La plupart des entreprises ne sont toujours pas prêtes à se conformer aux nouvelles règles européennes en matière de cybersécurité

Les entreprises sont pour la plupart mal préparées à la loi européenne sur la cyber-résilience

La loi sur la cyber-résilience n’est plus un sujet lointain pour les équipes juridiques ou les responsables de la conformité ; il s’agit désormais d’un défi concret et immédiat pour toute entreprise opérant au sein de l’Union européenne ou vendant ses produits sur son territoire. Selon l’Open Source Security Foundation (OpenSSF), les deux tiers des organisations ignorent même ce que cette loi implique. La première vague d’exigences de la CRA est entrée en vigueur le 11 juin, marquant le début d’une nouvelle ère de responsabilité pour les produits numériques.

Cette loi impose des normes de sécurité rigoureuses tant pour le matériel que pour les logiciels avant leur mise sur le marché de l’UE. Pourtant, bien trop de directions générales considèrent qu’il s’agit d’un problème qui ne les concernera que plus tard. Lorsque les organisations sous-estiment des réglementations telles que la CRA, elles s’exposent non seulement à des sanctions juridiques, mais elles risquent également des défaillances en cascade au sein de l’ensemble de leurs infrastructures technologiques. Les écosystèmes numériques étant de plus en plus interconnectés par le biais de logiciels partagés et de composants open source, un manquement à la conformité aujourd’hui peut se transformer en une crise de grande ampleur demain.

Les dirigeants d’entreprise ne doivent pas considérer la CRA comme un simple niveau bureaucratique supplémentaire, mais comme un changement structurel dans la manière dont l’UE définit et fait respecter la confiance numérique. La conformité n’est pas facultative ; la résilience en matière de cybersécurité est désormais une exigence opérationnelle. Cela implique d’intégrer la sécurité à chaque étape de la conception des produits, de la gestion de la chaîne d’approvisionnement et du contrôle des fournisseurs. Les entreprises qui sauront s’y prendre dès le début éviteront non seulement de lourdes amendes, mais gagneront également la confiance à long terme des régulateurs, des clients et des partenaires.

Christopher Robinson, directeur technique de l’OpenSSF, a résumé la situation sans détours : malgré un vaste débat public, la plupart des entreprises « ne sont toujours pas conscientes des implications de la loi ». Les sanctions à elles seules rendent cette ignorance coûteuse : les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel. Le compte à rebours pour la mise en conformité a déjà commencé.

L’ARC met en place de nouvelles fonctions en matière de conformité ainsi qu’un ensemble d’obligations qui seront mises en œuvre progressivement

La loi sur la cyber-résilience change la donne en matière de gestion de la sécurité logicielle par les organisations. Cela ne concerne plus uniquement les éditeurs de logiciels. Toute entreprise qui utilise, intègre ou distribue des logiciels comportant des composants numériques doit s’adapter. L’une des principales caractéristiques de cette loi est la création d’un nouveau rôle : celui de « responsable open source ». Ce rôle garantit que les organisations savent exactement sur quels logiciels elles s’appuient, d’où ils proviennent et comment leur sécurité est assurée. C’est essentiel, car le code open source est souvent enfoui au plus profond des chaînes d’approvisionnement et réutilisé dans d’innombrables applications sans grande visibilité.

La mise en œuvre de la CRA se déroule par étapes. Depuis le 11 juin, les États membres de l’UE ont commencé à désigner des organismes d’évaluation de la conformité. D’ici le 11 septembre, les fabricants devront commencer à signaler les vulnérabilités connues. Et d’ici le 11 décembre 2027, toutes les obligations essentielles, assorties de sanctions sévères en cas de non-conformité, seront appliquées. Ce calendrier offre un avantage temporaire : il laisse aux entreprises le temps de se préparer, à condition qu’elles agissent dès maintenant.

Pour se conformer à ces exigences, les entreprises doivent également établir ce que l’on appelle une « liste des composants logiciels » (SBOM). Considérez ce document comme un inventaire vérifié de tous les composants logiciels d’un produit, prouvant que celui-ci respecte les normes de sécurité. De nombreuses entreprises, en particulier celles qui fournissent le gouvernement fédéral américain, répondent déjà à des exigences similaires. Se conformer à ces normes dès le début permet non seulement d’assurer la conformité, mais aussi de simplifier les opérations et de réduire l’exposition aux risques à l’échelle mondiale.

