Cyber Resilience Act : vos produits connectés sont-ils prêts ?

Vous fabriquez un objet connectĂ©, un Ă©quipement dotĂ© d’une connexion Bluetooth, Wi-Fi ou LoRa, ou tout produit connectĂ© qui embarque du logiciel ? Le Cyber Resilience Act (CRA) vous concerne. Ce nouveau règlement europĂ©en impose des exigences de cybersĂ©curitĂ© Ă  tous les produits comportant des Ă©lĂ©ments numĂ©riques vendus dans l’Union europĂ©enne. MĂŞme un simple port rĂ©seau ou une connexion USB suffit Ă  faire entrer un produit dans le champ du CRA. Et le calendrier est plus serrĂ© qu’il n’y paraĂ®t.

Cyber Resilience Act : vos produits connectés sont-ils prêts ?
Deux dates Ă  retenir

Le CRA est entrĂ© en vigueur en dĂ©cembre 2024, mais ses obligations s’appliquent par Ă©tapes.

Première étape, déjà franchie : le 11 septembre 2026. Depuis cette date, les fabricants doivent signaler aux autorités les vulnérabilités activement exploitées et les incidents graves, avec une alerte précoce dans les 24 heures. Cette obligation vaut aussi pour les produits déjà sur le marché.

Deuxième Ă©tape : le 11 dĂ©cembre 2027. Ă€ cette date, toutes les exigences s’appliquent aux nouveaux produits mis sur le marchĂ© (ou aux produits dĂ©jĂ  commercialisĂ©s ayant connu une modification substantielle) : Ă©valuation de conformitĂ©, documentation technique et marquage CE. Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Quatorze mois, cela peut sembler confortable. Pour un produit matĂ©riel, ça ne l’est pas : entre l’idĂ©e, le prototype, l’industrialisation et la certification, un cycle de dĂ©veloppement dure souvent 12 Ă  18 mois. Un produit dont la conception dĂ©marre aujourd’hui sera mis sur le marchĂ© après l’Ă©chĂ©ance. Il doit donc ĂŞtre conçu conforme dès le premier jour.

Ce que le CRA change pour la conception

Le règlement ne demande pas d’ajouter une couche de sĂ©curitĂ© Ă  la fin du projet. Il impose de penser la cybersĂ©curitĂ© dès l’architecture du produit :

  • aucune vulnĂ©rabilitĂ© connue exploitable au lancement, et une configuration sĂ©curisĂ©e par dĂ©faut ;
  • authentification, contrĂ´le d’accès et chiffrement des donnĂ©es sensibles ;
  • une surface d’attaque rĂ©duite au strict nĂ©cessaire ;
  • des mises Ă  jour de sĂ©curitĂ© pendant toute la durĂ©e de support du produit ;
  • un inventaire des composants logiciels (SBOM, pour Software Bill of Materials) et un processus de gestion des vulnĂ©rabilitĂ©s ;
  • une documentation technique complète, conservĂ©e plusieurs annĂ©es.

Ces choix se jouent très tôt : le microcontrôleur retenu, la gestion des clés, le mécanisme de mise à jour à distance, les bibliothèques logicielles utilisées (SBOM). Les corriger après coup coûte cher, et peut même obliger à redessiner la carte électronique.

Tous les produits ne sont pas logés à la même enseigne

Selon sa fonction, un produit entre dans une catĂ©gorie de risque diffĂ©rente. La majoritĂ© des objets connectĂ©s relève de la catĂ©gorie par dĂ©faut, avec une auto-Ă©valuation de conformitĂ©. Les produits plus sensibles, comme certains Ă©quipements industriels, de sĂ©curitĂ© ou de rĂ©seau, peuvent nĂ©cessiter l’intervention d’un organisme tiers. Les dispositifs mĂ©dicaux, eux, restent encadrĂ©s par le règlement MDR.

Identifier la bonne catégorie est la première décision à prendre, car elle conditionne le budget et les délais du projet.

Qui fait quoi

 

Le fabricant reste lĂ©galement responsable de la conformitĂ© de son produit, y compris de la dĂ©claration de conformitĂ©, de la gestion des vulnĂ©rabilitĂ©s et des Ă©changes avec les autoritĂ©s. Il peut toutefois dĂ©lĂ©guer une partie de ces tâches par mandat. Le rĂ´le d’un bureau d’ingĂ©nierie se situe d’abord en amont et pendant la conception : intĂ©grer la sĂ©curitĂ© dans l’architecture Ă©lectronique et logicielle, et produire la documentation technique qui dĂ©montrera la conformitĂ© du produit. Il peut ensuite prolonger son intervention après la mise sur le marchĂ©, en assurant la veille et le signalement aux autoritĂ©s pour le compte du fabricant.

Pourquoi se faire accompagner par Quimesis

Quimesis conçoit des produits connectĂ©s de bout en bout : Ă©lectronique, firmware, mĂ©canique, connectivitĂ©, puis prĂ©paration Ă  la certification et au marquage CE. La cybersĂ©curitĂ© s’intègre naturellement Ă  ce parcours, parce qu’elle se dĂ©cide dans les mĂŞmes choix techniques que le reste du produit.

Concrètement, Quimesis peut :

  • analyser votre produit et dĂ©terminer sa catĂ©gorie au regard du CRA ;
  • identifier les Ă©carts entre votre produit actuel et les exigences du règlement ;
  • intĂ©grer ces exigences dans la conception de votre prochain produit, ou dans l’Ă©volution d’un produit existant ;
  • constituer la documentation technique attendue ;
  • ĂŞtre dĂ©signĂ© mandataire pour gĂ©rer la veille des vulnĂ©rabilitĂ©s du produit, notifier les autoritĂ©s des vulnĂ©rabilitĂ©s activement exploitĂ©es et des incidents graves, ou encore maintenir la documentation technique et la dĂ©claration de conformitĂ©.

Avoir un seul partenaire pour la conception et la conformité évite les allers-retours entre équipes et les mauvaises surprises en fin de projet.

Anticiper coûte moins cher que corriger

Votre produit connectĂ© sera mis sur le marchĂ© après dĂ©cembre 2027 ? Parlons-en maintenant. C’est pendant la conception que la conformitĂ© coĂ»te le moins cher.

Contactez-nous pour une analyse de conformité personnalisée

 

Posté le 26 octobre 2026

Voir toutes les news