Pour renforcer la cybersécurité des produits comportant des éléments numériques, le règlement européen sur la cyberrésilience prévoit que des organismes évaluent leur conformité avant leur mise sur le marché. Ces organismes doivent respecter des modalités de notification pour se conformer aux exigences européennes. Quels sont ces modalités applicables en France ?
Conformité des produits : de nouvelles modalités de notification françaises
Dans le cadre du règlement européen sur la cyberrésilience, les modalités françaises d’évaluation, d’accréditation et de contrôle des organismes tiers chargés de vérifier la conformité des produits comportant des éléments numériques viennent de se préciser.
Les organismes en question doivent être notifiés à la Commission européenne par l’autorité notifiante de chaque Etat membre de l’Union européenne.
En France, c’est l'Agence nationale de la sécurité des systèmes d'information (ANSSI) qui a été récemment désignée comme l’autorité notifiante.
L’ANSSI instruit donc les demandes des organismes d'évaluation et contrôle les organismes notifiés.
En principe, les organismes d'évaluation de la conformité doivent d'abord obtenir un certificat d'accréditation délivré par le Comité français d'accréditation (COFRAC) avant de demander leur notification.
Ils adressent ensuite leur demande de notification à l'ANSSI, accompagnée des documents requis (consultables ici, au paragraphe 2 de l'article 42).
Cependant, une dérogation existe : les organismes peuvent être notifiés avant leur accréditation s’ils fournissent à l’ANSSI les documents requis, la preuve de recevabilité de leur demande d’accréditation et les justificatifs de leur conformité aux exigences européennes.
Si c’est le cas, ils doivent en informer le COFRAC.
À noter que dans l’attente de l’accréditation, ils ne peuvent délivrer que 25 attestations de conformité sur une période maximale de 12 mois.
À cette échéance, un rejet total ou partiel de l’accréditation entraîne l’abrogation, la suspension ou la restriction de la notification par l’ANSSI, selon la gravité des manquements.
Si le COFRAC n’a pas encore statué, l’ANSSI peut lever le plafond de 25 attestations jusqu’à sa décision.
Le COFRAC transmet ensuite sa décision à l’ANSSI et, le cas échéant, une copie du certificat d’accréditation.
À réception du dossier complet, l'ANSSI dispose de 2 mois soit pour procéder à la notification de l'organisme auprès de la Commission européenne et des autres États membres soit pour lui notifier son refus.
Enfin, les organismes notifiés doivent transmettre à l'ANSSI les informations requises sur l'exercice de leurs activités et l'évolution de leurs compétences, afin de lui permettre d'assurer leur suivi et leur contrôle.
Produits comportant des éléments numériques : de nouvelles exigences européennes de conformité ? - © Copyright WebLex