Les dirigeants doivent prendre conscience que ce déploiement progressif a pour but de les aider. Il permet aux organisations d’intégrer progressivement la conformité, de réévaluer leurs relations avec les fournisseurs, de renforcer leurs politiques en matière de logiciels libres et de consolider leurs cadres de sécurité internes sans perturber considérablement leurs activités. Celles qui attendront, en revanche, devront faire face à des délais plus courts et à des coûts plus élevés par la suite.

Comme l’a fait remarquer Christopher Robinson, de l’OpenSSF, la plupart des organisations « n’ont qu’une vague idée de ceux, parmi les quelque 700 millions de projets open source présents sur GitHub, qui sont utilisés » au sein de leurs systèmes. Cette incertitude suffit à elle seule à rendre le rôle de responsable open source plus crucial que jamais. Identifier et sécuriser chaque élément de code utilisé n’est plus seulement une bonne pratique, c’est une obligation légale.

Une mauvaise compréhension du champ d’application de la CRA et de ses exigences en matière de conformité

L’une des principales raisons pour lesquelles de nombreuses entreprises ne sont toujours pas préparées à la loi sur la cyber-résilience (CRA) tient à une incompréhension fondamentale quant aux entités auxquelles s’applique cette loi. Trop d’entre elles pensent à tort qu’elle ne concerne que les fabricants de produits ou les éditeurs de logiciels. Cette croyance est erronée. La CRA s’applique à toute entreprise qui utilise, distribue ou intègre des logiciels sur le marché de l’UE, y compris celles qui s’appuient fortement sur du code open source.

Ce malentendu crée un angle mort dangereux. Les organisations partent souvent du principe que la charge de la conformité incombe à leurs partenaires ou à leurs fournisseurs de logiciels. Or, cette responsabilité est partagée par l’ensemble de la chaîne de développement et d’approvisionnement. Si les systèmes d’une entreprise utilisent des composants non conformes, c’est l’entreprise elle-même qui peut être tenue pour responsable. Dans un environnement commercial interconnecté, la responsabilité réglementaire s’étend désormais bien au-delà des murs d’une seule entreprise.

Les dirigeants qui sous-estiment l’ampleur de cette réglementation s’exposent à bien plus que de simples amendes. Ils risquent de nuire à leur réputation à long terme et de subir des perturbations opérationnelles. Les marchés mondiaux emboîtent déjà le pas à l’Europe ; le Japon, par exemple, envisage d’adopter des lois similaires en matière de cybersécurité. Les entreprises qui ne se préparent pas dès aujourd’hui à la CRA pourraient se retrouver à devoir rattraper leur retard à mesure que d’autres juridictions adopteront des règles comparables. Le message est clair : la cyber-résilience et la préparation réglementaire ne sont plus une option.

C’est là que le leadership joue un rôle essentiel. Les équipes de direction doivent veiller à ce que chaque unité opérationnelle dispose d’une vision claire de la situation. La mise en conformité réglementaire ne doit pas incomber uniquement aux responsables de la conformité ; elle doit devenir un axe stratégique intégré aux processus de développement de produits, d’ingénierie et d’approvisionnement. Avec des amendes pouvant atteindre 15 millions d’euros par infraction ou 2,5 % du chiffre d’affaires mondial annuel, ces exigences requièrent une attention, une planification et une prise en charge au niveau de l’entreprise.

Christopher Robinson, directeur technique de l’Open Source Security Foundation, a souligné qu’il était temps que tous les acteurs de la chaîne d’approvisionnement logicielle prennent pleinement conscience de la portée de la CRA. Les entreprises ne peuvent plus se permettre de considérer que la sécurité et la conformité relèvent de la responsabilité d’autrui.

Le CRA constitue une étape essentielle pour définir clairement les responsabilités

Depuis des années, la sécurité des produits numériques souffre d’une fragmentation des responsabilités. Lorsque des vulnérabilités apparaissaient, la responsabilité n’était souvent pas clairement établie : elle incombait tantôt au fournisseur, tantôt à l’utilisateur, ou se perdait quelque part entre les deux. La CRA remédie enfin à cette situation en imposant des responsabilités claires tout au long de la chaîne d’approvisionnement logicielle. Toute organisation impliquée dans la mise sur le marché d’un produit numérique devra désormais prouver que le logiciel respecte les normes de sécurité définies.

Ce changement marque une évolution importante dans la réflexion réglementaire. L’écosystème logiciel moderne repose sur plusieurs couches de code open source et commercial, réutilisées et modifiées d’innombrables fois. En l’absence de responsabilité, des composants défaillants peuvent s’introduire dans les produits à l’insu de tous, créant ainsi des vulnérabilités qui se propagent parmi les clients et dans tous les secteurs d’activité. La CRA impose une harmonisation : les entreprises doivent désormais connaître précisément les dépendances qu’elles intègrent, les documenter et respecter des pratiques sécurisées tout au long du développement et du déploiement.

