Réaliser une évaluation des risques de cybersécurité avant la mise sur le marché
- S'applique à
- Manufacturer
- Citations sources
- Art. 13(2)Annex I Part I §1
- Classes de produits
- DefaultImportant — Class IImportant — Class IICritical
Langage clair
Avant de commercialiser le produit, une évaluation écrite de ses risques de sécurité est obligatoire. Il ne s'agit pas d'un simple exercice formel — les conclusions doivent influer sur la conception et la fabrication du produit. Il convient de documenter les menaces examinées, les risques identifiés et les mesures prises pour les traiter.
Texte juridique
L'article 13(2) du règlement (UE) 2024/2847 exige que les fabricants de produits comportant des éléments numériques, en tenant compte des exigences essentielles de cybersécurité énoncées à l'Annexe I Partie I, procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques.
Cette évaluation est prise en compte lors des phases de planification, de conception, de développement, de production, de livraison et de maintenance du produit, en vue de minimiser les risques de cybersécurité, de prévenir les incidents de sécurité et d'en limiter l'impact.
Exigences clés
- Évaluation des risques avant la mise sur le marché — effectuée avant la commercialisation du produit
- Conception fondée sur les risques — les conclusions doivent être intégrées aux décisions de conception du produit
- Périmètre couvrant l'ensemble du cycle de vie — planification, conception, développement, production, livraison et maintenance
- Documentation — l'évaluation des risques fait partie de la documentation technique requise par l'Annexe VII
- Proportionnalité — la profondeur de l'évaluation doit être proportionnée aux risques
Lien avec d'autres obligations
Cette obligation sous-tend la plupart des autres obligations issues de l'art. 13. L'évaluation des risques détermine :
- Quelles exigences de l'Annexe I Partie I s'appliquent et de quelle manière
- La procédure d'évaluation de la conformité appropriée (module A, B+C ou H)
- La durée de support déclarée (OBL-ART13-08)
- Les vulnérabilités à traiter avant la distribution (OBL-ART13-05)
Preuves éventuellement requises
- Document d'évaluation des risques de cybersécurité (méthodologie STRIDE, TARA ou équivalente)
- Modèle de menace avec analyse de la surface d'attaque
- Décisions de traitement des risques liées aux choix de conception
- Enregistrements montrant que l'évaluation a été mise à jour lors des modifications du produit