Formation Cyber Resilience Act (CRA) | Mettre ses produits numériques en conformité

• Comprendre les exigences et obligations du Cyber Resilience Act
• Identifier les impacts du CRA sur le cycle de vie des produits numériques
• Construire une démarche opérationnelle de mise en conformité

• RSSI et responsables cybersécurité
• Responsables conformité et Risk Managers
• Product Owners et Product Managers
• Chefs de projet IT
• Architectes et Tech Leads
• Responsables de développement et DevSecOps

• Connaître les fondamentaux de la cybersécurité
• Une connaissance du cycle de développement logiciel est recommandée

Le Cyber Resilience Act (CRA) introduit de nouvelles exigences européennes de cybersécurité pour les produits comportant des éléments numériques, de leur conception jusqu’à leur maintenance.

Cette formation Cyber Resilience Act (CRA) | Mettre ses produits numériques en conformité permet de comprendre les obligations du CRA et surtout de les traduire concrètement dans le cycle de vie d’un produit numérique. À travers un cas pratique fil rouge, les participants apprennent à identifier leur périmètre de conformité, évaluer les risques, organiser la gestion des vulnérabilités et construire une feuille de route de mise en conformité.

Comprendre le Cyber Resilience Act

• Comprendre le contexte et les enjeux du CRA
• Identifier les produits comportant des éléments numériques concernés
• Identifier les principaux acteurs et leurs responsabilités
• Comprendre les obligations des fabricants, importateurs et distributeurs
• Identifier les principales échéances réglementaires
• Comprendre l’articulation avec les autres réglementations européennes de cybersécurité

Atelier : déterminer si différents produits et services numériques entrent dans le périmètre du CRA.

Identifier les exigences essentielles de cybersécurité

• Comprendre les exigences essentielles du CRA
• Intégrer la cybersécurité dès la conception : Security by Design
• Appliquer les principes de Security by Default
• Identifier et évaluer les risques de cybersécurité
• Réduire la surface d’attaque d’un produit
• Sécuriser les mécanismes d’authentification et de contrôle d’accès
• Protéger la confidentialité, l’intégrité et la disponibilité des données
• Prendre en compte la sécurité pendant toute la période de support du produit

Mise en pratique : réaliser une première analyse des écarts de conformité sur le produit fil rouge.

Intégrer le CRA dans le cycle de développement

• Intégrer les exigences CRA dans le SDLC
• Définir les exigences de sécurité dès la conception
• Intégrer les contrôles de sécurité dans les pratiques DevSecOps
• Sécuriser les composants et dépendances logicielles
• Identifier et suivre les composants présents dans le produit
• Comprendre le rôle du SBOM dans la maîtrise de la chaîne logicielle
• Organiser les tests et validations de sécurité
• Documenter les choix et mesures de cybersécurité

Atelier : construire un cycle de développement compatible avec les exigences du CRA.

Organiser la gestion des vulnérabilités

• Mettre en place un processus de Vulnerability Management
• Identifier, analyser et prioriser les vulnérabilités
• Organiser la réception et le traitement des signalements
• Mettre en œuvre une politique de divulgation coordonnée des vulnérabilités
• Maintenir les produits et leurs composants à jour
• Gérer les correctifs et mises à jour de sécurité
• Organiser la surveillance des vulnérabilités pendant la période de support
• Comprendre les obligations de signalement prévues par le CRA

Mise en situation : une vulnérabilité critique activement exploitée est découverte sur le produit fil rouge : analyser la situation, organiser la réponse et déterminer les actions à mener.

Maîtriser les obligations de signalement

• Identifier les événements devant faire l’objet d’un signalement
• Comprendre le processus de notification CRA
• Organiser l’alerte initiale et les notifications complémentaires
• Identifier les informations nécessaires au signalement
• Définir les responsabilités internes
• Articuler gestion de crise, équipes produit, RSSI et conformité
• Préparer l’organisation à respecter les délais réglementaires

Atelier : construire un workflow interne de notification et de gestion d’une vulnérabilité activement exploitée.

Préparer l’évaluation de conformité

• Comprendre les différentes catégories de produits prévues par le CRA
• Identifier le niveau d’évaluation de conformité applicable
• Comprendre le rôle des organismes notifiés
• Constituer la documentation technique nécessaire
• Comprendre la déclaration UE de conformité
• Identifier les conditions d’apposition du marquage CE
• Préparer les preuves et éléments de traçabilité

Atelier : identifier les éléments nécessaires au dossier de conformité du produit fil rouge.

Construire sa feuille de route CRA

• Réaliser une analyse d’écart entre l’existant et les exigences CRA
• Prioriser les actions selon les risques et échéances
• Identifier les équipes et responsabilités concernées
• Définir les actions à court, moyen et long terme
• Mettre en place des indicateurs de suivi de conformité
• Organiser la gouvernance CRA dans l’entreprise

Atelier final : construire une feuille de route de mise en conformité CRA applicable à son organisation.

Un équilibre pédagogique alliant 50 % théorie et 50 % pratique.

Un questionnaire de positionnement est mis en place en amont de la formation.

L’émargement est réalisé de manière dématérialisée, via une signature numérique.

À l’issue de la formation, chaque participant reçoit l’ensemble des supports pédagogiques, incluant des vidéos et des ressources complémentaires pour approfondir les acquis.

Formation à distance :
Les sessions se déroulent en classe virtuelle via Microsoft Teams. Elles nécessitent un ordinateur équipé d’une caméra, d’un micro, de haut-parleurs ainsi qu’une connexion internet haut débit.

Le lien de connexion est transmis quelques jours avant le début de la formation.

Formation dans nos locaux et assistance disponible : 

Pour toute complication survenant avant, pendant ou après la formation, notre assistance est disponible à partir de 8h30 au +33 (0)6 47 45 07 82 .

Si vous ne parvenez pas à nous joindre par téléphone, merci de nous écrire à formation@neosoft.fr  en spécifiant en quelques mots la difficulté que vous avez rencontrée. Nous vous répondrons dans les plus brefs délais. 

En amont de la formation, un questionnaire de positionnement est adressé aux participants afin d’identifier précisément leurs besoins, leurs attentes et leur niveau de connaissances.

Le formateur évalue la progression pédagogique des participants tout au long de la formation, à travers des quiz, des mises en situation ou des travaux pratiques.

À l’issue de la formation, les participants sont invités à évaluer leur niveau de satisfaction concernant la formation suivie.

Néosoft Training s’appuie sur un processus qualité visant à analyser les éventuels dysfonctionnements remontés par les participants. Cette démarche permet de mettre en œuvre des actions correctives adaptées, tant sur le contenu pédagogique que sur les conditions de déroulement de la formation.