Le marquage « Conformité Européenne » (CE) a toujours indiqué qu’un produit respectait les normes de sécurité de l’Union européenne. À partir de 2027, il certifiera également un nouvel aspect : que votre produit connecté a été conçu dès le départ avec une sécurité cryptographique intégrée. La loi sur la cyber-résilience (CRA) fait de la cybersécurité « sécurisée dès la conception » une obligation légale pour tout produit hardware ou software comportant un élément numérique et commercialisé dans l’Union européenne.
Pour les produits numériques (et tout ce qui les entoure), cela change la donne. À compter de la date d'entrée en vigueur, les produits commercialisés sans identifiant unique d'appareil, sans mises à jour de micrologiciel signées ou sans chiffrement activé par défaut ne pourront plus bénéficier du marquage CE. L'absence de marquage CE empêche l'accès au marché de l'Union européenne.
Ce guide présente en détail les exigences de l'ARC, les entités concernées, les sanctions en cas de non-respect ainsi que les mesures concrètes que vous pouvez prendre dès maintenant pour vous préparer à un contrôle avant la date limite de décembre 2027.
Ce qu'exige réellement la loi sur la cyber-résilience
La loi sur la cyber-résilience, officiellement le règlement (UE) 2024/2847, est la première législation horizontale de l’UE imposant une cybersécurité intégrée dès la conception pour les produits comportant un élément numérique. Elle s’applique à tout produit comportant des éléments numériques mis sur le marché de l’UE : hardware, software, ainsi qu’à toute solution de traitement de données à distance faisant partie intégrante du fonctionnement du produit. Le règlement lie directement la conformité au marquage CE.
La CRA classe les obligations en deux catégories. L'annexe I, partie I, traite des exigences en matière de conception de la sécurité des produits et précise comment ceux-ci doivent être fabriqués. L'annexe I, partie II, traite des exigences relatives à la gestion des vulnérabilités tout au long du cycle de vie et définit la manière dont les fournisseurs doivent assurer le suivi des produits après leur vente.
Contrairement aux cadres réglementaires précédents, qui s'appuyaient sur des formulations vagues concernant des « mesures de sécurité appropriées », la CRA entre dans le détail. Les produits numériques doivent être livrés avec une protection cryptographique garantissant la confidentialité et l'intégrité des données activée par défaut, des mises à jour de l'software et du micrologiciel vérifiées par cryptographie, ainsi qu'un mécanisme sécurisé d'identité et d'authentification. Ces exigences doivent être justifiées par une évaluation des risques de cybersécurité spécifique au produit, plutôt que par une liste de contrôle standard.
Les trois incontournables de la cryptographie
La CRA aborde la cryptographie à travers plusieurs exigences essentielles figurant à l’annexe I. Trois domaines requièrent une attention immédiate de la part des équipes chargées de la sécurité des produits.
Données chiffrées au repos et en transit. Les produits doivent protéger les données concernées à l’aide de mécanismes de chiffrement de pointe. Cela s’applique aussi bien aux données stockées qu’aux données transmises entre les appareils. L’ PKI , qui délivre les certificats d’appareil et de session, constitue la pierre angulaire de cette exigence.
Mises à jour signées du micrologiciel et d'software . Les mises à jour de sécurité doivent être signées cryptographiquement et diffusées sans délai, gratuitement, pendant toute la durée de la période de support obligatoire. La vérification doit avoir lieu avant l'installation. Les mises à jour automatiques doivent être activées par défaut.
Identité sécurisée des appareils. Les produits doivent être livrés avec une configuration par défaut sécurisée et un contrôle d’accès basé sur l’identité. Concrètement, cela signifie une identité cryptographique unique attribuée lors de la fabrication, et non des identifiants partagés ou par défaut.
Ces trois fonctionnalités sont interdépendantes. Sans une identité d'appareil solide, il est impossible d'établir des canaux authentifiés et sécurisés. Sans mises à jour signées, il est impossible de corriger des vulnérabilités sans en introduire de nouvelles. Sans chiffrement, la confidentialité des données est compromise dès la première interception.
Qui est concerné et quel est le coût d'une non-conformité ?
La CRA a une portée très large. Elle s'applique à pratiquement tous les produits ou services connectés ( software ) commercialisés dans l'UE, quelle que soit leur origine. La plupart des produits relèvent de la catégorie par défaut, soumise à des obligations standard. Les produits importants (figurant à l’annexe I, classes I et II) et les produits critiques sont soumis à des exigences d’évaluation de la conformité plus strictes. Ces catégories comprennent les systèmes de gestion des identités, les VPN software et les passerelles de compteurs intelligents. De plus, les produits critiques de l’annexe IV, tels que les passerelles de compteurs intelligents, les cartes à puce et les éléments sécurisés, ainsi que les dispositifs d’ hardware s équipés de boîtiers de sécurité, peuvent être soumis à une certification européenne obligatoire en matière de cybersécurité par voie d’acte délégué. Le règlement s’applique à la quasi-totalité des acteurs de la chaîne d’approvisionnement, à commencer par les fabricants. Les importateurs doivent vérifier la conformité du fabricant avant de mettre un produit à disposition sur le marché de l’UE. Les distributeurs sont soumis à des obligations de vérification similaires. Les gestionnaires de services de « Open-source » qui distribuent commercialement des « software » comportant des éléments numériques peuvent également être concernés, sous certaines conditions définies dans le règlement.
