Qui est visé
D’abord les fabricants, c’est-à-dire quiconque développe ou fait développer un produit et le commercialise sous son nom, les gestionnaires de logiciels open source relevant d’un régime allégé ; les importateurs et distributeurs portent des obligations de vérification. Les produits sont classés par risque : une classe par défaut avec auto-évaluation, des produits importants en deux classes avec une évaluation plus stricte, et des produits critiques qui peuvent exiger une certification européenne. Le logiciel en tant que service est hors champ, sauf s’il fait partie d’un traitement de données à distance dont un produit dépend.
Les obligations
L’annexe I fixe les exigences essentielles : configuration sûre par défaut, protection contre les accès non autorisés, confidentialité et intégrité, limitation de la surface d’attaque, mises à jour de sécurité, et un processus de traitement des vulnérabilités avec nomenclature logicielle, divulgation coordonnée et politique de signalement. La période de support est fixée par la durée de vie attendue du produit, cinq ans au minimum pour la plupart des produits. Les vulnérabilités activement exploitées et les incidents graves sont notifiés à l’ENISA et au CSIRT national avec une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous 14 jours.
Ce que cela change pour un programme de sécurité
Pour un fabricant, la sécurité produit cesse d’être une préférence d’ingénierie et devient une obligation de conformité avec preuves : une analyse de risque par produit, un processus documenté de traitement des vulnérabilités, un mécanisme de mise à jour testé et une documentation technique que l’autorité de surveillance du marché peut demander. Pour un acheteur, le marquage CE et la politique de vulnérabilités du fabricant deviennent des entrées du risque tiers, et un produit sorti de sa période de support devient une dérogation de sécurité avec une échéance.