2 Le Cyber Resilience Act (CRA) de l’UE marque un tournant dans la réglementation de la cybersécurité sur le marché européen. Pour la première fois, un règlement introduit des exigences de cybersécurité horizontales et juridiquement contraignantes pour les produits comportant des éléments numériques, matériels comme logiciels, sur l’ensemble de leur cycle de vie. Si les premiers débats autour du CRA se sont surtout concentrés sur les fabricants d’appareils et l’IoT grand public, ses implications vont bien au-delà des terminaux. Pour les organisations qui conçoivent, déploient ou exploitent des infrastructures de données à grande échelle, le CRA soulève des questions importantes sur les architectures sécurisées dès la conception, la gestion des vulnérabilités sur le long terme et le rôle des plateformes de stockage dans la cyber-résilience globale. Cet article examine le Cyber Resilience Act sous l’angle de l’infrastructure de données et du stockage : ce qu’exige le règlement, comment les responsabilités se répartissent dans la chaîne d’approvisionnement et pourquoi l’architecture de stockage joue un rôle fondamental dans l’atteinte des objectifs du CRA. Comprendre le Cyber Resilience Act Le Cyber Resilience Act est un règlement européen qui fixe des exigences de cybersécurité obligatoires pour tout produit comportant des éléments numériques mis sur le marché de l’UE. Cela inclut les produits qui se connectent directement ou indirectement à un réseau ou à un autre appareil, qu’ils soient vendus aux particuliers ou aux entreprises. Le règlement s’applique à l’ensemble du cycle de vie du produit, de la conception et du développement jusqu’au déploiement, à la maintenance et à la fin de vie. Contrairement aux législations sectorielles, le CRA établit un socle qui s’applique largement, avec des obligations supplémentaires pour les produits classés à plus haut risque. Les objectifs affichés du CRA sont de : améliorer la cybersécurité des produits numériques mis sur le marché de l’UE garantir une sécurité intégrée dès la conception et activée par défaut réduire le nombre de vulnérabilités exploitables accroître la transparence et la responsabilité dans la chaîne d’approvisionnement Le règlement est entré en vigueur en décembre 2024. Les obligations de signalement des vulnérabilités s’appliquent à partir de septembre 2026, et les principales exigences de cybersécurité des produits deviendront applicables en décembre 2027. Périmètre : quels produits et quels acteurs sont concernés Le CRA s’applique aux « produits comportant des éléments numériques », une catégorie délibérément large qui comprend : les logiciels, y compris les applications autonomes et les logiciels embarqués le matériel et les appliances connectés au réseau les composants intégrés dans des systèmes plus larges Pour les environnements d’entreprise, ce périmètre est particulièrement pertinent. Les logiciels d’infrastructure, les plateformes de stockage, les systèmes de gestion des données et les produits liés au cloud peuvent tous entrer dans le champ d’application lorsqu’ils sont mis sur le marché de l’UE. Le règlement définit aussi les responsabilités des différents opérateurs économiques, notamment : les fabricants, qui conçoivent et développent le produit les importateurs, qui mettent sur le marché de l’UE des produits venant de l’extérieur les distributeurs, qui mettent les produits à disposition au sein de l’UE Les fabricants portent les obligations les plus étendues, mais les importateurs et les distributeurs doivent eux aussi vérifier la conformité et agir lorsque des risques sont identifiés. Les exigences fondamentales du CRA Dans les grandes lignes, le CRA exige que les produits respectent des exigences essentielles de cybersécurité avant de pouvoir être mis sur le marché de l’UE. Ces exigences sont délibérément orientées résultats plutôt que prescriptives, ce qui laisse de la souplesse dans leur mise en œuvre tout en fixant des attentes claires. Les principales exigences sont les suivantes : Sécurité dès la conception et par défaut Les produits doivent être conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité adapté aux risques. Les configurations sécurisées doivent être activées par défaut, au lieu de compter sur les clients pour renforcer les systèmes après leur déploiement. Pour les plateformes d’infrastructure et de stockage, cela souligne l’importance de paramètres par défaut renforcés, d’une surface d’attaque minimale et de contrôles de sécurité au niveau de l’architecture qui ne dépendent pas d’une configuration