La réaction de Rodolphe Barnault, VP Southern Europe
de Rubrik.
Les fabricants de
produits numériques devront signaler une vulnérabilité exploitée ou un incident
grave dans les 24 heures, puis transmettre une notification plus détaillée dans
les 72 heures.
Pour Rodolphe Barnault,
l’enjeu sera de pouvoir respecter ces délais sans « communiquer à l’aveugle
». Cela suppose de savoir rapidement quelles données, identités ou systèmes
ont été compromis, mais aussi de s’assurer que la reprise d’activité ne
réintroduit pas la menace.
« Avec l’entrée en
application, le 11 septembre, des obligations de notification du Cyber
Resilience Act de l’Union européenne, les fabricants de produits numériques
seront soumis à des délais stricts : une première alerte dans les 24 heures
suivant la découverte d’une vulnérabilité exploitée ou d’un incident grave,
puis une notification détaillée dans les 72 heures. Respecter ce calendrier
resserré sans « communiquer à l’aveugle » nécessite de disposer en amont d’une
visibilité sur les données, les identités et les systèmes, ainsi que de
procédures de réponse préalablement testées afin d’évaluer rapidement l’ampleur
d’une compromission.
Au-delà du respect des délais réglementaires, le Cyber Resilience Act soulève également la question de la reprise d’activité. Restaurer rapidement ne suffit pas si les données récupérées sont compromises ou si certaines identités restent sous le contrôle de l’attaquant.
Une organisation véritablement résiliente doit être capable non seulement d’identifier et d’évaluer rapidement un incident, mais aussi de restaurer des données et des identités saines avec un niveau de confiance suffisant. C’est la combinaison de la visibilité, de la préparation aux incidents et des capacités de restauration qui permet d’éviter qu’une reprise trop précipitée ne réintroduise la menace. »