Le Cyber Resilience Act (règlement (UE) 2024/2847) impose des exigences de cybersécurité à la quasi-totalité des produits électroniques connectés vendus dans l’Union européenne. Pour un fabricant, cela touche à la fois la conception du matériel, le logiciel embarqué et l’organisation autour du produit tout au long de sa vie.
Les échéances à connaître
| Date | Ce qui s’applique |
|---|---|
| 10 décembre 2024 | Entrée en vigueur du règlement |
| 11 septembre 2026 | Obligation de signaler les vulnérabilités activement exploitées et les incidents graves |
| 11 décembre 2027 | Application de l’ensemble des exigences : sans conformité, plus de marquage CE |
Pour un produit en cours de développement aujourd’hui, la question n’est donc plus si, mais comment intégrer ces exigences.
Notre accompagnement
- Diagnostic : votre produit est-il concerné, dans quelle catégorie, avec quelle procédure d’évaluation
- Analyse de risques cybersécurité du produit
- Sécurité matérielle : protection des interfaces de debug, stockage sécurisé des clés, choix des composants. Voir conception électronique
- Sécurité du firmware : démarrage sécurisé, configuration sûre par défaut, logiciel embarqué robuste
- Mises à jour de sécurité : mécanisme de mise à jour fiable sur toute la période de support
- Documentation technique : éléments attendus pour le dossier de conformité, nomenclature logicielle (SBOM)
Produits existants : anticiper
Les produits déjà sur le marché devront eux aussi être conformes pour continuer à être mis sur le marché après décembre 2027. Une évolution matérielle peut être nécessaire : c’est souvent l’occasion de traiter en même temps l’obsolescence de certains composants.
Pour aller plus loin, lisez notre article : Cyber Resilience Act : ce que les fabricants de produits électroniques doivent préparer.