manuelle. Gestion des vulnérabilités sur tout le cycle de vie Les fabricants doivent mettre en place des processus pour identifier, documenter et corriger les vulnérabilités pendant toute la durée de support du produit. Cela comprend : le traitement des vulnérabilités signalées en interne ou par des chercheurs externes la fourniture de mises à jour de sécurité sans retard injustifié une communication claire avec les utilisateurs sur les risques et les correctifs À partir de septembre 2026, les vulnérabilités activement exploitées et les incidents graves doivent être signalés aux autorités compétentes dans des délais définis. Protection contre les accès non autorisés et la compromission des données Les produits doivent être conçus pour empêcher les accès non autorisés, la modification des données et leur perte. Cette exigence concerne particulièrement les systèmes qui stockent, traitent ou gèrent de grands volumes de données sensibles ou réglementées. Le chiffrement, le contrôle d’accès et les mécanismes d’intégrité font tous partie de cette attente, mais le CRA met l’accent sur l’efficacité plutôt que sur une conformité de façade. Transparence et évaluation de la conformité Les fabricants doivent documenter la manière dont leurs produits satisfont aux exigences du CRA et réaliser des évaluations de conformité avant de les mettre sur le marché. Selon la classification du produit, il peut s’agir d’une autoévaluation ou d’une évaluation par un tiers. La conformité est attestée par le marquage CE, ce qui aligne la cybersécurité sur les autres cadres européens établis en matière de sécurité des produits. Pourquoi l’infrastructure de données compte pour la conformité au CRA Bien que le CRA soit formulé au niveau du produit, ses objectifs ne peuvent pas être atteints par des contrôles isolés. L’infrastructure de données joue un rôle central dans la capacité réelle des systèmes à répondre aux attentes du CRA dans la durée. Les attaques modernes ciblent de plus en plus les données, et pas seulement la disponibilité. Les ransomwares, l’exfiltration de données et les attaques contre l’intégrité visent à compromettre la confiance dans les données, à perturber la restauration et à étendre l’impact des intrusions au-delà de l’accès initial. Du point de vue du CRA, cela a plusieurs conséquences. La résilience va au-delà de la sécurité périmétrique Le CRA part du principe que des vulnérabilités apparaîtront et que des intrusions peuvent se produire. La résilience, c’est-à-dire la capacité à résister aux incidents, à les contenir et à s’en remettre, devient donc un enjeu central de conformité. Pour les plateformes de stockage, cela signifie concevoir des systèmes qui protègent les données même lorsque des identifiants sont compromis, que des services sont détournés ou que des attaquants obtiennent un accès partiel à des composants de l’infrastructure. Les paramètres sécurisés par défaut doivent s’étendre à la protection des données Les exigences de sécurité par défaut sont difficiles à satisfaire si les mécanismes essentiels de protection des données sont optionnels ou ajoutés après coup. Des fonctions comme l’immuabilité, des contrôles d’accès forts et le stockage chiffré doivent faire partie intégrante de la plateforme plutôt que d’être des options de configuration avancées. Le support à long terme et la capacité de mise à jour sont essentiels Le CRA relie explicitement les obligations de sécurité à la durée de vie attendue du produit. Pour des logiciels d’infrastructure susceptibles d’être déployés pendant de nombreuses années, cela renforce l’importance : de politiques de support claires de processus de mise à jour de sécurité prévisibles d’architectures capables d’évoluer sans perturber l’exploitation L’architecture de stockage, fondement de la cyber-résilience Dans le contexte du CRA, le stockage n’est pas un simple composant passif. C’est une couche fondamentale qui détermine si les objectifs de sécurité et de restauration de plus haut niveau sont atteignables. Plusieurs principes architecturaux sont particulièrement pertinents. Immuabilité et protection de l’intégrité L’immuabilité joue un rôle clé dans la protection contre la destruction et la corruption des données. Mise en œuvre au niveau du stockage, elle empêche toute modification ou suppression des données, même par des comptes à privilèges, pendant la durée des politiques de rétention définies. Cette capacité soutient directement les objectifs du CRA en matière d’intégrité des données, de restauration et de résistance aux attaques de type ransomware. Isolation