Le matériel dure, ses dépendances continuent d'évoluer
Une passerelle industrielle peut rester en service pendant que ses bibliothèques, son système et ses outils de maintenance changent plusieurs fois. Une mise à jour doit parfois être testée sur plusieurs révisions matérielles, puis installée sur des sites éloignés. Pour préparer l'opération, il faut d'abord identifier les équipements concernés, leurs dépendances et leurs contraintes de validation.
La difficulté augmente lorsque la nomenclature vient de plusieurs fournisseurs. Derrière une même version commerciale peuvent coexister plusieurs micrologiciels et des composants dont le support s'arrête à des dates différentes. Retrouver ces relations dans l'urgence laisse peu de temps pour comparer les options de correction, de mise à niveau ou de remplacement.
Déterminer les produits concernés par le CRA
Le CRA vise des produits comportant des éléments numériques selon des critères qui incluent leur mise à disposition sur le marché et leur connexion logique ou physique prévue ou raisonnablement prévisible. L'analyse porte sur chaque produit et le rôle du fabricant. Les exclusions et les règles sectorielles sont à vérifier, notamment pour les dispositifs médicaux, les véhicules et les équipements relevant de cadres spécifiques.
Pour les fabricants concernés, la Commission relie conception, évaluation, information sur le support et traitement des vulnérabilités après mise sur le marché. Les obligations principales du CRA s'appliqueront au 11 décembre 2027 ; certaines obligations, dont le signalement des fabricants, sont déjà applicables. Le suivi MCS fournit des éléments à ces processus, sous la responsabilité du fabricant.
Sources : CRA, règlement (UE) 2024/2847, articles 2, 13, 69, 71 et annexe I, Commission européenne, obligations des fabricants avant et après mise sur le marché, Commission européenne, Cyber Resilience Act et calendrier d'application
Cas fictif : une passerelle en trois révisions
Dans cet exemple fictif, Boréal maintient une passerelle en révisions A, B et C. A utilise le micrologiciel 1.9 et une dépendance réseau ancienne ; B utilise le micrologiciel 2.4 ; C emploie une autre plateforme. L'avis DEMO-INDUSTRIE-01 concerne une fonction de la dépendance de A et B. La situation de C doit être examinée séparément.
Pour A, le fournisseur doit confirmer une possibilité de correction. Pour B, un correctif existe mais attend une validation sur l'équipement. Pour C, la qualification reste ouverte jusqu'à réception de la nomenclature détaillée. La revue distingue ces trois situations et attribue chaque prochaine étape à un responsable.
| Révision fictive | Situation | Prochaine preuve attendue |
|---|---|---|
| A / micrologiciel 1.9 | Solution fournisseur à confirmer | Réponse sourcée et trajectoire de maintenance |
| B / micrologiciel 2.4 | Correctif à valider | Compte rendu d'essai puis version installée |
| C / autre plateforme | Information insuffisante | Nomenclature et analyse de la fonction concernée |
Relier les variantes, les dépendances et leur support
Associez la référence produit, la révision matérielle, le micrologiciel, les composants et les équipements déployés. Pour chaque échéance de support, conservez la source fournisseur et les conditions de couverture. Si la date ou la couverture manque, demandez une confirmation avant d'en faire une hypothèse budgétaire.
Une qualification peut être partagée entre plusieurs équipements si les conditions examinées sont identiques. Les variantes et les sites restent identifiables, et une nouvelle révision impose de réexaminer ce partage. Reliez aussi aux actions les contraintes d'accès, d'essai et de retour arrière : le comité pourra distinguer un manque d'information fournisseur d'un blocage de validation ou de déploiement.
Préparer les campagnes et les décisions budgétaires
Rapprochez les corrections, les renouvellements prévus et les fins de support confirmées. Comparez les options : mise à jour compatible, changement de branche, remplacement ou mesure temporaire. Regrouper des travaux peut faciliter une intervention ; tout report d'un traitement nécessaire doit cependant faire l'objet d'un arbitrage. Le planning conserve le motif des dépendances entre actions.
CyberLifeCycle assure la veille et tient à jour les dossiers des variantes de votre périmètre. Vous disposez des réponses fournisseurs en attente, des campagnes à valider et des échéances pour préparer vos budgets de maintenance. Les décisions produit, les essais et le déploiement restent portés par le fabricant et les équipes concernées.
Sources consultées
- CRA, règlement (UE) 2024/2847, articles 2, 13, 69, 71 et annexe IConsulté le 30 octobre 2026.
- Commission européenne, Cyber Resilience Act et calendrier d'applicationConsulté le 30 octobre 2026.
- Commission européenne, obligations des fabricants avant et après mise sur le marchéConsulté le 30 octobre 2026.