Les fabricants seront invités à évaluer par eux-mêmes la conformité aux normes de sécurité de leurs produits. Ceux d'une catégorie de produits « importants » devront par contre passer par des organismes certifiés et spécialisés dans l’évaluation de la conformité.

Figurent dans cette catégorie les produits dotés d'une fonctionnalité « critique » pour la cybersécurité d'autres produits, ou susceptibles d'avoir un impact négatif sur un grand nombre de produits ou d’utilisateurs : systèmes de gestion des identités, navigateurs, gestionnaires de mots de passe, programmes de détection de logiciels malveillants, VPN, interfaces et systèmes de gestion de réseaux ou de gestion des événements et informations de sécurité, logiciels de démarrages, de délivrance de certificats numériques, systèmes d’exploitation, routeurs, microprocesseurs, microcontrôleurs dotés de fonctionnalités liées à la sécurité et les circuits propres à une application (« application-specific circuits »).

Des mises à jour disponibles pendant au moins 10 ans

Les eurodéputés ont de leur côté insisté pour y rajouter les produits relevant de l'Internet des objets (IoT), les hyperviseurs et conteneurs, pare-feux et contrôleurs « tamper-resistant ». Le Conseil voudrait pour sa part y rajouter les produits critiques susceptibles d'être soumis à l’obligation d’obtenir un certificat de cybersécurité, notamment les compteurs intelligents ou cartes à puce.

Les fabricants devront effectuer une analyse de risque de leurs produits afin d'en déterminer les exigences de sécurité. Mais également la mettre à jour pendant toute la période de leur maintien en conditions opérationnelles, qui devra être d' « au moins cinq ans », sauf si la durée de vie prévue du produit est inférieure à cette durée.

Les mises à jour de sécurité devront en outre rester disponibles pendant « au moins dix ans », ou jusqu'à la fin de période d'assistance. Et les fabricants devront délivrer leurs produits « avec une configuration sécurisée par défaut, et fournir gratuitement des mises à jour de sécurité aux utilisateurs ».

Signaler à l'ENISA, ou aux CSIRT nationaux ?

Si la plupart des problèmes ont « été réglés sur le plan technique », selon un document interne daté du 24 novembre et consulté par Euractiv, celui du signalement des failles et incidents de sécurité « reste le principal sujet politique encore en suspens ».

Le projet introduit en effet « pour la première fois » l’obligation de signaler non seulement les « incidents graves », mais aussi les failles de sécurité « activement exploitées » par des acteurs malveillants et qui n’ont pas encore été corrigées.

En l'état actuel du texte, les délais de signalements ont été alignés sur ceux de la directive révisée sur les réseaux et les systèmes d’information (Networks and Information Systems Directive, NIS2), sauf pour les failles activement exploitées, qui devront être signalées « dans un délai de 14 jours ».

• Le Conseil de l’UE arrête sa position sur la proposition de directive NIS 2
• Cyber-résilience : une lettre ouverte s'inquiète de l'obligation de divulgation des vulnérabilités
• Cyber Resilience Act : une commission du Parlement européen exempte les logiciels libres non commerciaux

La proposition initiale, soutenue par le Parlement, prévoyait que ces failles soient notifiées à l’Agence de l’Union européenne pour la cybersécurité (ENISA). Mais les États membres voudraient confier cette tâche à leurs propres centres de réponse aux incidents de sécurité informatique (CSIRT), actifs au niveau national.

La Commission a proposé comme compromis aux fabricants de déposer leurs signalements sur une « plateforme unique » qui alerterait simultanément les CSIRT nationaux compétents et l’ENISA. Mais le Conseil de l'UE voudrait permettre aux CSIRT nationaux de restreindre temporairement l’accès de l’ENISA aux signalements, « pour des raisons de cybersécurité ».

Les eurodéputés, quant à eux, restent « fortement opposés » à cette mesure qui, souligne Euractiv, « risque d’être le point de désaccord principal lors du prochain trilogue, censé parvenir à un accord ce jeudi 30 novembre ».

La sécurité nationale et la réaffectation des amendes

Euractiv conclut que « la clause d’exemption relative à la sécurité nationale, demandée par le Conseil, doit encore être confirmée ». Reste en effet à trancher si seuls les « produits développés exclusivement à des fins de sécurité nationale ou de défense » doivent en être exclus, ou si ceux ayant été modifiés à cet effet doivent également être concernés.

La proposition des eurodéputés d'affecter le produit des amendes perçu suite aux sanctions au renforcement des activités de cybersécurité, qualifiée de « point mineur » par Euractiv, devra également être réglée lors du trilogue.