A PROPOS DE CYBERSÉCURITÉ DANS LES VÉHICULES CONNECTÉS ( 2ème partie)

 
UN RÈGLEMENT QUI VA S’IMPOSER, DE FACTO, AUX FOURNISSEURS

Il ressort de façon assez flagrante de ce règlement que les relations entre le constructeur et ses fournisseurs est traité spécifiquement : ceux-ci sont visés à neuf reprises dans le corps du texte.

Le constructeur est rendu responsable et comptable de ses propres fournisseurs, qu’il doit répertorier et dont il doit suivre le fonctionnement.

 
En sa qualité « d’assembleur », le constructeur devra également s’assurer que tous les composants numériques fonctionnent parfaitement entre eux une fois assemblés les uns avec les autres et que leur interconnexion n’est pas en elle-même vecteur de risques dérivés. Obligation donc de les vérifier individuellement mais également collectivement.

Cela veut dire, en réalité, ausculter les processus de traitement du risque cyber afin de gérer, pour le type de véhicule à homologuer, les risqués liés aux fournisseurs.
Pour ce faire, et de façon tout à fait classique, le constructeur va (tenter de) reporter – au moins en partie – sur son fournisseur un certain nombre des obligations dont le Règlement le rend redevable. Il le restera, au titre de l’homologation mais la charge du travail préparatoire sera reporté sur les fournisseurs. 

 
Le constructeur va donc tenter d’exiger de son fournisseur que celui-ci adopte les mêmes processus que ceux qui sont imposés au constructeur lui-même.

Bien que visant les constructeurs, ce règlement va s’imposer indirectement aux fournisseurs dont il sera exigé qu’ils apportent à leurs clients des garanties que leurs produits et services n’exposent pas lesdits clients à un refus d’homologation ou au retrait de celle-ci.


UNE COLLABORATION ET DES CLAUSES D’AUDIT ENCORE RENFORCÉES ?
Les obligations de collaboration et les clauses d’audit des contrats de fourniture devraient être amenées à évoluer pour tenir spécifiquement compte de ce nouveau règlement.

 
Il s’agira néanmoins d’une négociation mais il faudra identifier, s’agissant des fournisseurs, toutes les clauses qui intégreraient, plus ou moins discrètement, de telles obligations. 

 

On s’attardera également à identifier celles qui, sans porter directement cette obligation, auraient pour effet de la faire supporter exclusivement au fournisseur. La négociation devra être menée avec de grandes précautions puisque les enjeux sont ici plus que substantiels.



LE REFUS D’HOMOLOGATION
L’homologation pourra être refusée, notamment si le constructeur n’est pas en mesure de démontrer qu’il a suivi les processus d’évaluation, s’il n’a pas tenu compte de ces évaluations et n’a pas corrigé les failles découvertes ou mitigé les risques, et n’a pas réalisé des tests sur les mesures correctives. 

 
Enfin, elle sera refusée si les environnements de stockage et d’exécution des logiciels, services, applications ou données du marché secondaire ne sont pas non plus sécurisés. Ce n’est donc pas seulement la sécurité des composants internes du véhicule qui doit être assuré mais celle de tous les composants qui participent, in situ ou à distance, au bon fonctionnement du véhicule.

 

Fin de la seconde partie. La suite est ici.