CRA vs ISO 27001 : les lacunes de conformité que votre SMSI ne couvre pas

Si votre entreprise est certifiée ISO 27001, vous pourriez supposer être bien placé pour le règlement sur la cyberrésilience (CRA). Ce n'est pas le cas. Du moins pas sans un travail supplémentaire important.

ISO 27001 protège les actifs informationnels de votre organisation. Le règlement sur la cyberrésilience (Règlement (UE) 2024/2847) exige que chaque produit comportant des éléments numériques que vous mettez sur le marché de l'UE soit sécurisé dès la conception, livré avec un software bill of materials (SBOM) et pris en charge par des mises à jour de sécurité pendant toute sa durée de vie prévue. Ce sont des obligations au niveau du produit, non au niveau de l'organisation. Le non-respect est passible d'amendes allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (Art. 64). Consultez le guide sur les sanctions CRA.

Les obligations de signalement de l'Article 14 débutent le 11 septembre 2026. La conformité complète est requise avant le 11 décembre 2027. Voir le calendrier complet de mise en œuvre du CRA.

Ce guide ISO 27001 vs CRA cartographie précisément où votre SMSI aide, où il est insuffisant et ce qu'il faut ajouter.

Que couvre ISO 27001 par rapport à ce qu'exige le CRA ?

Le CRA classe les produits en catégories : par défaut, Important Classe I, Important Classe II et Critique (Annexe III et IV). Chaque catégorie implique des exigences d'évaluation de la conformité différentes. Un produit Important Classe II nécessite une évaluation obligatoire par un tiers (organisme notifié), quel que soit votre statut de certification ISO 27001. Voir le guide de classification des produits CRA.

La différence fondamentale

PÉRIMÈTRE ISO 27001 vs CRA

ISO 27001 :
"Comment votre ORGANISATION gère-t-elle la sécurité ?"
+---------------------------------------------+
| Votre entreprise                            |
| +---------+ +---------+ +---------+         |
| |Systèmes | |Données  | |Personnes|         |
| \---------+ \---------+ \---------+         |
| +---------+ +---------+ +---------+         |
| |Processus| |Réseau   | |Locaux   |         |
| \---------+ \---------+ \---------+         |
\---------------------------------------------+

CRA :
"Vos PRODUITS vendus sont-ils sécurisés ?"
+---------------------------------------------+
| Vos produits (vendus aux clients)           |
| +---------+ +---------+ +---------+         |
| |Produit A| |Produit B| |Produit C|         |
| \---------+ \---------+ \---------+         |
|                                             |
| Chaque produit doit répondre aux exigences  |
| du CRA                                      |
\---------------------------------------------+

Là où ISO 27001 aide le CRA et là où il est insuffisant

Là où ISO 27001 aide le CRA

Là où ISO 27001 est insuffisant

Résumé de l'analyse des écarts

Base solide (ISO 27001 aide significativement) :

• Culture de sécurité et sensibilisation
• Méthodologie de gestion des risques
• Capacité de réponse aux incidents
• Gestion de la sécurité des fournisseurs
• Politiques de cycle de vie de développement sécurisé
• Cadre de contrôle d'accès
• Pratiques de documentation

Couverture partielle (ISO 27001 aide mais est insuffisant) :

• Gestion des vulnérabilités (périmètre organisationnel vs périmètre produit)
• Cryptographie (politique vs implémentation produit)
• Tests de sécurité (systèmes d'entreprise vs tests produit)
• Gestion des changements (changement IT vs modification produit)
• SBOM (connaissance des composants dans A.8.26/A.8.28 vs format SBOM lisible par machine)

Lacunes (spécifiques au CRA, non couvertes par ISO 27001) :

• Génération et maintenance du SBOM dans un format standardisé
• Évaluation de la conformité produit
• Processus de marquage CE
• Signalement des vulnérabilités au CSIRT national via la plateforme de notification unique (Art. 14)
• Dossier technique spécifique au produit (Annexe VII)
• Engagement sur la période d'assistance (Art. 13(8))
• Vérification de la configuration par défaut sécurisée
• Exigences relatives au mécanisme de mise à jour du produit
• Politique de divulgation coordonnée des vulnérabilités (Annexe I, Partie II(5))
• Contact public pour les signalements de vulnérabilités (Annexe I, Partie II(6))

Comment utiliser ISO 27001 pour le CRA

Utiliser votre SMSI comme fondation

Si vous êtes certifié ISO 27001, vous disposez de bases solides sur lesquelles construire. L'essentiel est d'étendre les processus existants vers les obligations produit plutôt que de repartir de zéro.

Étendre les processus existants :

Nouveaux processus à ajouter :

Étapes pratiques d'intégration

Étape 1 : extension du périmètre

• Ajouter la sécurité produit au périmètre de votre SMSI
• Inclure le développement produit dans l'évaluation des risques
• Étendre l'inventaire des actifs pour inclure les composants produit

Étape 2 : mises à jour des processus

• Mettre à jour la procédure de vulnérabilités pour le signalement au CSIRT national via la plateforme de notification unique
• Ajouter le SBOM à la gestion des changements
• Intégrer les délais d'avertissement précoce 24 h, de notification initiale 72 h et de rapport final dans votre processus de réponse aux incidents

Étape 3 : ajouts documentaires

• Dossiers techniques produit
• Registres SBOM
• Preuves d'évaluation de la conformité
• Documentation de la période d'assistance

Étape 4 : rôles et responsabilités

• Attribuer la responsabilité de la sécurité produit
• Définir la responsabilité de signalement au CSIRT
• Établir la responsabilité de maintenance du SBOM
• Attribuer la responsabilité de la politique CVD

Contrôles de l'Annexe A d'ISO 27001 et le CRA

Contrôles les plus pertinents

Implémentation des contrôles pour le CRA

EXTENSION DES CONTRÔLES ISO 27001 POUR LE CRA

EXTENSION DE A.8.8 GESTION DES VULNÉRABILITÉS :

Exigence ISO 27001 :
"Des informations sur les vulnérabilités techniques des
systèmes d'information utilisés doivent être obtenues..."

