Cybersécurité et Sécurité des produits

Oui. Le CRA concerne tous les produits comportant des éléments numériques, c’est-à-dire le matériel et les logiciels dotés d’un firmware ou d’une connexion de données, directe ou indirecte, à un dispositif ou à un réseau. Cela inclut les passerelles, RTU, enregistreurs de données, modules d’E/S avec interfaces de communication et logiciels SENECA.

À compter du 11/09/2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves via la plateforme ENISA (24 h / 72 h / rapport final). À compter du 11/12/2027, toutes les exigences essentielles s’appliquent : les produits mis sur le marché devront être conformes au CRA et porter le marquage CE couvrant également la cybersécurité.

Non. Les exigences de conception du CRA s’appliquent aux produits mis sur le marché à compter du 11/12/2027. Les obligations de notification de l’art. 14 s’appliquent également aux produits déjà commercialisés : c’est pourquoi SENECA traite les signalements concernant tous les produits, y compris ceux installés avant cette date.

Écrivez à security@seneca.it en indiquant le produit, le code, les versions matériel/firmware, la description, les étapes de reproduction, l’impact et les éventuels éléments de preuve. Vous recevrez un accusé de réception avec un identifiant PSIRT. N’envoyez pas de mots de passe ni d’identifiants de connexion.

SENECA informe les utilisateurs concernés et publie les avis de sécurité sur cette page et dans la Newsroom, avec les mesures d’atténuation et les versions corrigées. Vous pouvez vous abonner à la newsletter SENECA pour recevoir les mises à jour techniques.

Le CRA impose au fabricant de définir pour chaque produit une période d’assistance, normalement d’au moins 5 ans sauf si une utilisation plus courte est prévue, pendant laquelle les mises à jour de sécurité doivent être assurées. SENECA indiquera cette période dans la documentation des produits conformes au CRA.

C’est la norme qui définit les exigences techniques de sécurité des composants des systèmes d’automatisation et de contrôle industriels (IACS). Chaque exigence peut être satisfaite à un niveau de sécurité allant de SL1 (protection contre les violations accidentelles) à SL4 (protection contre les attaques sophistiquées disposant de ressources importantes). Pour la série PASS / SSD, l’évaluation indépendante documente le niveau de sécurité atteint pour chaque exigence applicable, jusqu’à SL4.

NIS2 exige de gérer les risques également dans la chaîne d’approvisionnement. Les dispositifs dotés d’une authentification forte, du chiffrement, de la segmentation, de journaux d’audit et de mises à jour sécurisées, associés à des tests indépendants et à une documentation de conformité, fournissent les éléments de preuve requis dans les questionnaires et audits des entités essentielles et importantes.

Les produits radio connectés mis sur le marché depuis le 1er août 2025 sont soumis aux exigences de cybersécurité du règlement délégué (UE) 2022/30 (EN 18031). Des modèles comme Z-LTE-CEI et MY2-CEI sont conformes au RED DA ; pour les autres modèles, la déclaration UE de conformité du produit fait foi.

Le CRA exige du fabricant qu’il établisse une nomenclature logicielle (SBOM) dans le cadre de la documentation technique. SENECA intègre la SBOM dans son processus de publication ; les informations sur les composants tiers peuvent être fournies sur demande dans le cadre d’audits et de questionnaires de sécurité.

Téléchargez les firmwares et logiciels uniquement depuis le site officiel www.seneca.it ou via les canaux d’assistance SENECA. Sur les dispositifs de la série PASS / SSD, le firmware est signé numériquement et le démarrage sécurisé empêche le lancement d’images non authentiques.

Changez les identifiants de connexion au premier accès, activez la 2FA lorsqu’elle est disponible, désactivez les services et ports inutilisés, séparez le réseau OT du réseau IT, accédez à distance uniquement via un VPN chiffré (p. ex. LET’S / VPNBOX2), envoyez les journaux vers un SIEM, sauvegardez la configuration et installez régulièrement les mises à jour de sécurité.

À compter du 20/01/2027, le fabricant de la machine doit prendre en compte la protection contre la corruption et les accès non autorisés susceptibles de compromettre la sécurité. Des composants avec des exigences IEC 62443-4-2 documentées, des journaux d’intervention et des mises à jour traçables simplifient cette évaluation.

Oui, sur les dispositifs qui vous appartiennent et dans des environnements de test, dans le respect des règles indiquées sur cette page : aucun impact sur les systèmes en production ou de tiers, aucun DoS contre les services SENECA, aucune activité d’ingénierie sociale. Signalez les résultats à security@seneca.it selon le principe de divulgation coordonnée.