Cybersécurité des produits connectés et conformité au Cyber Resilience Act (CRA) - Sensibilisation

Comprendre les exigences du CRA et sécuriser vos produits connectés

Formation

2 sessions disponibles

Attestation de présence

Formation en ligne

14 heures

Réalisable en ligne

Référence de la formation: FR-CyberIoT-CRA

Le Cyber Resilience Act (CRA) impose de nouvelles exigences de cybersécurité aux produits connectés et numériques mis sur le marché européen.
Cette formation permet de comprendre le cadre réglementaire du CRA, son périmètre et ses obligations clés.
Elle aborde les principes fondamentaux de la cybersécurité, la classification des produits et les exigences essentielles du règlement.
Les participants acquièrent les clés pour anticiper la conformité, intégrer la sécurité dès la conception et gérer les obligations tout au long du cycle de vie des produits.
Accessible aux profils techniques et non techniques impliqués dans des projets de produits connectés.

Les objectifs

Afficher les détails

Identifier les produits et acteurs concernés par le CRA
Appréhender le cycle de conformité CRA
Comprendre les exigences essentielles de cybersécurité du CRA

Le public ciblé

Cette formation s’adresse aux professionnels travaillant sur des produits connectés et impliqués dans des projets devant se conformer au Cyber Resilience Act (CRA).
Elle est accessible aux profils techniques comme non techniques, sans prérequis en cybersécurité.

Les prérequis

Aucune expérience en cybersécurité n'est nécessaire. Néanmoins des connaissances sur les réseaux et les architectures d’objets connectés sont souhaitables.

Si en distanciel :

Un accès internet stable via Ethernet ou Wi-Fi avec un débit correct (1.2 Mb/s en débit descendant minimum est recommandé)
Un PC / MAC avec l’outil Teams d’installé ainsi qu’un accès non restreint à internet.

Le contenu de la formation

Afficher les détails

JOUR 1

Introduction au CRA et contexte réglementaire européen
- Introduction Générale
  - Cybersécurité, menace, risque, vulnérabilité, safety vs security, 10 vulnérabilités connues
- Origine du Cyber Resilience Act : du plan « Cybersecurity Strategy 2020 » au règlement 2024/2847
- Déclaration UE de conformité et marquage CE
- Ecosystème réglementaire associé
  - Directive RED (art. 3.3 d/e/f)
  - Directive NIS2
  - Réglementation Machine
- Périmètre d’application
- Ses objectifs clés du CRA :
  - Sécurité dès la conception
  - Mise à jour continue
  - Responsabilisation des fabricants
- Normes horizontale et verticales
  - Rôle des normes dans la démonstration de conformité

Champ d’application, définitions et cas particuliers
- Définition : « produit comportant des éléments numériques »
  - Hardware, firmware, logiciel autonome, SaaS
- Typologie des connexions
  - Connexion directe / indirecte / logique / physique
- Cas particulier d’interprétation :
  - Firmware intégré sans interface IP
  - Plateformes cloud ou SaaS
  - Produits purement logiciels et open source
- Mise sur le marché et mise à disposition

Cycle de conformité CRA et gestion des obligations
- Chronologie :
  - Conception → analyse de risque → mise sur le marché → support → fin de vie
- Obligations par acteur :
  - Fabricant / importateur / distributeur
- Gestion du support (≥ 5 ans ou durée d’usage)
- Notification ENISA/CSIRT (Art. 14) et conditions de report

JOUR 2

Classification des produits et modules d’évaluation
- Distinction entre les trois catégories définies par le CRA :
  - Produits standards
  - Produits importants
  - Produits critiques
  - Logique de “core functionality” :
    - Produit multifonction vs produit à fonction principale unique
    - Impact sur le choix du module d’évaluation

Exigences essentielles du CRA – Annexe I
- Partie I – sécurité du produit : Exigence + Correspondances normatives
  - Authentification, intégrité, protection des données, logs, confidentialité
- Partie II – gestion des vulnérabilités : Exigence + Correspondances normatives
  - Processus de patch et notification

Méthodologie d’analyse de risque CRA
- Alignement avec IEC 62443-4-1 (cycle SDLC sécurisé)
- Alignement avec PR40000‑1‑2
- Analyse des menaces appliquées au produit
  - STRIDE, EBIOS, TARA
- Lien entre risques et exigences de l’Annexe I

Méthodes pédagogiques

Alternance d’exposés théoriques, d’illustrations par des cas concrets, d’exercices individuels ou en groupes de travail et de jeux de rôle.

Modalités d’évaluation :

Exercices individuels, en binôme, en groupe,
Débriefing par les groupes,
Débriefing par le formateur,
Evaluation des compétences acquises via un questionnaire en fin de formation.

Informations importantes

Ce cours est proposé en partenariat avec SERMA Safety & Security.

Si vous êtes en situation de handicap, nous vous remercions de bien vouloir nous contacter avant de procéder à l’inscription en envoyant un mail à formation@fr.tuv.com. Nous mettrons tout en œuvre pour répondre à votre besoin de formation.

Choix de la session