Descriptif du poste:\n\nContexte de la mission \n\n\nLe Cyber Resilience Act (CRA), dont l’application est prévue à partir de 2027, impose aux fabricants de produits comportant des éléments numériques des exigences inédites de cybersécurité tout au long du cycle de vie : sécurité dès la conception, gestion des vulnérabilités, documentation technique réglementaire, déclaration de conformité et signalement d’incidents. \nAVISTO intervient auprès d’un acteur majeur de l’industrie des semi-conducteurs pour l’accompagner dans l’intégration concrète de ces exigences CRA au sein des méthodes et processus de développement d’un produit en particulier (familles de composants sécurisés telles que ST31, ST54, ou gammes similaires), depuis la spécification du besoin jusqu’à la fabrication. Mission de 1 à 2 ans. \n\nVos missions \n- Intégration des exigences CRA dans le cycle de vie produit \n- Réalisation d’une analyse d’écart (gap analysis) entre les processus de développement produit existants et les exigences applicables du Cyber Resilience Act, en tenant compte de la catégorie du produit (classe I / classe II ou critique). \n- Définition et mise en place d’un plan de mise en conformité CRA couvrant l’ensemble du cycle de vie : spécification, conception, développement, tests, fabrication, livraison, fin de vie. \n- Intégration des exigences « security by design » dans les processus de développement : identification des cas d’usage de sécurité, exigences de sécurité dès la spécification, revues de sécurité aux jalons clés. \n- Mise en place ou renforcement d’un processus de gestion des vulnérabilités conforme au CRA : identification, évaluation, divulgation coordonnée (CSAF/VEX), mise à jour de sécurité, politique de support. \n- Structuration de la documentation technique réglementaire requise par le CRA : déclaration de conformité UE, dossier technique, SBOM (Software Bill of Materials), instructions d’utilisation sécurisée. \n- Accompagnement opérationnel des équipes produit \n- Appui quotidien des équipes certification produit dans l’application des processus CRA tout au long du développement du produit (ST31, ST54, ou gammes équivalentes). \n- Coordination avec les équipes R&D, qualité, industrialisation, juridique et supply chain pour assurer la cohérence de la démarche de conformité à chaque phase. \n- Préparation des livrables nécessaires aux démarches de certification et d’évaluation (Critères Communs, normes sectorielles), en les articulant avec les exigences CRA. \n- Identification et remontée des risques de non-conformité CRA au fil de l’avancement du projet, avec proposition d’actions correctives priorisées. \n- Suivi des jalons réglementaires et reporting auprès du management produit et de la direction certification. \n- Capitalisation et structuration méthodologique \n- Construction d’un référentiel méthodologique CRA réutilisable : modèles de documents, checklists par phase, matrices de traçabilité exigences / livrables. \n- Capitalisation des retours d’expérience en vue de l’extension de la démarche à d’autres produits de la gamme. \n\nL'agence de rattachement de cette offre se situe à Aix.\n\nProfil recherché:\n\nProfil recherché \n\n\nCompétences et savoir-faire attendus \n\n\nBonne connaissance du Cyber Resilience Act (CRA) : périmètre d’application, obligations des fabricants, exigences essentielles de cybersécurité (Annexe I), obligations de signalement, processus d’évaluation de la conformité. \nExpérience en cycle de vie produit ou en certification de produits de sécurité (composants sécurisés, cartes à puce, secure elements, IoT) dans un environnement réglementé. \nCapacité à traduire des exigences réglementaires abstraites en actions concrètes au sein d’un cycle de développement produit existant. \nRigueur documentaire : aptitude à produire et maintenir une documentation technique de niveau réglementaire (dossier technique, SBOM, déclaration de conformité, politique de vulnérabilités). \nAutonomie, sens du cadrage, et capacité à s’inscrire dans la durée (1 à 2 ans) au sein d’une équipe produit dédiée. \nBon relationnel pour travailler en transverse avec des interlocuteurs variés (R&D, qualité, juridique, industrialisation, certification). \n\n\nAtouts selon le périmètre de mission \n\n\nConnaissance des référentiels Critères Communs / Common Criteria, ISO/SAE 21434, ou autres normes de certification hardware/software applicables aux semi-conducteurs sécurisés. \nExpérience antérieure chez un fabricant de semi-conducteurs ou au sein d’un laboratoire/organisme de certification (CESTI, laboratoire accrédité CC…). \nConnaissance des familles de composants sécurisés de type ST31, ST54, ou équivalents. \nFamiliarité avec les outils de gestion des vulnérabilités (CVE, CVSS, VEX/CSAF) et la notion de SBOM.