Le règlement sur la cyberrésilience

L’échéance du règlement européen sur la cyberrésilience approche à grands pas, ce qui contraint les dirigeants à prendre des mesures immédiates. Le règlement sur la cyberrésilience va modifier fondamentalement les obligations de sécurité liées à chaque produit expédié par les fabricants vers l’UE.

Ce texte vise à garantir des produits sécurisés dès la conception, par défaut et tout au long de leur cycle de vie. Il fait d’une cybersécurité renforcée un prérequis à l’accès au marché.

Les entreprises doivent agir dès maintenant pour faire face à l’accumulation complexe de législations sur les cyberrisques, la gouvernance et la conformité. Cependant, il existe un décalage : plus de la moitié (51 %) des entreprises investissent peu ou pas du tout dans le suivi réglementaire, selon les perspectives 2026 de ServiceNow sur les risques et la sécurité. Cela compromet leur capacité à se préparer correctement à l’impact réglementaire.

Qu’est-ce que le règlement sur la cyberrésilience ?

Le règlement sur la cyberrésilience s’appuie sur les règles existantes pour renforcer les normes de cybersécurité au sein de l’UE. Il est conçu pour protéger les consommateurs et les entreprises contre les vulnérabilités des produits logiciels et matériels.

En vertu de cette législation, les entreprises doivent :

• Garantir que les produits répondent aux exigences essentielles de cybersécurité afin de les protéger contre les accès non autorisés
• Surveiller et signaler aux autorités réglementaires les vulnérabilités exploitées ou les incidents significatifs dans un délai de 24 heures
• Fournir une assistance de sécurité et des mises à jour logicielles tout au long de la durée de vie prévue du produit
• Apposer le marquage CE afin d’attester de la conformité aux normes de sécurité de l’UE

Le règlement est entré en vigueur le 10 décembre 2024 et les obligations ont été introduites progressivement au cours des trois années suivantes. À compter du 11 septembre 2026, les fabricants de produits devront signaler les incidents de sécurité ou les vulnérabilités connues à l’équipe de réponse aux incidents de sécurité informatique (CSIRT) des autorités compétentes dans un délai de 24 heures.

Le règlement prendra toute sa mesure à partir du 11 décembre 2027, lorsque les autorités nationales de surveillance du marché commenceront à le faire appliquer. Pour les fabricants de produits, le texte exigera une transparence totale sur les failles de sécurité au niveau législatif. Cette réglementation a une portée mondiale : tout fournisseur vendant au sein de l’UE devra s’y conformer pour conserver son accès au marché.

Le non-respect de ces règles peut entraîner de lourdes sanctions, allant du retrait des produits du marché à des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial total de l’entreprise pour l’exercice financier précédent, le montant le plus élevé étant retenu.

Pour la plupart des entreprises, cela se traduira concrètement par des mises à jour de sécurité plus rapides et plus fréquentes sur les produits qu’elles achètent.

Comment intégrer la sécurité dès la conception ?

Le règlement sur la cyberrésilience souligne l’importance de la sécurité dès la conception, en intégrant la cyberrésilience directement dans les opérations et le cycle de vie du développement logiciel. Cette approche permet de s’assurer que la résilience est proactive plutôt que testée uniquement à la suite d’un incident.

Toutes les entreprises peuvent prendre des mesures pour sécuriser leurs logiciels et leurs achats dès la conception :

1. Intégrer la conformité dans le développement de produits : incorporez les évaluations des risques de sécurité dès les phases de conception pour mieux définir les contrôles nécessaires à la conformité du produit au principe du Secure by Design. Cela présente de nombreux avantages, notamment la possibilité de mettre en œuvre une surveillance continue des contrôles, une collecte automatisée des preuves et un suivi des évolutions réglementaires.

2. Suivre les marquages de sécurité : effectuez le suivi des marquages de conformité et des engagements de sécurité des tiers ou des fournisseurs au sein même du système où vous gérez les risques liés aux tiers. Appliquez le cadre de contrôle pour surveiller les performances en continu, et non plus seulement à des intervalles prédéfinis ou de manière ponctuelle.

3. Intégrer la gestion des vulnérabilités : identifiez continuellement les vulnérabilités, divulguez-les à vos clients et fournissez des mises à jour de sécurité. Concevez des processus de correctif clairement définis et rigoureusement exécutés.

4. Régir et contrôler les accès : le contrôle des accès constitue l’une des exigences essentielles du règlement concernant les produits. Les produits doivent garantir une protection contre les accès non autorisés grâce à des mécanismes de contrôle appropriés, notamment des systèmes d’authentification et de gestion des identités ou des accès, et signaler toute tentative d’accès non autorisé.

