Un objet connecté mal protégé peut exposer des données personnelles, servir de point d’entrée sur un réseau ou rester vulnérable après sa vente. Le règlement européen sur la cyberrésilience change la responsabilité des fabricants en faisant de la sécurité une exigence du cycle de vie du produit.
En 2026, les premières échéances approchent, tandis que l’application complète est prévue en décembre 2027. Pour préparer les bonnes décisions, il faut d’abord comprendre quels produits sont concernés et quelles exigences de conception s’appliquent.
A retenir :
- Sécurité intégrée dès la conception et configuration initiale protégée
- Gestion documentée des vulnérabilités pendant le support annoncé
- Notification rapide des failles activement exploitées dès septembre 2026
- Marquage CE requis pour les produits concernés à partir de décembre 2027
Champ d’application du Cyber Resilience Act pour les objets connectés
Cette obligation de sécurité commence par une question pratique : le produit entre-t-il dans le champ du règlement ? Selon le règlement (UE) 2024/2847, le CRA couvre les produits numériques dont l’usage prévu ou raisonnablement prévisible implique une connexion directe ou indirecte.
Produits connectés concernés et exceptions sectorielles
Cette définition englobe le matériel et les logiciels commercialisés comme produits, y compris certains composants destinés à être intégrés ailleurs. Une caméra domestique, un routeur industriel ou un logiciel téléchargeable peuvent donc être concernés, même si leurs usages diffèrent.
Les services en nuage seuls ne relèvent pas du CRA en tant que produits, mais un logiciel vendu qui s’appuie sur eux peut rester concerné. Certains secteurs, notamment les dispositifs médicaux et l’aéronautique, relèvent de régimes spécifiques prévus par la réglementation européenne.
Repères pour qualifier un produit :
- Objets grand public avec connexion réseau ou application associée
- Équipements professionnels et industriels dotés d’interfaces de communication
- Logiciels autonomes et composants numériques intégrés à d’autres produits
- Produits couverts par une réglementation sectorielle spécifique à vérifier
Classes de risque et évaluation de conformité
Après l’identification du produit, sa classification détermine la procédure d’évaluation à préparer. Le CRA distingue le régime par défaut, les produits importants répartis en classes et les produits critiques soumis à des exigences renforcées.
Selon la Commission européenne, les modalités dépendent de la catégorie et des normes ou certifications applicables. Un fabricant ne doit donc pas présumer qu’une auto-évaluation suffira : il lui faut vérifier la classification exacte de chaque référence.
Catégorie
Exemples de périmètre
Conséquence générale
Régime par défaut
Majorité des produits numériques concernés
Évaluation généralement réalisée par le fabricant
Produit important, classe I
Catégorie définie par le règlement et ses actes associés
Procédure liée aux normes harmonisées ou à une certification reconnue
Produit important, classe II
Produits présentant une criticité supérieure
Évaluation de conformité plus exigeante
Produit critique
Catégorie critique définie au niveau européen
Exigences renforcées et certification possible
Exigences de sécurité dès la conception des objets connectés
Une fois le périmètre clarifié, le travail se déplace vers l’ingénierie : la sécurité doit guider les choix avant la mise sur le marché. Selon le CRA, le niveau de protection attendu doit être adapté aux risques du produit et à son usage.
Authentification forte et configuration sécurisée
Une configuration sécurisée évite les mots de passe universels, les comptes inutiles et les accès ouverts par défaut. L’authentification forte et la gestion des accès limitent ensuite les privilèges de chaque utilisateur ou service.
La sécurité des communications et le chiffrement des données protègent les échanges et les informations stockées, tandis que la minimisation des données réduit les conséquences d’une compromission. Pour les appareils équipés de cette fonction, le démarrage sécurisé aide à empêcher le chargement d’un micrologiciel non autorisé.
