À propos du rôle
DigiSôter est un cabinet de conseil spécialisé en cybersécurité qui aide les organisations à atteindre et maintenir leur conformité aux réglementations européennes en matière de cybersécurité. Alors que le Cyber Resilience Act (Règlement 2024/2847) redéfinit la manière dont les fabricants, importateurs et distributeurs mettent des produits connectés sur le marché de l'UE, nos clients ont besoin d'un accompagnement expert pour transformer leurs pratiques de développement produit, de documentation et de gestion du cycle de vie avant l'échéance de pleine conformité de décembre 2027 et les obligations de notification des vulnérabilités de septembre 2026. Nous recherchons un Senior Security Consultant indépendant pour rejoindre notre équipe de spécialistes du CRA dans le cadre de missions par projet. Vous interviendrez auprès des clients de DigiSôter en tant que conseiller de confiance pour aider les organisations axées sur les produits à appréhender cette réglementation. En travaillant directement aux côtés des équipes d'ingénierie, de développement et de gestion de produit, vous intégrerez la sécurité au cœur de leurs produits connectés. Il ne s'agit pas d'un exercice de conformité purement administratif : vous opérerez à la croisée de la stratégie produit, de l'ingénierie logicielle et de la réglementation cyber, en incarnant l'expertise et la méthodologie de DigiSôter.
Principales responsabilités
Stratégie et feuille de route de conformité au CRA
- Réaliser des analyses d'écarts par rapport aux exigences essentielles de cybersécurité définies à l'annexe I du CRA, couvrant tant les propriétés de sécurité que les obligations de traitement des vulnérabilités.
- Élaborer des feuilles de route de conformité sur mesure, alignées sur les cycles de publication des produits, en tenant compte de l'échéance de notification de septembre 2026 et de l'étape de pleine conformité de décembre 2027.
- Classifier les produits des clients selon les catégories de produits importants (annexe III) et critiques (annexe IV) du CRA et déterminer les procédures d'évaluation de la conformité applicables (auto-évaluation, tierce partie ou examen UE de type).
- Conseiller sur les obligations réglementaires propres à chaque rôle dans la chaîne d'approvisionnement : fabricant, importateur et distributeur.
Développement de produits sécurisés
- Collaborer étroitement avec les équipes d'ingénierie et de développement pour intégrer les principes de sécurité dès la conception (secure-by-design) et par défaut (secure-by-default) tout au long du cycle de développement logiciel (SDLC).
- Guider les équipes dans la conduite de sessions de modélisation des menaces pour les produits connectés, l'identification des surfaces d'attaque et la définition de mesures de sécurité proportionnées.
- Accompagner la mise en œuvre de pratiques de codage sécurisé, de procédures de revue de code et l'intégration de tests de sécurité automatisés au sein des pipelines CI/CD.
- Conseiller sur les mécanismes de chiffrement, d'authentification, de contrôle d'accès et de protection des données adaptés au profil de risque de chaque produit.
Gestion des vulnérabilités et notification des incidents
- Concevoir et opérationnaliser les processus de traitement des vulnérabilités répondant aux exigences de l'annexe I, section 2 du CRA, y compris les politiques de divulgation coordonnée des vulnérabilités (CVD).
- Établir des flux de travail pour le suivi, le tri et la remédiation des vulnérabilités pendant toute la période de support du produit.
- Préparer les clients à l'obligation de notification obligatoire à l'ENISA (via la plateforme unique de notification) sous 24 heures en cas de vulnérabilité faisant l'objet d'une exploitation active.
- Soutenir la mise en place d'équipes de réponse aux incidents de sécurité des produits (PSIRT) lorsque nécessaire.
SBOM et transparence de la chaîne d'approvisionnement
- Guider les équipes produit dans la génération, la tenue à jour et la gestion des nomenclatures logicielles (SBOM) dans des formats lisibles par machine (CycloneDX, SPDX).
- Évaluer la posture de cybersécurité des composants tiers et open source intégrés dans les produits des clients.
- Conseiller sur les processus de devoir de diligence pour la gestion des risques liés à la chaîne d'approvisionnement logicielle, y compris la surveillance continue des dépendances en amont.
Documentation technique et évaluation de la conformité
- Superviser la préparation de la documentation technique requise en vertu de l'article 31, comprenant les analyses de risques, les spécifications de conception, les résultats de tests et les politiques de mise à jour de sécurité.
- Accompagner la rédaction des déclarations UE de conformité et la constitution des dossiers de marquage CE.
- Assurer la liaison avec les organismes notifiés lorsque l'évaluation de la conformité par un tiers est requise (produits importants de classe II et critiques).
- Veiller à ce que la documentation respecte l'obligation de conservation de 10 ans imposée par la réglementation.
Engagement des parties prenantes et transfert de connaissances
- Agir en tant qu'expert référent du CRA pour les missions clients, en traduisant le langage réglementaire en exigences techniques concrètes pour les équipes d'ingénierie, de développement et de gestion produit.
- Animer des ateliers, des sessions de sensibilisation et des programmes de formation adaptés aux publics techniques (développeurs, architectes, product owners).
- Rédiger des notes de synthèse destinées à la direction générale et aux conseils d'administration concernant l'état de conformité au CRA et le risque résiduel.
- Contribuer à la base de connaissances interne de DigiSôter, aux publications de leadership d'opinion et à la méthodologie de conseil CRA.