Le règlement européen sur la cyberrésilience (CRA) (règlement (UE) 2024/2847) est un règlement transversal de l’Union européenne. Il s’applique aux produits comportant des éléments numériques dont l’utilisation prévue ou raisonnablement prévisible inclut une connexion de données, directe ou indirecte, à un autre dispositif ou à un réseau. Le CRA est entré en vigueur en décembre 2024 et ses exigences sont introduites progressivement.
Jusqu’à présent, il n’existait pas d’exigence de cybersécurité de base unique couvrant tous les produits matériels et logiciels mis sur le marché de l’Union européenne. Les produits connectés présentant des failles de sécurité constituent une voie d’entrée courante pour les attaquants. Avec le CRA, la cybersécurité devient une condition d’accès au marché, au même titre que la sécurité des produits. La conformité se traduit notamment par l’apposition du marquage CE.
Voici les principaux éléments du règlement européen sur la cyberrésilience.
Table des matières
- À qui s’applique le règlement européen sur la cyberrésilience ?
- Quelles sont les exigences du CRA ?
- Calendrier du CRA : les dates clés à retenir
- Marquage CE et évaluation de la conformité
- Marquage CE et évaluation de la conformité
- Comment CertX / SGS peut vous accompagner
- Informations complémentaires et sources officielles
1. À qui s’applique le règlement européen sur la cyberrésilience ?
Le champ d’application du CRA est large. Il couvre les produits comportant des éléments numériques : les matériels et logiciels dont l’utilisation prévue ou raisonnablement prévisible inclut une connexion de données, directe ou indirecte, à un autre dispositif ou à un réseau.
En pratique, cela comprend :
- Matériels connectés. Par exemple : routeurs, objets connectés pour la maison, objets portables, capteurs industriels, contrôleurs et machines dotés d’interfaces réseau.
- Logiciels autonomes. Cela comprend les systèmes d’exploitation, les applications, les micrologiciels (firmwares) et les composants logiciels mis sur le marché de l’Union européenne, y compris de nombreux produits B2B.
- Traitement de données à distance lié au produit. Les fonctions cloud sans lesquelles le produit ne pourrait pas remplir ses fonctions entrent également dans le champ d’application.
Le CRA concerne l’ensemble de la chaîne d’approvisionnement, et pas uniquement les fabricants. Ces derniers assument les principales obligations, tandis que les importateurs et les distributeurs doivent vérifier que les produits qu’ils mettent sur le marché ou à disposition sur le marché de l’Union européenne sont conformes. Le CRA s’applique aux produits commercialisés dans l’UE, quel que soit le pays où le fabricant est établi. Une entreprise américaine ou britannique qui vend des logiciels dans l’UE est donc concernée au même titre qu’une entreprise allemande.
Certains produits sont exclus du champ d’application parce qu’ils sont déjà couverts par des législations sectorielles spécifiques de l’UE. Il s’agit notamment des dispositifs médicaux, des dispositifs médicaux de diagnostic in vitro, de certains systèmes de véhicules à moteur, des équipements d’aviation civile et des équipements maritimes. Les logiciels libres développés en dehors d’une activité commerciale font également l’objet d’un traitement spécifique, avec un régime allégé pour les gestionnaires de logiciels libres.
2. Quelles sont les exigences du CRA ?
Le CRA porte principalement sur deux aspects :
- la manière dont le produit est conçu et développé ;
- la manière dont sa sécurité est maintenue tout au long de son cycle de vie.
Sécurité dès la conception et sécurité par défaut
L’annexe I du CRA définit les exigences essentielles de cybersécurité auxquelles les produits doivent satisfaire avant leur mise sur le marché. Parmi les principales exigences :
- Absence de vulnérabilités connues exploitables. Les produits doivent être mis sur le marché sans vulnérabilités connues exploitables. Les tests d’intrusion et les évaluations de vulnérabilité avant la mise sur le marché deviennent donc des étapes importantes du processus de développement.
- Paramètres sécurisés par défaut. Les produits doivent être sécurisés dès leur mise en service. Les utilisateurs ne devraient pas avoir à modifier les paramètres de base pour atteindre un niveau de sécurité approprié.
