Cyber Resilience Act : vos produits connectés sont-ils prêts ?

Vous fabriquez un objet connecté, un équipement doté d’une connexion Bluetooth, Wi-Fi ou LoRa, ou tout produit connecté qui embarque du logiciel ? Le Cyber Resilience Act (CRA) vous concerne. Ce nouveau règlement européen impose des exigences de cybersécurité à tous les produits comportant des éléments numériques vendus dans l’Union européenne. Même un simple port réseau ou une connexion USB suffit à faire entrer un produit dans le champ du CRA. Et le calendrier est plus serré qu’il n’y paraît.

Cyber Resilience Act : vos produits connectés sont-ils prêts ?
Deux dates à retenir

Le CRA est entré en vigueur en décembre 2024, mais ses obligations s’appliquent par étapes.

Première étape, déjà franchie : le 11 septembre 2026. Depuis cette date, les fabricants doivent signaler aux autorités les vulnérabilités activement exploitées et les incidents graves, avec une alerte précoce dans les 24 heures. Cette obligation vaut aussi pour les produits déjà sur le marché.

Deuxième étape : le 11 décembre 2027. À cette date, toutes les exigences s’appliquent aux nouveaux produits mis sur le marché (ou aux produits déjà commercialisés ayant connu une modification substantielle) : évaluation de conformité, documentation technique et marquage CE. Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Quatorze mois, cela peut sembler confortable. Pour un produit matériel, ça ne l’est pas : entre l’idée, le prototype, l’industrialisation et la certification, un cycle de développement dure souvent 12 à 18 mois. Un produit dont la conception démarre aujourd’hui sera mis sur le marché après l’échéance. Il doit donc être conçu conforme dès le premier jour.

Ce que le CRA change pour la conception

Le règlement ne demande pas d’ajouter une couche de sécurité à la fin du projet. Il impose de penser la cybersécurité dès l’architecture du produit :

  • aucune vulnérabilité connue exploitable au lancement, et une configuration sécurisée par défaut ;
  • authentification, contrôle d’accès et chiffrement des données sensibles ;
  • une surface d’attaque réduite au strict nécessaire ;
  • des mises à jour de sécurité pendant toute la durée de support du produit ;
  • un inventaire des composants logiciels (SBOM, pour Software Bill of Materials) et un processus de gestion des vulnérabilités ;
  • une documentation technique complète, conservée plusieurs années.

Ces choix se jouent très tôt : le microcontrôleur retenu, la gestion des clés, le mécanisme de mise à jour à distance, les bibliothèques logicielles utilisées (SBOM). Les corriger après coup coûte cher, et peut même obliger à redessiner la carte électronique.

Tous les produits ne sont pas logés à la même enseigne

Selon sa fonction, un produit entre dans une catégorie de risque différente. La majorité des objets connectés relève de la catégorie par défaut, avec une auto-évaluation de conformité. Les produits plus sensibles, comme certains équipements industriels, de sécurité ou de réseau, peuvent nécessiter l’intervention d’un organisme tiers. Les dispositifs médicaux, eux, restent encadrés par le règlement MDR.

Identifier la bonne catégorie est la première décision à prendre, car elle conditionne le budget et les délais du projet.

Qui fait quoi

 

Le fabricant reste légalement responsable de la conformité de son produit, y compris de la déclaration de conformité, de la gestion des vulnérabilités et des échanges avec les autorités. Il peut toutefois déléguer une partie de ces tâches par mandat. Le rôle d’un bureau d’ingénierie se situe d’abord en amont et pendant la conception : intégrer la sécurité dans l’architecture électronique et logicielle, et produire la documentation technique qui démontrera la conformité du produit. Il peut ensuite prolonger son intervention après la mise sur le marché, en assurant la veille et le signalement aux autorités pour le compte du fabricant.

Pourquoi se faire accompagner par Quimesis

Quimesis conçoit des produits connectés de bout en bout : électronique, firmware, mécanique, connectivité, puis préparation à la certification et au marquage CE. La cybersécurité s’intègre naturellement à ce parcours, parce qu’elle se décide dans les mêmes choix techniques que le reste du produit.

Concrètement, Quimesis peut :

  • analyser votre produit et déterminer sa catégorie au regard du CRA ;
  • identifier les écarts entre votre produit actuel et les exigences du règlement ;
  • intégrer ces exigences dans la conception de votre prochain produit, ou dans l’évolution d’un produit existant ;
  • constituer la documentation technique attendue ;
  • être désigné mandataire pour gérer la veille des vulnérabilités du produit, notifier les autorités des vulnérabilités activement exploitées et des incidents graves, ou encore maintenir la documentation technique et la déclaration de conformité.

Avoir un seul partenaire pour la conception et la conformité évite les allers-retours entre équipes et les mauvaises surprises en fin de projet.

Anticiper coûte moins cher que corriger

Votre produit connecté sera mis sur le marché après décembre 2027 ? Parlons-en maintenant. C’est pendant la conception que la conformité coûte le moins cher.

Contactez-nous pour une analyse de conformité personnalisée

 

Posté le 26 octobre 2026

Voir toutes les news