Pour les dirigeants, cela représente à la fois un défi et une opportunité. Le défi consiste à restructurer les processus internes afin de garantir la transparence et la conformité. L’opportunité réside dans la mise en place de normes plus strictes à tous les niveaux de l’entreprise, ce qui peut renforcer l’avantage concurrentiel. Les entreprises qui adoptent une visibilité complète sur leur chaîne d’approvisionnement logicielle répondront non seulement aux exigences de l’ARC, mais amélioreront également la fiabilité de leurs produits, la confiance de leurs clients et leur différenciation sur le marché.

Hans Study, consultant en cybersécurité, a décrit ce changement en quelques mots : « Presque toutes les applications comportent des dépendances… La CRA vise à rendre plus difficile pour les entreprises de se soustraire à cette responsabilité lorsqu’elles développent, commercialisent ou mettent sur le marché des produits comportant des éléments numériques. » Son argument met en évidence l’essence même de la réglementation : la responsabilité n’est plus négociable.

Pour les équipes de direction, les prochaines étapes devraient s’articuler autour de trois priorités : définir clairement les responsabilités en matière de sécurité, garantir une traçabilité rapide des composants et intégrer les rapports de conformité dans les opérations de base. Les organisations qui agiront avec détermination ne se contenteront pas de répondre aux exigences réglementaires, mais disposeront également d’une infrastructure numérique plus solide et plus transparente.

L’intégration de l’intelligence artificielle dans le développement logiciel complique les efforts de mise en conformité avec la CRA

L’intelligence artificielle transforme la manière dont les logiciels sont développés, mais elle engendre également de nouveaux risques auxquels la plupart des entreprises n’ont pas encore apporté de réponse. La CRA part du principe que les organisations comprennent parfaitement le contenu de leurs logiciels et leur architecture. Cette hypothèse ne tient plus lorsque les systèmes d’IA génèrent une grande partie du code. À mesure que l’intégration de l’IA s’intensifie, il devient plus difficile de vérifier l’origine du code, ses dépendances et sa conformité aux normes de gouvernance internes.

Les assistants de codage basés sur l’IA et les outils de développement génératifs ne tiennent pas compte des politiques de sécurité, des règles de licence ni des directives d’utilisation des logiciels libres d’une entreprise. Cela signifie que le code généré par l’IA peut contourner les contrôles de conformité en place, introduisant ainsi des vulnérabilités cachées ou des dépendances intraçables dans le logiciel. Pour les organisations soumises à la CRA, cela va à l’encontre de la transparence et de la responsabilité exigées par la loi.

Les dirigeants doivent considérer cela comme un enjeu structurel. Le code généré par l’IA doit être traité comme un actif réglementé au sein de l’organisation. Les équipes chargées de la sécurité et de la conformité doivent retracer l’ensemble des données d’entrée et de sortie liées au développement assisté par l’IA, en veillant au respect des exigences juridiques et éthiques. Plus tôt les entreprises intégreront des processus d’audit automatisé et de contrôle de version pour le code généré par l’IA, plus il leur sera facile de démontrer leur conformité lorsque la mise en application de la réglementation entrera pleinement en vigueur.

Michael Callahan, vice-président chargé de la stratégie cyber chez Salt Security, a clairement mis le doigt sur ce sujet de préoccupation. Il a expliqué que le code généré par l’IA « peut contenir des dépendances, des schémas ou des vulnérabilités que votre équipe de sécurité ne peut pas facilement attribuer à une décision ou à un développeur en particulier ». Cela nécessite de nouvelles structures de supervision, une attribution claire des responsabilités, des révisions plus fréquentes et une harmonisation entre les opérations d’IA et les cadres de conformité de l’entreprise.

Le message adressé aux dirigeants est clair : l’innovation en matière d’IA doit aller de pair avec la mise en place d’un cadre réglementaire et de mesures de sécurité adaptées. Les entreprises qui parviendront à trouver cet équilibre gagneront à la fois en rapidité technologique et en crédibilité opérationnelle, conformément aux normes plus strictes de la CRA.

Un nombre important d’organisations doutent de leur capacité à respecter la date limite fixée par l’ARC pour se mettre en conformité

Bien qu’elles soient conscientes des enjeux, de nombreuses organisations accusent un retard considérable dans leurs préparatifs. L’enquête de l’OpenSSF a révélé que seuls 41 % des fabricants prévoient d’être pleinement conformes à la CRA d’ici décembre 2027. 39 % d’entre eux ne savent pas quand ils seront prêts. Cela témoigne d’un manque généralisé de confiance et de planification dans un domaine où la clarté est essentielle.