- Protection des données et des fonctionnalités. Les produits doivent garantir la confidentialité, l’intégrité et la disponibilité en fonction des risques. Cela inclut le chiffrement des données pertinentes.
- Réduction de la surface d’attaque. Les produits ne devraient exposer que les interfaces et les services dont ils ont besoin.
Gestion des vulnérabilités tout au long du cycle de vie du produit
Les fabricants doivent mettre en place un processus documenté de gestion des vulnérabilités pendant toute la période de support. Cette période est généralement d’au moins cinq ans, sauf si la durée de vie prévue du produit est plus courte. Le processus doit couvrir l’identification et la correction des vulnérabilités, la fourniture de mises à jour de sécurité, la mise en place d’une politique de divulgation coordonnée des vulnérabilités et la publication d’informations sur les problèmes corrigés.
Pour de nombreuses équipes produit, il s’agit d’un changement important : la sécurité n’est plus une simple exigence à satisfaire au lancement. Elle doit être maintenue pendant toute la durée de support du produit.
Obligations de signalement : déjà applicables
Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant leurs produits. La procédure commence par une alerte précoce dans les 24 heures. Ces obligations de signalement s’appliquent avant la date d’application générale du CRA ; les entreprises doivent donc s’y préparer dès maintenant.
3. Calendrier du CRA : les dates clés à retenir
Voici les principales dates à retenir :
| Date | Ce qui s’applique |
|---|---|
| 10 Décembre 2024 | Entrée en vigueur du CRA |
| 11 Juin 2026 | Application des dispositions relatives aux organismes notifiés, permettant de mettre en place les capacités d’évaluation de la conformité |
| 11 Septembre 2026 | Application des obligations de signalement des vulnérabilités activement exploitées et des incidents graves |
| 11 Décembre 2027 | Application générale du CRA, y compris les exigences essentielles et les obligations relatives au marquage CE |
Décembre 2027 peut sembler encore loin. Mais pour les produits dont les cycles de développement matériel sont longs, qui nécessitent des délais de certification ou qui suivent plusieurs cycles de mise à jour logicielle, cette échéance approche rapidement. Les produits mis sur le marché à partir de cette date devront être conformes. La sécurité dès la conception ne peut pas être ajoutée simplement au dernier moment.
4. Marquage CE et évaluation de la conformité
Le CRA s’inscrit dans le cadre réglementaire européen existant relatif aux produits. Les produits conformes doivent porter le marquage CE, sur la base d’une évaluation de la conformité et d’une documentation technique. La procédure d’évaluation requise dépend de la classification du produit.
Les catégories de produits et les procédures d’évaluation de la conformité correspondantes sont les suivantes :
| Catégorie de produit | Exemples | Procédure d’évaluation de la conformité |
|---|---|---|
| Catégorie par défaut | La plupart des produits comportant des éléments numériques | Autoévaluation par le fabricant |
| Important, Classe I | Gestionnaires de mots de passe, VPN, assistants domotiques, interfaces réseau | Gestionnaires de mots de passe, VPN, assistants domotiques, interfaces réseau |
| Important, classe II | Pare-feu, hyperviseurs, microcontrôleurs résistants à l’altération | Évaluation de la conformité par un tiers |
| Critique | Certification européenne de cybersécurité, lorsqu’elle est requise |
Le conseil et l’évaluation de la conformité sont deux activités distinctes. Les consultants peuvent aider les entreprises à renforcer la sécurité de leurs produits, à préparer leur documentation, à mettre en place des processus de gestion des vulnérabilités et à tester leurs produits. Lorsque le CRA exige une évaluation par un tiers, celle-ci doit être réalisée par un organisme notifié dûment désigné. Ces rôles doivent rester indépendants et impartiaux.
5. Sanctions en cas de non-conformité et préparation
En vertu du CRA, le non-respect des exigences essentielles de cybersécurité peut entraîner des amendes administratives pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’entreprise pour l’exercice précédent, le montant le plus élevé étant retenu. Les autorités de surveillance du marché peuvent également restreindre ou retirer du marché de l’UE les produits non conformes.
