Depuis le 11 septembre 2026, les fabricants de produits connectés vendus dans l’Union européenne doivent signaler les vulnérabilités activement exploitées dans leurs produits. Ce n’est que la première étape du Cyber Resilience Act (CRA), le règlement (UE) 2024/2847, dont l’ensemble des exigences s’appliquera le 11 décembre 2027. Pour un produit en cours de conception, c’est donc demain.
Quels produits sont concernés ?
Le CRA s’applique aux produits comportant des éléments numériques : en pratique, tout matériel ou logiciel dont l’usage prévu implique une connexion, directe ou indirecte, à un autre appareil ou à un réseau. Un capteur Bluetooth, une passerelle industrielle, un thermostat connecté ou un équipement doté d’un simple port de configuration USB peuvent être concernés.
Certains produits déjà couverts par des réglementations spécifiques (dispositifs médicaux, automobile, aéronautique…) en sont exclus. Les produits sont ensuite classés selon leur criticité : catégorie par défaut, produits importants (classes I et II) et produits critiques, avec des procédures d’évaluation de la conformité plus ou moins exigeantes.
Les échéances
| Date | Ce qui s’applique |
|---|---|
| 10 décembre 2024 | Entrée en vigueur du règlement |
| 11 juin 2026 | Dispositions relatives aux organismes d’évaluation de la conformité |
| 11 septembre 2026 | Signalement des vulnérabilités activement exploitées et des incidents graves |
| 11 décembre 2027 | Application de l’ensemble des exigences |
Ce que le CRA exige du produit
Les exigences essentielles portent sur la conception même du produit. Parmi les principales :
- Aucune vulnérabilité exploitable connue au moment de la mise sur le marché
- Configuration sécurisée par défaut, avec possibilité de revenir à l’état d’origine
- Protection contre les accès non autorisés : authentification, gestion des identifiants
- Confidentialité et intégrité des données stockées et transmises
- Réduction de la surface d’attaque, y compris les interfaces externes
- Mises à jour de sécurité, si possible automatiques, pendant toute la période de support
Ce que le CRA exige du fabricant
Au-delà du produit, le fabricant doit organiser la gestion des vulnérabilités sur la durée :
- Une période de support d’au moins cinq ans en règle générale, sauf si la durée d’utilisation prévue du produit est plus courte
- Une nomenclature logicielle (SBOM) recensant les composants logiciels utilisés
- Une politique de divulgation des vulnérabilités et un point de contact
- Le signalement des vulnérabilités activement exploitées et des incidents graves dans des délais très courts : alerte précoce sous 24 heures, notification sous 72 heures
- Une documentation technique et une évaluation de la conformité, conditions du marquage CE
Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial pour le non-respect des exigences essentielles.
Les conséquences sur la conception électronique
Le CRA ne se traite pas uniquement dans le logiciel. Plusieurs décisions se prennent dès la conception électronique :
- Choix du microcontrôleur : démarrage sécurisé, stockage protégé des clés, accélérateurs cryptographiques
- Interfaces de debug : verrouillage en production des accès JTAG/SWD et des ports de service
- Mémoire : capacité suffisante pour des mises à jour fiables, avec retour arrière en cas d’échec
- Durée de vie : la période de support impose de pouvoir fabriquer et mettre à jour le produit pendant des années, ce qui renforce l’importance de la gestion de l’obsolescence
Côté logiciel embarqué, il faut prévoir un mécanisme de mise à jour authentifié, maintenir la liste des bibliothèques utilisées et suivre leurs vulnérabilités.
Par où commencer ?
- Inventorier vos produits concernés et leur catégorie
- Évaluer l’écart entre leur conception actuelle et les exigences essentielles
- Intégrer les exigences dans les produits en développement, et planifier les évolutions des produits existants
- Organiser la veille, le traitement et le signalement des vulnérabilités
I2R accompagne les PME et start-up dans cette démarche, du diagnostic à la conception de produits conformes. Découvrez notre accompagnement Cyber Resilience Act ou parlons de votre projet.
Cet article présente les grandes lignes du règlement à des fins d’information. Pour votre cas particulier, référez-vous au texte officiel publié au Journal officiel de l’Union européenne : règlement (UE) 2024/2847.