Les députés membres de la commission de l’industrie, de la recherche et de l’énergie (ITRE) du Parlement européen ont abordé, mercredi 5 juillet, lors d’une réunion politique, la dernière version du texte de compromis concernant la législation sur la cyberrésilience ('Cyber Resilience Act') (EUROPE 13199/5). Le vote en commission du PE devrait avoir lieu le 19 juillet.
La dernière version du texte de compromis proposée par le rapporteur du dossier, Nicola Danti (Renew Europe, italien), revient d’abord sur la question du champ d’application et prévoit ainsi d’y inclure les fonctionnalités localisées sur le ‘cloud’ des objets. Par ailleurs, le texte confirme que les logiciels ‘open-source’ seraient, pour leur part, exclus, à condition qu’ils ne soient pas utilisés à des fins commerciales.
En outre, le texte revient sur les obligations incombant aux fabricants et l’épineuse question des vulnérabilités des objets et produits. Dans les cas où des fabricants introduiraient des composants qu’ils n’ont pas développés eux-mêmes, ils seraient quand même garants du respect des règles relatives à la cybersécurité. Ils devraient aussi corriger les vulnérabilités détectées sur les produits et informer le développeur du correctif utilisé.
De l'autre côté, les fabricants devraient également permettre aux utilisateurs et autres parties prenantes de signaler les problèmes et faiblesses du système rencontrés. L’équipe d'intervention en cas d'incident de sécurité informatique (CSIRT) pourrait aussi être chargée de récolter les signalements.
Par ailleurs, l’approche initiale reposait sur le fait que les normes en matière de cybersécurité couvrent les objets concernés par la législation tout au long de la durée de vie de ces produits et que des mises à jour en matière de sécurité et autres assistances soient à disposition des utilisateurs pendant une période d’au moins cinq ans. Le texte propose que cette décision revienne aux fabricants. Ceux-ci pourraient ainsi également proposer ce type de mises à jour et d’assistance pour une période plus longue que la durée de vie estimée du produit.
Enfin, le délai d’entrée en vigueur du texte a été revu à la hausse. La dernière version du texte de compromis propose qu’un délai de 40 mois soit appliqué, contre 24 initialement. (Thomas Mangin)