En vertu du CRA, le non-respect des exigences essentielles de cybersécurité peut entraîner des amendes administratives pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’entreprise pour l’exercice précédent, le montant le plus élevé étant retenu. Les autorités de surveillance du marché peuvent également restreindre ou retirer du marché de l’UE les produits non conformes.
Les entreprises devraient considérer la conformité au CRA comme un programme continu, intégré aux cycles de développement et de mise à jour des produits, plutôt que comme un exercice de dernière minute en 2027. Voici une démarche pratique :
- Examiner le portefeuille de produits. Examiner le portefeuille de produits. Recenser tous les produits comportant des éléments numériques commercialisés dans l’UE. Vérifier quelles catégories du CRA s’appliquent et identifier la procédure d’évaluation de la conformité correspondante.
- Évaluer les écarts par rapport à l’annexe I. Comparer les pratiques de sécurité actuelles aux exigences essentielles, notamment en matière de paramètres sécurisés par défaut, de mécanismes de mise à jour, de protection des données et de réduction de la surface d’attaque.
- Mettre en place la gestion des vulnérabilités. Établir une politique de divulgation, un processus de réception des signalements, des procédures de correction et un processus de mise à jour couvrant toute la période de support.
- Se préparer aux obligations de signalement. Le délai de signalement de 24 heures est déjà applicable. Définir qui détecte un problème, qui l’évalue et qui soumet la notification.
- Tester avant de déclarer la conformité. Les tests d’intrusion indépendants du produit et de ses mécanismes de mise à jour peuvent aider à identifier des faiblesses qu’une revue interne pourrait ne pas détecter.
- Constituer la documentation technique au fur et à mesure. Tenir à jour, à chaque version du produit, la documentation qui étaye le marquage CE. Cette démarche est beaucoup plus simple que de devoir tout rassembler en une seule fois.
6. Comment CertX / SGS peut vous accompagner
CertX / SGS peut accompagner les fabricants tout au long de leur parcours de mise en conformité avec le CRA :
Sensibilisation et éducation
COMPRENDRE LA RÉGLEMENTATION
Développer la sensibilisation en interne et donner aux équipes les connaissances nécessaires pour comprendre les exigences du CRA et y répondre.
- Formations au CRA adaptées aux équipes dirigeantes et techniques
- Sessions de sensibilisation pour les équipes R&D, ingénierie et qualité
- Sessions de sensibilisation pour les équipes R&D, ingénierie et qualité
- Explication claire des obligations, du champ d’application et du calendrier de mise en œuvre du CRA
Valeur apportée : aider les parties prenantes clés à comprendre leurs responsabilités et les conséquences du CRA pour leurs produits et leurs processus.
Conseil et tests
METTRE EN ŒUVRE LES EXIGENCES
Traduire les exigences réglementaires en mesures concrètes de cybersécurité et en plans de conformité opérationnels.
- Feuille de route de conformité au CRA et accompagnement stratégique
- Évaluations des risques de cybersécurité
- Analyse des écarts par rapport au CRA, couvrant la conception des produits, la documentation technique et les processus
- Architecture de cybersécurité et conception des mesures de sécurité
- Analyse des SBOM (nomenclatures des composants logiciels) et des composants tiers
- Vérification préalable de la cybersécurité des fournisseurs
- Évaluations des vulnérabilités et tests d’intrusion
Valeur apportée : identifier les écarts de conformité, réduire les risques de cybersécurité et accompagner la mise en œuvre des mesures techniques et organisationnelles nécessaires.
Conformité et certification
DÉMONTRER LA CONFORMITÉ
Fournir des évaluations indépendantes et des évaluations de conformité afin de soutenir la conformité réglementaire et l’accès au marché de l’UE.
- Évaluation de la documentation et du dossier technique
- Évaluation de la conformité des produits comportant des éléments numériques
- Services d’organisme notifié (NoBo) pour les catégories de produits concernées (classes importantes et critiques)
- Évaluation de la conformité des produits
- Vérification indépendante des exigences de cybersécurité
Valeur apportée: renforcer la confiance dans la conformité des produits, soutenir l’apposition du marquage CE et faciliter l’accès des fabricants au marché européen.