Texte rédigé en basque et traduit automatiquement par Elia sans révision postérieure. VOIR L'ORIGINAL

Sécurité dès le début, pas à la dernière minute

Il est de plus en plus difficile de séparer notre vie quotidienne des systèmes numériques. Qu'il s'agisse d'une chaudière qui chauffe votre maison ce soir, d'un moniteur d'hôpital ou d'une usine qui produit votre propre nourriture : tout le monde travaille avec des logiciels et des appareils connectés. Il en va de même pour nos infrastructures critiques, de l'énergie à l'eau en passant par les transports. C’est pourquoi la sécurité numérique n’est pas un problème informatique : elle fait partie intégrante du fonctionnement de notre économie, de nos services et de notre société.

On dit qu'une chaîne est aussi solide que son maillon le plus faible. C'est également le cas dans le monde numérique, où un seul capteur, appareil, composant logiciel ou fournisseur non protégé peut devenir une porte d'entrée vers un système complet. Le risque ne vient pas seulement des criminels : les infrastructures numériques font aussi partie des conflits hybrides entre États. L’attaque qui paralyse un tel système ne crée pas un « problème informatique », mais un problème d’affaires, de services et de société.

« La sécurité numérique n’est pas un problème informatique : elle fait partie intégrante du fonctionnement de notre économie, de nos services et de notre société. »

Dans ce contexte, le Cyber Resilience Act européen marque un tournant important. À partir du 11 septembre, les fabricants devront signaler les vulnérabilités et les incidents graves exploités activement; et à partir de la fin de 2027, les produits contenant des éléments numériques, tels que les capteurs, les appareils connectés, les équipements industriels, les logiciels ou leurs composants, devront répondre à des exigences de cybersécurité plus strictes pour la commercialisation.

L'idée est simple mais profonde: la sécurité ne peut pas être collée à la fin du produit. Dès la conception, il doit être pris en compte dans le développement et tout au long du cycle de vie. Il ne suffit pas de protéger le système à la fin, la sécurité doit être intégrée dès le départ dans les produits et les composants. Et c'est là que réside le véritable changement culturel: la cybersécurité n'est pas seulement la responsabilité du département informatique. L'ingénieur en mécanique, en électronique ou en automatisation qui conçoit le produit doit également assumer cette responsabilité, tout comme il tient compte de la qualité ou de la fiabilité.

« Votre produit est-il conforme au Cyber Resilience Act ? »

Bien sûr, ce chemin a un coût: il nécessite des ressources, du temps et des connaissances, et sa valeur est souvent ignorée jusqu'à ce que quelque chose échoue. Mais ce qui économise sur cela ne réduit pas seulement une dépense, car il augmente le risque de manquer de lignes de production en un jour. De plus en plus, la cybersécurité n'est pas simplement une mesure de protection, mais une condition pour qu'un produit industriel puisse rivaliser sur le marché et gagner la confiance des clients. Une entreprise qui exporte une machine-outil entendra de plus en plus souvent la question: « et votre produit est-il conforme au Cyber Resilience Act ? » En cas de non-respect, ce qui est en jeu, ce n'est pas seulement la conformité réglementaire, mais l'obtention du contrat.

En Euskadi, nous avons une base solide pour cela: des centres technologiques spécialisés dans la cybersécurité et une masse critique de plus de 90 chercheurs. Mais avoir la capacité ne suffit pas. Le défi consiste à intégrer ces connaissances dans les produits, les machines, les processus et les services dès le départ.

Et c’est là que se pose la question, qui nous concerne tous : jusqu’à quand allons-nous agir comme si la sécurité numérique était une « affaire d’informaticiens » ? Jusqu'à ce que le maillon le plus faible paralyse le système entier ?