Le Cyber Resilience Act protège les produits. Il ne protège pas les dépendances numériques.

Le Cyber Resilience Act (CRA) marque une étape majeure dans la politique européenne de cybersécurité. Pour la première fois, en effet, la cybersécurité ne constitue plus une simple exigence de bonnes pratiques. Elle devient une exigence intrinsèque du produit lui-même. Elle ne suffit pourtant pas, à elle seule, à garantir la confiance stratégique que recherchent les directions générales.

Les fabricants et éditeurs devront démontrer que la sécurité est intégrée dès la conception (security by design). Ils devront aussi assurer le traitement continu des vulnérabilités pendant tout le cycle de vie de leurs solutions. Pour les produits les plus critiques, une certification indépendante sera par ailleurs exigée, comme le détaille le texte du règlement (UE) 2024/2847.

Cette évolution est majeure. Elle élève en effet le niveau de confiance technique de l'ensemble de l'écosystème numérique européen. Les Comex l'ont d'ailleurs largement intégrée à leurs comités des risques.

Mais elle laisse ouverte une question tout aussi déterminante pour la valorisation et la résilience de l'entreprise : un produit certifié est-il pour autant un produit maîtrisé ?

La réponse est non.

La confusion entre sécurité et maîtrise

Le CRA réduit le risque cyber. Il ne traite cependant pas le risque de dépendance numérique.

Une organisation peut ainsi déployer une solution irréprochable au regard des exigences européennes. Elle peut pourtant devenir, dans le même temps, progressivement captive d'un écosystème qu'elle ne contrôle plus. Interfaces propriétaires, formats de données fermés, coûts de sortie prohibitifs, dépendances contractuelles : les symptômes sont nombreux. On y ajoutera l'érosion progressive des compétences internes et l'impossibilité de remplacer un composant devenu stratégique.

La cybersécurité protège le système contre l'intrusion. Elle ne protège pas, en revanche, contre la captivité technologique. Ce risque pèse pourtant directement sur la structure de coûts et la capacité de négociation de l'entreprise.

De la confiance technique à la confiance stratégique

Le CRA instaure une confiance technique. C'est une avancée considérable. Elle ne constitue toutefois qu'une composante de la confiance stratégique attendue par les actionnaires et les conseils d'administration.

La confiance technique atteste qu'un produit est sécurisé. La confiance stratégique atteste, elle, qu'une organisation conserve la liberté de le remplacer, de le faire évoluer ou de s'en affranchir.

Une organisation doit également démontrer qu'elle conserve la maîtrise de ses données, de ses interfaces, de ses compétences et de ses possibilités d'évolution. Les récentes évolutions tarifaires imposées sur certains marchés logiciels l'ont d'ailleurs rappelé : une dépendance peut fragiliser une organisation, et son compte de résultat, sans qu'aucune cyberattaque ne soit nécessaire. Le risque ne provient donc plus uniquement des attaquants. Il peut aussi résulter d'une asymétrie de pouvoir entre un fournisseur et son client.

Ce que la confiance stratégique change pour les comités de direction

Demain, les comités de direction devront arbitrer selon deux dimensions complémentaires. D'une part, le niveau de sécurité et de résilience du produit. D'autre part, son niveau de dépendance et de réversibilité pour l'organisation.

La conformité réglementaire deviendra donc une condition d'entrée. Elle ne garantira plus, à elle seule, la liberté d'action. Elle ne garantira pas non plus, seule, la valorisation de l'entreprise auprès de ses parties prenantes.