Cyber Resilience Act

Pour Rodolphe Barnault, l’enjeu sera de pouvoir respecter ces délais sans « communiquer à l’aveugle ». Cela suppose de savoir rapidement quelles données, identités ou systèmes ont été compromis, mais aussi de s’assurer que la reprise d’activité ne réintroduit pas la menace.

« Avec l’entrée en application, le 11 septembre, des obligations de notification du Cyber Resilience Act de l’Union européenne, les fabricants de produits numériques seront soumis à des délais stricts : une première alerte dans les 24 heures suivant la découverte d’une vulnérabilité exploitée ou d’un incident grave, puis une notification détaillée dans les 72 heures. Respecter ce calendrier resserré sans « communiquer à l’aveugle » nécessite de disposer en amont d’une visibilité sur les données, les identités et les systèmes, ainsi que de procédures de réponse préalablement testées afin d’évaluer rapidement l’ampleur d’une compromission.
Au-delà du respect des délais réglementaires, le Cyber Resilience Act soulève également la question de la reprise d’activité. Restaurer rapidement ne suffit pas si les données récupérées sont compromises ou si certaines identités restent sous le contrôle de l’attaquant.
Une organisation véritablement résiliente doit être capable non seulement d’identifier et d’évaluer rapidement un incident, mais aussi de restaurer des données et des identités saines avec un niveau de confiance suffisant. C’est la combinaison de la visibilité, de la préparation aux incidents et des capacités de restauration qui permet d’éviter qu’une reprise trop précipitée ne réintroduise la menace. »