Cybersécurité, norme prEN 40000-1-3 et gestion des vulnérabilités pour être conforme aux exigences du CRA (Cyber Resilience Act)
Cette formation vous présente le volet gestion des vulnérabilités pour être conforme au CRA (Cyber Resilience Act) qui est un règlement européen qui impose aux fabricants de produits numériques de prendre en compte la cybersécurité tout au long du cycle de vie de leurs produits. Vous y découvrirez de manière pratique, comment construire votre plan d’action de gestion des vulnérabilités conformément aux exigences du CRA. La mise en place d’un processus adapté vous permettra d’être opérationnel pour renforcez la sécurité de vos projets embarqués et assurez leur conformité réglementaire.
OBJECTIFS
Découvrir les exigences du CRA.
Construire un plan d’action pour la gestion des vulnérabilités d’un système embarqué.
Anticiper les risques d’attaques dès la conception et penser la sécurité du système dans son ensemble pour préparer sa défense.
PUBLIC VISE
Cette formation cible les développeurs, ingénieurs ou techniciens en charge de cybersécurité hardware / logiciel embarqué en charge de cybersécurité.
PREREQUIS
Une expérience en développement de systèmes embarqués est nécessaire.
PC webcam, haut-parleur et micro et une liaison Internet sont requis.
INTERVENANT
Expert en cybersécurité en conception de cartes et programmes embarqués.
Le programme CAP’TRONIC aide, chaque année, 400 entreprises à monter en compétences sur les technologies liées aux systèmes électroniques et logiciel embarqué.
PRIX
Non-adhérent : 950 € HT
Adhérent CAP’TRONIC : 700 € HT
Remarque : Notre certification QUALIOPI vous garantit un process certifié sur nos actions de formation et permet un financement des formations CAP’TRONIC par votre Opérateur de Compétences (OPCO) hors CPF.
LIEU
Formation à distance : Les accès à un outil informatique en ligne adapté seront fournis au stagiaire avant le démarrage de la formation. Aucun logiciel spécifique n’est à installer. Seule une connexion à Internet est requise
DUREE
1 jour - 7 heures
PROGRAMME
Matin
Tour de table
1) Cadre réglementaire et normatif
– Vue d’ensemble du Cyber Resilience Act : périmètre, calendrier, obligations
– Les 8 exigences de gestion des vulnérabilités.
– La prEN 40000-1-3 future norme harmonisée.
Exercice : déterminer la classe de son produit et les exigences qui lui sont applicables.
2) Fondamentaux de la gestion des vulnérabilités
– Cycle de vie d’une vulnérabilité : de la découverte à la remédiation
– L’écosystème CVE : NVD/NIST, cve.org, bases alternatives
– Scores de criticité : *CVSS v3/v4*, EPSS : interprétation et limites
– Le *SBoM* : formats SPDX, CycloneDX, OpenVEX : cas d’usage et interopérabilité
– Notion de *VEX* (Vulnerability Exploitability eXchange) : statuts et workflow
Exercice : lecture et analyse de CVE réelles affectant des composants courants en embarqué
3) Gestion des CVE en pratique : Yocto Scarthgap et Zephyr 3.7
– Génération du SBoM et vérification CVE : principes communs et spécificités selon l’environnement
– Cas Yocto Scarthgap : outillage intégré, gestion des CVE noyau, annotation et export VEX
– Cas Zephyr 3.7 LTS : gestion des dépendances, PSIRT, sources de CVE pertinentes
– Limites des bases CVE publiques et pistes d’amélioration
Après-Midi
Exercice pratique : pipeline CVE complet sur un environnement au choix (Yocto ou Zephyr) : génération du SBoM, analyse, triage et annotation
4) Processus, documentation et obligations déclaratives
– Construire un processus de gestion des vulnérabilités conforme CRA/prEN 40000-1-3
- Veille et détection
- Triage et priorisation
- Remédiation et publication de mise à jour
- Notification aux autorités
– Les artefacts attendus : politique de divulgation coordonnée (CVD), registre de vulnérabilités, VEX, avis de sécurité
– La durée de support et ses implications sur la gestion des vulnérabilités
– Interaction avec la chaîne d’approvisionnement : fournisseurs, composants OSS
Exercice pratique : audit express de ses propres pratiques internes, identification des écarts entre le processus de gestion des vulnérabilités en place et les exigences CRA/prEN 40000-1-3, et définition des actions prioritaires
Tour de table
Le découpage de la formation est proposé à titre indicatif et pourra être adapté
ORGANISATION
Moyens pédagogiques : Outil de visioconférence - Support de cours - Exercices pratiques - Assistance pédagogique assurée par le formateur 1 mois après la formation.
Moyens permettant d’apprécier les résultats de l’action : Évaluation de l’action de formation par l’envoi d’un questionnaire de satisfaction à chaud à l’issue de la formation, puis d’un questionnaire à froid quelques semaines après la formation.
Moyen permettant de suivre l’exécution de l’action : Évaluation des connaissances via un questionnaire avant et après la formation.
Sanction de la formation : Attestation d’assiduité.
RENSEIGNEMENTS ET INSCRIPTION
Sophie BASSE-CATHALINAT - cathalinat@captronic.fr - 06 79 49 15 99
Pour toute question y compris les conditions d’accès pour les publics en situation de handicap.
👉 Préinscription en ligne
Les informations recueillies sur ce formulaire sont enregistrées dans un fichier informatisé par JESSICA France à des fins de communication via emailing. Elles sont conservées jusqu’à votre demande de désinscription et sont destinées aux équipes de JESSICA France localisées en France. Conformément à la loi « informatique et libertés », vous pouvez exercer votre droit d’accès aux données vous concernant et les faire rectifier en contactant contact@captronic.fr
Informations mises à jour le 28/10/2026