Afin de renforcer stratégiquement et d'ancrer structurellement la cybersécurité en Europe, la Commission européenne a proposé, en 2022, son règlement sur la cyberrésilience (CRA), qui vise à améliorer la cybersécurité et la cyberrésilience dans l'Union européenne. Incluant des normes de sécurité applicables aux logiciels, mais aussi aux produits matériels dotés d'éléments numériques, il devrait prendre effet en Europe en juillet 2024. Cette entrée en vigueur marquera également le début d'une période de mise en conformité de trois ans maximum, qui risque de s'avérer particulièrement difficile pour bon nombre de sociétés.
La norme IEC 62443 (« Réseaux de communication industriels - Sécurité informatique des réseaux et des systèmes ») ne doit pas être négligée en ce qui concerne la conformité au CRA, car elle couvre déjà une grande partie des exigences de ce dernier. Les quatre sections de la norme décrivent l'ensemble des aspects liés à la sécurité des systèmes de contrôle et d'automatisation, du développement à la maintenance, en passant par l'utilisation et les mises à jour.

NIS-2 et ISO 27001

La norme ISO 27001, applicable internationalement, présente également une certaine pertinence. Elle définit en effet les exigences relatives aux systèmes de gestion de la sécurité de l'information (SGSI) afin de garantir que les sociétés abordent la sécurité de l'information de manière globale et structurelle, en évitant d'adopter uniquement des mesures sélectives.

Partiellement applicable au CRA, la norme ISO 27001 présente une grande importance au titre de la conformité à la directive NIS-2, qui régule la cybersécurité et la sécurité de l'information des sociétés et institutions. Contrairement au CRA, la NIS-2 n'a pas besoin d'être transposée dans le droit national par les États membres avant octobre 2024. En Allemagne, par exemple, elle se traduira par la loi de mise en œuvre NIS-2 et de renforcement de la cybersécurité (NIS-2UmsuCG) élaborée par l'Office fédéral de la sécurité des technologies de l'information (BSI).