5. Tester régulièrement la résilience : renforcez votre posture de sécurité grâce à des tests continus de scénarios, d’impacts et de seuils de tolérance afin de garantir la continuité de vos activités en cas d’incident. Cela nécessitera également un mappage des dépendances des actifs, en englobant les tiers.

6. Gérer une nomenclature logicielle (SBOM) : documentez et fournissez un inventaire complet des composants lors de la vente de votre produit. Les équipes sécurité de vos clients pourront ainsi identifier efficacement les vulnérabilités.

Comment ServiceNow accompagne-t-il la conformité réglementaire ?

Lorsqu’une entreprise ne dispose que de 24 heures pour signaler un incident, elle doit agir rapidement pour en évaluer la portée, puis convenir des éléments à transmettre à l’organisme de réglementation et aux clients. ServiceNow aide les entreprises à centraliser leurs différentes sources de données dans une vue unique, à hiérarchiser les vulnérabilités et les menaces liées aux actifs, à limiter le rayon d’impact et à résoudre les problèmes dans les délais stricts imposés par tout organisme de réglementation.

Respecter des délais de signalement d’incidents aussi stricts exige de la rapidité et une visibilité totale. La solution Réponse aux incidents de sécurité de ServiceNow réunit les workflows de sécurité sur une seule plateforme, ce qui aide les équipes à identifier rapidement les vulnérabilités exploitées. Le suivi manuel est remplacé par des automatisations qui protègent à la fois l’infrastructure et la conformité.

Pour réduire au maximum la surface d’attaque, Armis de ServiceNow identifie et inventorie chaque actif connecté en temps réel. Ensuite, grâce à la Gestion unifiée des expositions de sécurité, la solution consolide les données d’exposition et de mauvaise configuration par rapport à un inventaire d’actifs comptant plus de 7 milliards d’appareils.

Armis poursuit la surveillance passive du trafic réseau afin de signaler tout comportement d’appareil anormal susceptible d’altérer la disponibilité des réseaux ou services partagés.

Le règlement sur la cyberrésilience impose aux fabricants d’évaluer les risques de sécurité dès la planification et la conception des produits. La Gestion intégrée des risques de ServiceNow aide les entreprises à piloter la mise en œuvre de leurs plans de résilience opérationnelle, en évaluant et en surveillant les risques, y compris les contrôles, tout au long du cycle de vie des produits.

S’appuyant sur un système d’action unique, cette solution vous permet de démontrer l’existence d’un processus auditable garantissant la sécurité des produits.

En cas de cyberattaque, la Gestion de la continuité d’activité de ServiceNow aide les entreprises à identifier rapidement les actifs, les activités et les processus critiques touchés au sein de leurs opérations. Les plans de continuité d’activité peuvent alors être exécutés avec précision via les workflows automatisés de récupération d’urgence.

Les équipes sécurité peuvent s’appuyer sur le mappage des dépendances au sein des processus business critiques pour simuler plusieurs scénarios afin d’être parfaitement entraînées en cas d’événement réel.

S’en remettre à des feuilles de calcul manuelles et à des communications fragmentées pour suivre les performances des systèmes tiers expose l’entreprise à des angles morts dans sa chaîne d’approvisionnement. La Gestion des risques liés aux tiers de ServiceNow permet aux entreprises de centraliser le suivi de leur profil de risque multidimensionnel et d’identifier les faiblesses potentielles de leur écosystème étendu.

La fonctionnalité SBOM de ServiceNow permet de renforcer la sécurité logicielle, de gérer les vulnérabilités et de réduire les risques de conformité au sein de la chaîne d’approvisionnement. Pour ce faire, elle met en corrélation les vulnérabilités et les composants de la SBOM, puis hiérarchise les actions de remédiation en fonction de la criticité des processus business de l’entreprise.

Pour la gouvernance des identités, le graphe d’accès Veza de ServiceNow répond directement aux exigences du règlement sur la cyberrésilience relatives au contrôle d’accès et au principe du moindre privilège (Partie I.2), et ce sur un périmètre plus large que celui de la gestion traditionnelle des identités et des accès. Ces enjeux deviennent d’autant plus cruciaux que les produits couverts par le règlement intègrent désormais des composants d’IA autonomes.

Grâce au portefeuille complet de solutions qu’offre ServiceNow pour la gestion des risques et de la cybersécurité, les entreprises peuvent automatiser un grand nombre d’exigences liées au règlement sur la cyberrésilience pour éviter toute précipitation de dernière minute.

Découvrez comment ServiceNow peut vous aider à renforcer votre résilience grâce à la gestion des risques et de la sécurité optimisée par l’IA.