Les dirigeants doivent prendre conscience que tout retard entraîne un risque croissant. Le calendrier fixé par l’administration fiscale canadienne (CRA) a été clairement communiqué, mais les entreprises continuent de sous-estimer l’ampleur du travail requis, notamment les changements structurels à apporter aux chaînes d’approvisionnement, les audits relatifs à l’utilisation des logiciels libres, la mise en place de nouveaux postes dédiés à la conformité et la modernisation des systèmes de reporting. Pour les entreprises dont les activités internationales sont complexes, cet effort recouvre à la fois des aspects juridiques, techniques et stratégiques.

Attendre que la réglementation « se stabilise » ou que des exemples d’application apparaissent constitue une stratégie à haut risque. Les amendes prévues par la réglementation sont considérables, pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial par infraction, et elles augmenteront rapidement dès que l’application de la loi commencera. Christopher Robinson, directeur technique de l’Open Source Security Foundation, a fait remarquer que la CRA pourrait suivre le même schéma que le RGPD, où quelques amendes importantes ont suffi à contraindre le secteur à se mettre rapidement en conformité. Il a averti que de telles sanctions pourraient « anéantir une PME et porter un coup sérieux aux grandes entreprises ».

Les dirigeants d’entreprise devraient profiter de la marge de manœuvre qui leur reste pour mettre en œuvre des initiatives de conformité selon une approche descendante. Cela implique de constituer des équipes interfonctionnelles réunissant les services juridiques, techniques et des achats, afin de garantir que les progrès en matière de conformité soient mesurables et transparents. Mais surtout, cela nécessite un engagement financier. Le respect des normes de la CRA n’est pas un projet ponctuel, mais une modernisation opérationnelle durable qui redéfinit la manière dont les entreprises gèrent les risques liés aux logiciels.

Pour les dirigeants, l’objectif doit être simple mais urgent : donner la priorité à la préparation dès aujourd’hui. En intégrant les échéances de mise en conformité dans leur planification stratégique et en investissant dans l’amélioration continue de la sécurité, les organisations peuvent passer d’une approche réactive à une approche résiliente avant l’entrée en vigueur complète de la CRA fin 2027.

Principaux enseignements pour les dirigeants

• Le manque de connaissance de la réglementation exige une attention immédiate de la part des dirigeants : la plupart des entreprises ignorent encore l’existence de la loi européenne sur la cyber-résilience (CRA), qui impose des normes strictes en matière de cybersécurité. Les dirigeants devraient évaluer sans délai leur niveau de conformité actuel afin d’éviter tout risque juridique, financier et de réputation.
• Un déploiement structuré offre un délai de préparation limité : la mise en œuvre progressive prévue par la CRA laisse le temps d’agir, mais il est essentiel de s’y adapter rapidement. Les dirigeants doivent définir les responsabilités, mettre en place le rôle de gestionnaire des logiciels libres et établir des inventaires vérifiés des logiciels avant l’entrée en vigueur de la réglementation en 2027.
• Une mauvaise compréhension du champ d’application accroît les risques : de nombreuses entreprises pensent à tort que la CRA ne concerne que les fournisseurs. Les équipes de direction doivent clarifier les responsabilités internes et réexaminer les chaînes d’approvisionnement logicielles afin de garantir une conformité totale dans l’ensemble de leurs opérations numériques.
• Une responsabilité clairement définie transforme la sécurité de la chaîne d’approvisionnement : la CRA met fin à toute ambiguïté quant à la responsabilité en matière de sécurité logicielle. Les dirigeants doivent mettre en place une supervision transparente de tous les composants logiciels et intégrer la responsabilité et la traçabilité dans la gestion du cycle de vie des produits.
• Le code généré par l’IA complique la mise en conformité : l’essor de l’IA dans le domaine du développement remet en cause les hypothèses traditionnelles concernant la traçabilité des logiciels. Les dirigeants doivent renforcer la supervision des processus de codage pilotés par l’IA et s’assurer que tout le code généré respecte les normes de sécurité et les exigences réglementaires.
• La mise en conformité exigera des investissements soutenus et une action urgente : alors que seules 41 % des entreprises prévoient de se conformer aux normes de la CRA d’ici 2027, une action immédiate de la part des dirigeants s’impose. Les entreprises devraient financer dès à présent des programmes de conformité interfonctionnels afin de garantir leur résilience et d’éviter de lourdes sanctions financières à l’avenir.