Alors que les produits connectés sont désormais omniprésents dans notre quotidien et dans les infrastructures professionnelles, leur cybersécurité devient un enjeu majeur. Pour répondre à cette évolution, le Parlement européen et le Conseil de l’Union européenne ont adopté le Cyber Resilience Act (CRA), un règlement qui imposera prochainement des exigences minimales de cybersécurité pour tous les produits comportant des éléments numériques mis sur le marché européen.
Découvrez l’impact que le Cyber Resilience Act aura sur les équipements connectés de sécurité dans ANPI Magazine 43. L'article complet est également disponible en téléchargement PDF.
Pourquoi un nouveau règlement ?
Objets connectés, systèmes de contrôle, logiciels, applications ou équipements de sécurité : de nombreux produits présentent encore des vulnérabilités susceptibles d'être exploitées par des cyberattaquants.
Mots de passe faibles, absence de mises à jour de sécurité ou défaut de protection des données peuvent transformer un produit connecté en point d'entrée vers des attaques plus larges visant des entreprises, des infrastructures critiques ou des utilisateurs particuliers.
Le Cyber Resilience Act vise à renforcer la sécurité de ces produits dès leur conception et tout au long de leur cycle de vie.
Qui est concerné ?
Le règlement s'applique à tous les fabricants mettant sur le marché européen des produits comportant des éléments numériques, qu'ils soient établis dans l'Union européenne ou non.
Il impose notamment :
- L’intégration de mesures de cybersécurité dès la conception du produit ;
- La gestion et la correction des vulnérabilités pendant toute la durée de vie du produit ;
- Une meilleure transparence envers les utilisateurs ;
- La notification de certaines vulnérabilités et incidents de sécurité.
Les importateurs, distributeurs, organismes d'évaluation de la conformité et autorités de surveillance du marché sont également concernés par certaines dispositions.
Quand le CRA entre-t-il en application ?
Le règlement (UE) 2024/2847 a été publié au Journal officiel de l'Union européenne le 20 novembre 2024.
Son application générale débutera le 11 décembre 2027.
Certaines obligations entreront toutefois en vigueur plus tôt :
- 11 juin 2026 : dispositions relatives à la notification des organismes d'évaluation de la conformité ;
- 11 septembre 2026 : obligations de communication de certaines vulnérabilités et incidents.
Quels impacts pour les produits de sécurité incendie et intrusion ?
Le CRA introduit plusieurs catégories de produits soumises à des procédures d'évaluation de la conformité plus ou moins strictes.
Selon l'analyse publiée par Euralarm, la majorité des produits électroniques de sécurité incendie et de sécurité physique relèvent de la catégorie dite "par défaut".
Certains produits spécifiques, notamment certains équipements de contrôle d'accès ou produits domestiques intelligents intégrant des fonctions de sécurité, peuvent toutefois être classés comme produits importants de classe I, avec des exigences supplémentaires en matière d'évaluation de la conformité.
ANPI suit les évolutions du cadre réglementaire européen
Face à l'émergence de nouvelles exigences en matière de cybersécurité, ANPI suit activement les développements réglementaires européens afin d'accompagner le secteur de la sécurité incendie et de la sûreté dans la compréhension de ces nouvelles obligations.
Forte de son expertise reconnue dans les domaines des essais, de la certification et de l’inspection, ANPI analyse actuellement les impacts du Cyber Resilience Act sur les produits de sécurité incendie et d'intrusion ainsi que les futures opportunités d'accompagnement pour les fabricants.
Se préparer dès aujourd'hui
Même si l'application complète du règlement n'interviendra qu'en 2027, il est recommandé aux fabricants d’anticiper dès maintenant ces nouvelles exigences.
La cybersécurité devient progressivement un critère incontournable de qualité et de confiance, au même titre que la sécurité fonctionnelle ou la conformité réglementaire.
Pour les acteurs de la sécurité incendie et de la sûreté, le CRA constitue une évolution majeure qui renforcera la résilience des produits connectés face aux cybermenaces et contribuera à améliorer la sécurité globale des utilisateurs.
Contactez les experts ANPI pour échanger sur les évolutions réglementaires et rester informé des futures initiatives liées à la cybersécurité des produits connectés.
En savoir plus
- Règlement (UE) 2024/2847 relatif au Cyber Resilience Act
- Centre pour la Cybersécurité Belgique (CCB)
- Euralarm – Produits électroniques de sécurité incendie et de sûreté dans le cadre du CRA
- Ou contactez-nous via certification@anpi.be
