Cybersécurité : l’Europe veut rendre les logiciels traçables, composant par composant

Un logiciel n’est presque jamais un produit entièrement autonome. Il repose sur une multitude de bibliothèques, de composants open source, de modules commerciaux et de dépendances développés par des acteurs parfois inconnus de l’entreprise qui l’utilise. Cette architecture constitue l’une des forces de l’économie numérique, mais également l’une de ses principales fragilités.

C’est précisément à cette vulnérabilité structurelle que s’attaque l’ENISA dans son rapport Technical Advisory for Software Bill of Materials. L’agence européenne y défend la généralisation du SBOM, ou Software Bill of Materials, une nomenclature permettant de connaître les composants d’un logiciel, leur origine, leurs versions et les relations de dépendance qui les unissent.

Une chaîne d’approvisionnement numérique largement invisible

Dans l’industrie traditionnelle, un constructeur automobile doit pouvoir identifier ses fournisseurs et les pièces intégrées dans ses véhicules. Dans l’univers logiciel, cette traçabilité demeure plus difficile à garantir.

Un composant vulnérable peut être présent dans des centaines d’applications différentes. Une faille découverte chez un fournisseur peut ainsi affecter simultanément des entreprises, des administrations et des infrastructures critiques.

Le SBOM vise à répondre à cette difficulté en établissant un inventaire structuré et exploitable automatiquement. Deux standards, CycloneDX et SPDX, permettent notamment de partager ces informations entre développeurs, fournisseurs et utilisateurs.

L’objectif ne consiste pas seulement à documenter les logiciels. Il s’agit de permettre aux entreprises d’identifier rapidement les produits exposés lorsqu’une nouvelle vulnérabilité est découverte, puis de déterminer les mesures correctives nécessaires.

Le défi des PME européennes

L’intérêt du rapport réside aussi dans son approche opérationnelle. L’ENISA s’adresse particulièrement aux petites et moyennes entreprises, qui ne disposent pas toujours des équipes ou des moyens nécessaires pour mettre en place une gestion systématique de leurs dépendances logicielles.

L’agence propose une méthode couvrant l’ensemble du cycle de vie du SBOM : production des données, vérification de leur qualité, stockage, mise à jour et utilisation dans les processus de cybersécurité.

Elle insiste sur un point essentiel : produire un inventaire ne suffit pas si celui-ci n’est pas exploité.

Une nomenclature obsolète, incomplète ou impossible à rattacher à une version précise d’un logiciel peut donner une illusion de maîtrise sans permettre de gérer efficacement les risques. L’automatisation et l’intégration aux processus de développement deviennent donc déterminantes.

Une nouvelle dimension de la souveraineté numérique

Au-delà des recommandations techniques, le rapport pose indirectement une question stratégique : comment maîtriser une infrastructure numérique dont on ne connaît pas précisément les composants ?

Pour les entreprises européennes, la dépendance technologique ne se limite pas aux grands fournisseurs de cloud, aux systèmes d’exploitation ou aux plateformes américaines. Elle s’étend à l’ensemble des composants logiciels intégrés dans les produits et services numériques.

Cette fragmentation complique l’identification des risques, mais aussi l’évaluation des dépendances industrielles et technologiques.

La généralisation des SBOM pourrait ainsi renforcer la capacité des organisations à cartographier leur exposition à certains fournisseurs, à identifier des composants critiques et à anticiper les conséquences d’une rupture d’approvisionnement ou d’une vulnérabilité majeure.

Il convient néanmoins de distinguer transparence et souveraineté. Connaître ses dépendances ne signifie pas pouvoir immédiatement les remplacer. La traçabilité constitue une condition nécessaire à une meilleure maîtrise stratégique, mais elle ne garantit pas, à elle seule, l’autonomie technologique.

Le Cyber Resilience Act accélère la transformation

Cette initiative s’inscrit dans le contexte du Cyber Resilience Act européen, qui introduit des exigences de cybersécurité pour les produits comportant des éléments numériques.

Les fabricants concernés doivent notamment renforcer leur capacité à identifier et documenter les composants de leurs produits afin de faciliter la gestion des vulnérabilités.

L’ENISA précise toutefois que son rapport constitue un ensemble de bonnes pratiques et non une interprétation juridique du règlement. Certaines recommandations vont au-delà des obligations réglementaires.

Pour les entreprises, l’enjeu dépasse donc la seule conformité. Il concerne aussi les achats informatiques, les relations fournisseurs, la responsabilité des fabricants et la continuité des activités.

La connaissance des dépendances devient un actif stratégique

La cybersécurité entre progressivement dans une logique comparable à celle de la gestion des risques industriels : identifier les composants critiques, cartographier les fournisseurs, documenter les vulnérabilités et préparer les réponses aux incidents.

Cette évolution pourrait modifier les relations commerciales entre éditeurs, intégrateurs et clients. La capacité à fournir une nomenclature fiable et régulièrement actualisée pourrait devenir un critère de sélection dans certains appels d’offres, notamment pour les organisations les plus exposées.

Reste une difficulté majeure : les SBOM eux-mêmes doivent être fiables, protégés et régulièrement mis à jour. Un inventaire incomplet ou manipulé peut devenir une source supplémentaire de risque.

La véritable rupture n’est donc pas la création d’un nouvel outil documentaire, mais le passage d’une cybersécurité centrée sur les systèmes à une cybersécurité intégrant l’ensemble des dépendances logicielles.

Dans une économie où chaque organisation dépend de technologies développées par une multitude d’acteurs, connaître précisément ce que contiennent ses logiciels devient un impératif de résilience et, potentiellement, un avantage concurrentiel.