Extension CRA (Art. 14) :
- Surveiller les vulnérabilités dans VOS PRODUITS
- Maintenir un processus de notification client
- Signaler au CSIRT national via la plateforme unique :
  avertissement précoce 24 h, notification initiale 72 h,
  rapport final 14 jours (exploit actif) ou
  rapport final 1 mois (incident grave)
- Suivre le statut des vulnérabilités par produit
- Produire optionnellement des enregistrements d'applicabilité des vulnérabilités (VEX ou équivalent)

EXTENSION DE A.8.25-28 DÉVELOPPEMENT SÉCURISÉ :

Exigence ISO 27001 :
"Des règles pour le développement de logiciels et de
systèmes doivent être établies et appliquées..."

Extension CRA :
- Inclure la génération du SBOM dans le processus de build (Annexe I, Partie II(1))
- Vérifier la configuration "sécurisée par défaut"
- Tester les exigences de sécurité produit
- Documenter pour le dossier technique (Annexe VII)
- Maintenir les preuves pour l'évaluation de la conformité

La certification ISO 27001 compte-t-elle pour l'évaluation de la conformité CRA ?

La certification ISO 27001 couvre-t-elle la conformité CRA ?

Point crucial :

• La certification ISO 27001 démontre la maturité de la sécurité organisationnelle
• La conformité CRA est une exigence réglementaire par produit
• Avoir ISO 27001 ne vous exempte pas du CRA
• Les auditeurs ISO 27001 n'évaluent pas la conformité CRA

Les obligations de signalement de l'Article 14 débutent le 11 septembre 2026. La conformité complète est requise avant le 11 décembre 2027. Le non-respect est passible d'amendes allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (Art. 64).

Utiliser ISO 27001 dans le contexte CRA

COMMENT RÉFÉRENCER ISO 27001 DANS LA DOCUMENTATION CRA

DANS LE DOSSIER TECHNIQUE :
"[Entreprise] maintient un système de management de la
sécurité de l'information certifié ISO/IEC 27001:2022
(Certificat N° XXX, émis par [Organisme de certification]).

Le SMSI fournit la base organisationnelle pour la
sécurité produit, incluant :
- Cycle de vie de développement sécurisé (A.8.25-28)
- Processus de gestion des vulnérabilités (A.8.8)
- Exigences de sécurité fournisseurs (A.5.19-22)

La conformité CRA spécifique au produit est documentée
dans ce dossier technique, en s'appuyant sur ces
contrôles du SMSI."

CE QUE CELA DÉMONTRE :
- Maturité de la gestion de la sécurité
- Existence d'une base de processus
- Ne remplace pas les preuves produit

Synergies d'audit

Audit de surveillance ISO 27001 :

• Évaluation annuelle du SMSI
• Peut inclure le périmètre de sécurité produit
• Preuves réutilisables pour le CRA

Évaluation de la conformité CRA :

• Évaluation spécifique au produit
• Fait référence au SMSI pour les preuves de processus
• Nécessite des preuves produit supplémentaires

Opportunités de synergie :

• Aligner les calendriers d'audit
• Réutiliser les preuves là où c'est applicable
• Approche de système de management intégré
• Référentiel documentaire unique

Trois scénarios courants ISO 27001 + CRA

Comment intégrer le CRA à votre SMSI existant

Modèle de gouvernance

MODÈLE DE GOUVERNANCE INTÉGRÉ

NIVEAU ORGANISATIONNEL (ISO 27001) :
+---------------------------------------------+
| Système de management de la sécurité de     |
| l'information                               |
|                                             |
| - Politiques de sécurité                    |
| - Cadre de gestion des risques              |
| - Organisation de la sécurité               |
| - Sensibilisation et formation              |
\---------------------------------------------+
            |
            v
NIVEAU PRODUIT (CRA) :
+---------------------------------------------+
| Conformité sécurité produit                 |
|                                             |
| +---------+ +---------+ +---------+         |
| |Produit A| |Produit B| |Produit C|         |
| |- Dossier| |- Dossier| |- Dossier| |
| |  tech.  | |  tech.  | |  tech.  | |
| |- SBOM   | |- SBOM   | |- SBOM   |         |
| |- DoC    | |- DoC    | |- DoC    |         |
| \---------+ \---------+ \---------+         |
\---------------------------------------------+

Structure documentaire

DOCUMENTATION INTÉGRÉE

DOCUMENTATION SMSI (ISO 27001) :
+-- Politique de sécurité de l'information
+-- Procédure d'évaluation des risques
+-- Déclaration d'applicabilité
+-- Politique de développement sécurisé
+-- Procédure de gestion des vulnérabilités
+-- Procédure de réponse aux incidents
\-- Politique de sécurité fournisseurs

DOCUMENTATION CRA (par produit) :
+-- Dossier technique produit (Annexe VII)
|   +-- Description du produit
|   +-- Évaluation des risques
|   +-- Architecture de sécurité
|   +-- Rapports de tests
|   \-- SBOM
+-- Déclaration UE de conformité
+-- Documentation utilisateur
\-- Déclaration de période d'assistance

RÉFÉRENCES CROISÉES :
- Le dossier technique fait référence aux procédures SMSI
- Les procédures SMSI intègrent les exigences CRA
- Les enregistrements sont conservés 10 ans ou la durée
  de la période d'assistance, la plus longue prévalant
  (Art. 23(2))

Chantiers d’intégration ISO 27001 vers CRA