forte des accès et moindre privilège Les systèmes de stockage sont des cibles de grande valeur. Les architectures qui imposent une séparation stricte des tâches, un accès basé sur les rôles et les principes du zero trust réduisent l’impact des identifiants compromis et limitent les déplacements latéraux. Du point de vue du CRA, cela aide à démontrer que des mesures raisonnables sont en place pour empêcher les accès non autorisés et l’utilisation abusive des données. Répartition et encodage des données Les architectures de stockage distribué qui utilisent l’erasure coding ou des techniques similaires ajoutent une couche de protection supplémentaire. Les données sont fragmentées et réparties sur plusieurs nœuds, ce qui les rend nettement plus difficiles à reconstituer ou à manipuler sans le contexte complet du système. Cela répond aux attentes du CRA en matière de prévention des divulgations non autorisées et de maintien de la disponibilité et de l’intégrité, même dans des conditions défavorables. Résilience multisite et restauration La réplication géographique et les architectures multisites soutiennent à la fois les objectifs de disponibilité et de restauration. En cas d’incident de sécurité ou de panne d’infrastructure, les organisations peuvent rétablir l’accès à des copies de données fiables sans dépendre d’environnements compromis. Cette capacité soutient la continuité d’activité tout en renforçant la conformité aux exigences du CRA en matière de gestion des incidents et de restauration. Le CRA et le modèle de responsabilité partagée L’un des défis concrets du Cyber Resilience Act tient à son interaction avec des chaînes d’approvisionnement complexes. Peu de produits existent isolément : la plupart des systèmes d’entreprise se composent de multiples composants logiciels, plateformes et services. Le CRA ne supprime pas la responsabilité partagée, mais il clarifie les responsabilités. Les fabricants restent responsables de la sécurité du produit qu’ils mettent sur le marché, y compris de la manière dont il intègre des composants tiers. Pour les organisations qui s’appuient sur des plateformes de stockage et d’infrastructure, cela remet l’accent sur : le choix de composants dotés de feuilles de route de sécurité claires et d’un support à long terme la compréhension de la manière dont les plateformes sous-jacentes gèrent les vulnérabilités et les mises à jour la documentation des choix d’architecture qui soutiennent la conformité Les plateformes de stockage qui intègrent la sécurité et la résilience au cœur de leur conception simplifient ce processus en réduisant le recours à des contrôles compensatoires externes. De la conformité à la résilience opérationnelle Si le CRA est un instrument réglementaire, ses objectifs sous-jacents sont opérationnels. Le règlement traduit une prise de conscience plus large : les défaillances de cybersécurité ont des conséquences systémiques, et une résilience de base doit être intégrée aux produits numériques dès le départ. Pour les organisations intensives en données, cela aligne la conformité réglementaire sur des priorités opérationnelles de longue date : protéger l’intégrité et la disponibilité des données garantir une restauration fiable après un incident réduire l’impact des vulnérabilités inévitables Plutôt que de traiter le CRA comme un exercice documentaire, les organisations peuvent s’en servir comme d’un cadre pour réévaluer dans quelle mesure leur infrastructure soutient réellement ces objectifs. Conclusion Le Cyber Resilience Act établit un nouveau socle de cybersécurité dans l’UE, avec des implications qui touchent en profondeur l’infrastructure de données et la conception du stockage. En mettant l’accent sur la sécurité dès la conception, la gestion des vulnérabilités sur tout le cycle de vie et la résilience face aux attaques, le CRA déplace l’attention des contrôles réactifs vers l’architecture fondamentale. Pour les organisations qui exploitent des plateformes de données à grande échelle, le stockage est un levier essentiel des objectifs du CRA. Les architectures qui intègrent l’immuabilité, l’isolation des accès, la protection distribuée et les capacités de restauration offrent une base plus solide, à la fois pour la conformité réglementaire et pour la résilience opérationnelle à long terme. À l’approche de l’application du CRA, aligner les choix d’infrastructure sur ces principes sera essentiel, non seulement pour respecter les exigences réglementaires, mais aussi pour préserver la confiance dans les données face à des menaces de plus en plus hostiles.
