Depuis le 11 septembre 2026, le Cyber Resilience Act (CRA) de l\u2019Union europ\u00e9enne impose ses premi\u00e8res obligations op\u00e9rationnelles aux fabricants de produits comportant des \u00e9l\u00e9ments num\u00e9riques. La gestion des vuln\u00e9rabilit\u00e9s et des incidents passe ainsi d\u2019une pratique interne \u00e0 une obligation l\u00e9gale, assortie de d\u00e9lais stricts. Moxa, sp\u00e9cialiste des communications et r\u00e9seaux industriels, a annonc\u00e9 \u00eatre en mesure de r\u00e9pondre \u00e0 ces exigences de d\u00e9claration avant leur entr\u00e9e en vigueur, en s\u2019appuyant sur des processus de s\u00e9curit\u00e9 certifi\u00e9s.<\/p>\n
Lorsqu\u2019un fabricant prend connaissance d\u2019une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e ou d\u2019un incident de s\u00e9curit\u00e9 grave, il doit adresser une alerte pr\u00e9liminaire \u00e0 l\u2019ENISA et au CSIRT national d\u00e9sign\u00e9 sous 24 heures. Une notification compl\u00e8te suit dans les 72 heures, puis un rapport final dans les 14 jours suivant la mise \u00e0 disposition d\u2019un correctif pour les vuln\u00e9rabilit\u00e9s exploit\u00e9es, ou dans un d\u00e9lai d\u2019un mois pour les incidents graves.<\/p>\n
Selon Moxa, tenir ces d\u00e9lais suppose un cadre de gouvernance int\u00e9gr\u00e9 capable d\u2019identifier rapidement les produits concern\u00e9s, d\u2019\u00e9valuer l\u2019impact et de coordonner les \u00e9quipes d\u2019ing\u00e9nierie.<\/p>\n
La pr\u00e9paration de Moxa repose sur son cycle de d\u00e9veloppement s\u00e9curis\u00e9 (SDL). Le fabricant figure parmi les premiers fournisseurs \u00e0 avoir obtenu une double certification IEC 62443-4-1 au niveau de maturit\u00e9 3 (ML3), d\u00e9livr\u00e9e par l\u2019IECEE et par ISCI\/ISASecure, ce qui atteste de processus de s\u00e9curit\u00e9 reproductibles et appliqu\u00e9s de mani\u00e8re homog\u00e8ne dans l\u2019organisation.<\/p>\n
Le SDL assure une tra\u00e7abilit\u00e9 compl\u00e8te des activit\u00e9s d\u2019ing\u00e9nierie et encadre des processus rigoureux de correction des vuln\u00e9rabilit\u00e9s. Pour Moxa, ces capacit\u00e9s constituent la base sur laquelle s\u2019appuient les obligations de cybers\u00e9curit\u00e9 qui s\u2019appliquent apr\u00e8s la mise sur le march\u00e9, au-del\u00e0 de la seule r\u00e9ponse aux incidents.<\/p>\n
Le dispositif comprend une \u00e9quipe PSIRT charg\u00e9e de valider, \u00e9valuer et coordonner les r\u00e9ponses aux vuln\u00e9rabilit\u00e9s, une gestion compl\u00e8te des nomenclatures logicielles (SBOM) pour identifier rapidement composants, produits et versions de firmware concern\u00e9s, ainsi qu\u2019une tra\u00e7abilit\u00e9 de bout en bout couvrant composition logicielle, firmware et cycle de vie. Des proc\u00e9dures de gouvernance alignent ing\u00e9nierie, gestion produit, cybers\u00e9curit\u00e9, services juridiques et direction.<\/p>\n
Moxa int\u00e8gre en outre les donn\u00e9es SBOM \u00e0 ses bases produits. Lorsqu\u2019une vuln\u00e9rabilit\u00e9 entre au catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV), le PSIRT peut corr\u00e9ler les donn\u00e9es, \u00e9valuer l\u2019impact et prioriser la r\u00e9ponse dans les d\u00e9lais du CRA.<\/p>\n
Pour John Chang, directeur de la gestion R&D et du Product Security Center de Moxa, tenir l\u2019\u00e9ch\u00e9ance de 24 heures refl\u00e8te la maturit\u00e9 d\u2019une organisation en cybers\u00e9curit\u00e9 et plusieurs ann\u00e9es d\u2019investissement dans sa gouvernance.<\/p>\n
Pour les constructeurs de machines, les int\u00e9grateurs et les op\u00e9rateurs d\u2019infrastructures critiques, la capacit\u00e9 de leurs fournisseurs \u00e0 g\u00e9rer ces obligations devient un crit\u00e8re de s\u00e9lection, la confiance se mesurant \u00e0 la fois aux fonctions de s\u00e9curit\u00e9 des produits et \u00e0 l\u2019engagement du fabricant sur tout leur cycle de vie. En combinant pratiques SDL certifi\u00e9es, op\u00e9rations PSIRT, gouvernance des SBOM et processus transparents, Moxa entend aider ses clients \u00e0 r\u00e9duire leurs risques et \u00e0 simplifier leur propre mise en conformit\u00e9 apr\u00e8s commercialisation. Le fabricant a ouvert un portail d\u00e9di\u00e9 au CRA.<\/p>\n