une alerte précoce sous 24 heures, une notification plus complète sous 72 heures et un rapport final dès qu'une mesure corrective est disponible.
• 11 décembre 2027. Les exigences essentielles de cybersécurité, les exigences de traitement des vulnérabilités, la documentation technique, la déclaration UE de conformité et le marquage CE s'appliquent pleinement.

Jusqu'en décembre 2027, aucun produit sur le marché ne porte de déclaration de conformité CRA, parce que le cadre qui la délivre est encore en cours de mise en place. Tout fournisseur qui prétend aujourd'hui disposer d'une évaluation de conformité CRA achevée décrit quelque chose qui n'existe pas encore. Ce que nous pouvons faire dès maintenant, et c'est l'objet de cette page, c'est vous donner les éléments de preuve dont votre propre évaluation a besoin.

Les composants eSeGeCe entrent-ils dans le champ d'application ?

Oui. Une bibliothèque logicielle fournie commercialement est elle-même un produit comportant des éléments numériques, les composants eSeGeCe entrent donc dans le champ du règlement et nous en sommes le fabricant. Cela est distinct de vos propres obligations pour le produit que vous mettez sur le marché.

Classification du produit

Les bibliothèques de composants eSeGeCe ne figurent ni à l'annexe III ni à l'annexe IV du règlement. Ce ne sont pas des systèmes d'exploitation, des hyperviseurs, des environnements d'exécution de conteneurs, des pare-feu, des systèmes de détection d'intrusion, des VPN, des systèmes de gestion des identités, des gestionnaires de mots de passe, des gestionnaires d'amorçage, des infrastructures à clé publique, des systèmes de gestion de réseau ni aucune autre classe importante ou critique.

Elles relèvent donc de la catégorie par défaut, dans laquelle la conformité est établie par le fabricant selon la procédure de contrôle interne du module A et non par un organisme notifié. Pour votre dossier, cela signifie qu'intégrer nos composants ne fait pas basculer à soi seul votre produit dans une classe supérieure d'évaluation de la conformité. La classification de votre propre produit dépend de ce qu'il fait.

Qui est responsable de quoi

Vous êtes le fabricant du produit que vous mettez sur le marché de l'UE, et le marquage CE ainsi que la déclaration de conformité de ce produit vous appartiennent. Deux articles régissent la relation entre nous :

• Article 13(5). Vous devez faire preuve de diligence raisonnable lors de l'intégration de composants provenant de tiers, afin qu'ils ne compromettent pas la cybersécurité de votre produit. Ce qui suit est ce que nous fournissons à cette fin.
• Article 13(6). Si vous découvrez une vulnérabilité dans un composant que vous avez intégré, vous devez la signaler à celui qui le maintient. Pour notre code, ce canal est décrit dans notre politique de divulgation des vulnérabilités.

Ce que nous fournissons pour votre diligence raisonnable

• Code source complet. Chaque licence comprend l'intégralité du code source Delphi et C++ Builder des composants que vous utilisez. On ne vous demande pas de faire confiance à un binaire, vous pouvez relire, auditer, instrumenter et recompiler tout ce que vous livrez. Pour une évaluation au titre de l'annexe I, c'est la preuve la plus solide qu'un fournisseur de composants puisse offrir, et la plupart des éditeurs commerciaux de composants ne la fournissent pas.
• Un SBOM sur demande. L'annexe I, partie II, point 1 nous impose d'établir une nomenclature couvrant au moins les dépendances de premier niveau et de la conserver dans notre documentation technique, elle ne nous impose pas de la publier. Nous tenons la nôtre au format CycloneDX pour chaque version et la fournissons sur demande, de sorte qu'elle peut alimenter directement votre inventaire. Demandez-la via notre page sécurité.
• Une politique de divulgation coordonnée des vulnérabilités. Publiée, avec un point de contact unique, des délais d'accusé de réception et d'évaluation, et une fenêtre de divulgation, comme l'exige l'annexe I, partie II, point 5.
• Un historique des modifications documenté. Chaque version est livrée avec un fichier d'historique consignant ce qui a changé, y compris les changements liés à la sécurité, vous disposez donc d'une trace écrite de ce qui a été corrigé et quand.
• Une période de support. Les corrections de sécurité d'une version majeure restent disponibles pendant au moins cinq ans à compter de sa publication, ce qui satisfait au minimum de l'article 13(8).

Sécurisé par défaut

L'annexe I, partie I, demande qu'un produit soit livré avec une configuration sécurisée par défaut, qu'il se protège contre le déni de service et que sa surface d'attaque soit réduite au minimum. Ce travail est déjà visible dans le produit. Les versions récentes ont fait en sorte que le serveur WebSocket limite le débit des trames de contrôle entrantes, qu'il borne le nombre de connexions simultanées au lieu d'en accepter un nombre illimité, que le serveur HTTP/2 dispose d'une taille maximale de corps de requête, et que les origines navigateur autorisées à appeler un serveur MCP soient restreintes. La sécurité du transport est disponible via OpenSSL ou, sous Windows, via SChannel sans aucune bibliothèque externe à déployer. Ces valeurs par défaut ont été durcies parce que ce sont les bonnes valeurs par défaut, pas parce qu'une échéance l'exigeait.

Ce que nous préparons

En vue des échéances ci-dessus, nous travaillons à la documentation technique décrite à l'annexe VII, à la déclaration UE de conformité de l'annexe V, au marquage CE lorsqu'il nous concerne, aux informations et instructions destinées aux utilisateurs de l'annexe II, et au processus interne pour les obligations de signalement de l'article 14 qui débutent en septembre 2026. Nous publierons ici les résultats au fur et à mesure. Les normes harmonisées du règlement sont encore en cours de rédaction et nous nous y alignerons dès qu'elles seront disponibles.

Questionnaires fournisseurs

Si votre service conformité dispose d'un formulaire d'évaluation fournisseur, d'un questionnaire de composants ou d'une demande de SBOM, envoyez-le via notre formulaire de contact en précisant le produit, l'édition et la version que vous utilisez, et nous le remplirons avec les réponses propres à votre build.

Remarque

Cette page est fournie pour appuyer votre propre évaluation. Il s'agit d'informations sur nos produits et nos pratiques, pas d'un conseil juridique sur vos obligations au titre du règlement.