Cyber Resilience Act : Moxa prêt à déclarer sous 24 h
Depuis le 11 septembre 2026, le Cyber Resilience Act (CRA) de l’Union européenne impose ses premières obligations opérationnelles aux fabricants de produits comportant des éléments numériques. La gestion des vulnérabilités et des incidents passe ainsi d’une pratique interne à une obligation légale, assortie de délais stricts. Moxa, spécialiste des communications et réseaux industriels, a annoncé être en mesure de répondre à ces exigences de déclaration avant leur entrée en vigueur, en s’appuyant sur des processus de sécurité certifiés.
Ce que le CRA impose aux fabricants
Lorsqu’un fabricant prend connaissance d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave, il doit adresser une alerte préliminaire à l’ENISA et au CSIRT national désigné sous 24 heures. Une notification complète suit dans les 72 heures, puis un rapport final dans les 14 jours suivant la mise à disposition d’un correctif pour les vulnérabilités exploitées, ou dans un délai d’un mois pour les incidents graves.
Selon Moxa, tenir ces délais suppose un cadre de gouvernance intégré capable d’identifier rapidement les produits concernés, d’évaluer l’impact et de coordonner les équipes d’ingénierie.
Un SDL doublement certifié IEC 62443-4-1
La préparation de Moxa repose sur son cycle de développement sécurisé (SDL). Le fabricant figure parmi les premiers fournisseurs à avoir obtenu une double certification IEC 62443-4-1 au niveau de maturité 3 (ML3), délivrée par l’IECEE et par ISCI/ISASecure, ce qui atteste de processus de sécurité reproductibles et appliqués de manière homogène dans l’organisation.
Le SDL assure une traçabilité complète des activités d’ingénierie et encadre des processus rigoureux de correction des vulnérabilités. Pour Moxa, ces capacités constituent la base sur laquelle s’appuient les obligations de cybersécurité qui s’appliquent après la mise sur le marché, au-delà de la seule réponse aux incidents.
PSIRT, SBOM et traçabilité des produits
Le dispositif comprend une équipe PSIRT chargée de valider, évaluer et coordonner les réponses aux vulnérabilités, une gestion complète des nomenclatures logicielles (SBOM) pour identifier rapidement composants, produits et versions de firmware concernés, ainsi qu’une traçabilité de bout en bout couvrant composition logicielle, firmware et cycle de vie. Des procédures de gouvernance alignent ingénierie, gestion produit, cybersécurité, services juridiques et direction.
Moxa intègre en outre les données SBOM à ses bases produits. Lorsqu’une vulnérabilité entre au catalogue des vulnérabilités exploitées connues (KEV), le PSIRT peut corréler les données, évaluer l’impact et prioriser la réponse dans les délais du CRA.
Un enjeu de confiance pour la chaîne industrielle
Pour John Chang, directeur de la gestion R&D et du Product Security Center de Moxa, tenir l’échéance de 24 heures reflète la maturité d’une organisation en cybersécurité et plusieurs années d’investissement dans sa gouvernance.
Pour les constructeurs de machines, les intégrateurs et les opérateurs d’infrastructures critiques, la capacité de leurs fournisseurs à gérer ces obligations devient un critère de sélection, la confiance se mesurant à la fois aux fonctions de sécurité des produits et à l’engagement du fabricant sur tout leur cycle de vie. En combinant pratiques SDL certifiées, opérations PSIRT, gouvernance des SBOM et processus transparents, Moxa entend aider ses clients à réduire leurs risques et à simplifier leur propre mise en conformité après commercialisation. Le fabricant a ouvert un portail dédié au CRA.
Pour vous qui intégrez des équipements réseau industriels, la capacité de vos fournisseurs à notifier sous 24 heures conditionne désormais votre propre conformité au CRA. Interroger leur organisation PSIRT et leur gestion des SBOM devient une étape de qualification à part entière.
Si vous avez apprécié cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à :
