Cyber Resilience Act (CRA) - Mettre sur le marché des produits numériques conformes au règlement (UE) 2024/2847

Objectifs

Les objectifs de la formation Cyber Resilience Act (CRA) - Mettre sur le marché des produits numériques conformes au règlement (UE) 2024/2847 :

- Comprendre les exigences du Cyber Resilience Act
- Identifier les produits concernés et les obligations applicables
- Intégrer les exigences de cybersécurité dès la conception
- Réaliser une démarche de conformité CRA
- Organiser la gestion des vulnérabilités sur le cycle de vie du produit
- Constituer les principaux éléments du dossier technique
- Préparer la déclaration UE de conformité
- Identifier les interactions entre le CRA, le règlement Machines, la RED, l'IEC 62443, la NIS2 et l'AI Act

Programme

Jour 1/ Comprendre le Cyber Resilience Act
Module 1/ Les enjeux du CRA
- Évolution de la menace cyber
- Pourquoi un nouveau règlement européen ?
- Objectifs du CRA
- Calendrier d'application
- Sanctions
Module 2/ Champ d'application
- Produits comportant des éléments numériques
- Logiciels
- Produits connectés
- Logiciels embarqués
- Produits exclus
- Définitions importantes
Module 3/ Les acteurs
- Obligations des : fabricants / importateurs / distributeurs
Mandataires
- Responsabilités de chacun
Module 4/ Les exigences essentielles
- Les exigences de cybersécurité
- Security by Design, Security by Default, gestion des accès, authentification, chiffrement, journalisation, confidentialité, intégrité, disponibilité, protection contre les attaques, gestion des mises à jour, configuration sécurisée
Module 5/ Les produits critiques
- Classes de produits : produits critiques / produits hautement critiques
- Procédures d'évaluation de conformité
- Organismes notifiés
Module 6/ Relations avec les autres règlements
- Comparaison avec : règlement Machines / directive RED NIS2 / AI Act / Data Act / IEC 62443
Jour 2/ Construire une démarche de conformité
Module 7/ L'analyse de risques CRA
- Comment identifier : les actifs / les menaces / les vulnérabilités / les scénarios d'attaque / les impacts
- Lien avec : IEC 62443 / ISO 27005 / EBIOS RM
Module 8/ La gestion des vulnérabilités
- Organisation du processus : détection / qualification / correction / divulgation coordonnée / CVE / CVSS / notification / correctifs / support du produit
Module 9/ Le dossier technique
- Construction du dossier : description du produit / architecture / analyse de risques  / mesures de cybersécurité / justification de conformité / rapports d'essais / procédures de mise à jour / politique de gestion des vulnérabilités  / traçabilité
Module 10/ La conformité CE
- Déclaration UE / marquage CE / surveillance du marché / obligations après commercialisation / conservation des preuves