Mesures de conception à intégrer :
- Authentification adaptée et contrôle des privilèges
- Chiffrement des données sensibles et sécurité des communications
- Mécanisme fiable de vérification des mises à jour sécurisées
- Journalisation utile et réduction de la surface d’attaque
Gestion des vulnérabilités et mises à jour sécurisées
Ces protections doivent tenir dans la durée, car un produit peut recevoir des composants vulnérables après sa commercialisation. Le fabricant doit documenter le traitement des failles, faciliter leur signalement et fournir des correctifs pendant la période de support annoncée.
Le règlement prévoit une période de support reflétant la durée d’utilisation attendue, avec une référence minimale de cinq ans, sauf durée prévue plus courte. Un inventaire logiciel, souvent appelé SBOM, aide à repérer les composants concernés lorsqu’une vulnérabilité est révélée.
Exigence
Action du fabricant
Intérêt opérationnel
Suivi des composants
Maintenir un inventaire logiciel exploitable
Identifier les produits touchés par une faille
Correctifs
Distribuer des mises à jour authentifiées
Réduire l’exposition sans modifier inutilement les fonctions
Support
Définir et communiquer sa durée
Informer l’acheteur sur la maintenance de sécurité
Signalement
Organiser la réception et le traitement des alertes
Accélérer l’analyse et la correction des vulnérabilités
Un processus de correction éprouvé renforce aussi la résistance aux attaques et prépare l’entreprise aux obligations de notification. Le calendrier réglementaire devient alors le prochain repère concret pour organiser les responsabilités.
Calendrier du CRA et préparation des fabricants en 2026
Le calendrier confirme que certaines obligations arrivent avant l’application complète du règlement. Selon EUR-Lex, le texte est entré en vigueur en décembre 2024 et prévoit plusieurs jalons distincts pour les acteurs concernés.
Échéances de notification et application complète
Les obligations liées à la notification des vulnérabilités activement exploitées et des incidents graves s’appliquent à partir du 11 septembre 2026. Pour une vulnérabilité exploitée, le dispositif prévoit un avertissement précoce dans les vingt-quatre heures après sa découverte, puis une notification dans les soixante-douze heures.
L’application complète des principales exigences produit, dont l’évaluation de conformité et le marquage CE, est fixée au 11 décembre 2027. Le délai restant peut sembler confortable, mais la cartographie des références et l’adaptation des processus de développement demandent souvent un travail coordonné.
Date
Jalon
Action à anticiper
10 décembre 2024
Entrée en vigueur du règlement
Examiner le périmètre des produits
11 juin 2026
Dispositions concernant les organismes d’évaluation
Surveiller les modalités d’évaluation applicables
11 septembre 2026
Application des obligations de notification prévues
Tester la chaîne d’alerte et de réponse
11 décembre 2027
Application complète des exigences produit
Préparer conformité, documentation et marquage CE
Responsabilités des fabricants, importateurs et distributeurs
Pour respecter ces échéances, chaque acteur doit savoir où commence sa responsabilité dans la chaîne d’approvisionnement. Le fabricant porte les obligations principales de conception, de conformité, de documentation et de traitement des vulnérabilités.
L’importateur vérifie notamment la conformité et le marquage avant la mise sur le marché, tandis que le distributeur exerce une diligence adaptée. Une modification substantielle peut toutefois faire assumer à l’entreprise qui l’effectue le rôle et les obligations d’un fabricant.
Premières étapes de préparation :
- Cartographier les produits numériques vendus dans l’Union européenne
- Vérifier leur classe et les règles sectorielles applicables
- Automatiser l’inventaire logiciel et la veille sur les vulnérabilités
- Tester la procédure de signalement et de notification réglementaire
Selon l’ENISA, la notification passe par un dispositif européen destiné à transmettre les signalements aux autorités compétentes. Une préparation documentée aide donc à protéger les utilisateurs, à répondre aux échéances et à démontrer la maîtrise du cycle de vie du produit.
Source : Parlement européen et Conseil, « Règlement (UE) 2024/2847 », Journal officiel de l’Union européenne, 23 octobre 2024.