Les sanctions sont lourdes. Tout manquement peut entraîner des amendes pouvant atteindre environ 15 millions ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des sanctions financières, les produits non conformes perdent le marquage « CE » requis pour accéder au marché de l'UE. La CRA passe ainsi du statut de réglementation en matière de sécurité à celui d'exigence d'accès au marché.
Les échéances à ne pas manquer : 2027 et le délai plus court de 2026
Le calendrier de l'ARC laisse moins de marge de manœuvre qu'il n'y paraît. Les exigences essentielles devront être pleinement mises en œuvre d'ici le 11 décembre 2027. Toutefois, les obligations de signalement des vulnérabilités et des exploitations actives prendront effet plus tôt, dès septembre 2026.
Trente-six mois semblaient constituer un délai confortable, mais ce temps s'écoule rapidement pour ceux qui doivent repenser leurs produits. La refonte de produits qui n’ont jamais été conçus avec une identité unique par appareil nécessite des changements au niveau de l’ hardware , la mise à jour des chaînes de fabrication et la coordination de la chaîne d’approvisionnement. La mise en place d’un processus de signature pour les mises à jour du micrologiciel implique la mise en place d’une infrastructure de gestion des certificats (PKI ), de procédures de gestion des clés et de canaux de distribution sécurisés. La constitution d’un inventaire cryptographique pour chaque bibliothèque et chaque algorithme embarqués sur l’ensemble des gammes de produits nécessite un recensement systématique et une maintenance continue.
Les entreprises qui ont attendu 2026 pour se lancer se retrouvent aujourd'hui à la recherche de solutions. La situation se complique encore davantage si l'on tient compte du fait que les produits industriels, les systèmes automobiles et les appareils connectés ont souvent des cycles de développement qui se mesurent en années, et non en mois. Il n'est pas trop tard, mais le temps presse.
Mise en correspondance des exigences de la CRA avec les contrôles cryptographiques
Le CRA aborde la cryptographie à travers six domaines de contrôle ayant des implications directes sur la mise en œuvre.
| Zone de contrôle | Référence CRA | Approche de mise en œuvre |
| Confidentialité des données stockées et en transit | Annexe I, partie I, § 2, point e) | Chiffrer les données pertinentes à l'aide de mécanismes de pointe, avec le soutien d'PKI , qui délivre des certificats pour les appareils et les sessions |
| Intégrité des données, des commandes et de la configuration | Annexe I, partie I, paragraphe 2, point f) | Protéger les commandes, les programmes et les paramètres de configuration contre toute manipulation non autorisée grâce à une configuration signée et à des canaux authentifiés |
| Configuration et identité sécurisées par défaut | Annexe I, partie I, § 2, points b) et d) | Livrer les produits avec une configuration par défaut sécurisée et un identifiant unique attribué lors de la fabrication |
| Mécanisme de mise à jour sécurisé | Annexe I, partie I, paragraphe 2, point c) ; Annexe I, partie II, paragraphe 7 | Signer cryptographiquement les mises à jour de sécurité et les diffuser sans délai pendant toute la durée du support |
| Visibilité des composants cryptographiques | Impliqué dans l'évaluation des risques ; prévu à l'annexe K | Identifier et suivre les bibliothèques et algorithmes cryptographiques intégrés dans le produit et ses dépendances |
| Suppression sécurisée des données | Annexe I, partie I, paragraphe 2, point m) | Permettre la suppression sécurisée et définitive des données et des paramètres, y compris la destruction des clés cryptographiques |
Chaque domaine de contrôle nécessite à la fois une mise en œuvre technique et une documentation. Les évaluations de conformité permettront de vérifier si vos choix en matière de conception cryptographique sont documentés, justifiés au regard des risques et mis en œuvre de manière vérifiable. Dans le cadre de la loi sur la cyber-résilience, la simple intention ne suffit pas.
Se préparer à l'audit avant que l'organisme notifié ne le demande
Les évaluations de conformité de la CRA portent principalement sur les preuves de la mise en œuvre des contrôles, et non pas uniquement sur la documentation relative aux politiques. Que vos produits fassent l'objet d'une auto-déclaration de conformité ou d'un examen par un organisme notifié, les évaluateurs se pencheront sur des aspects spécifiques. Répondre aux questions suivantes vous aidera à vous préparer à l'avance.
- Inventaire des composants cryptographiques. L'organisation tient-elle un inventaire de toutes les bibliothèques et de tous les algorithmes cryptographiques intégrés au produit, y compris les dépendances héritées ? Si vous n'êtes pas en mesure de fournir cet inventaire, vous ne pourrez pas indiquer à l'autorité de régulation ce qui est réellement exposé lorsque la prochaine faille de sécurité se produira.
- Documentation relative à l'évaluation des risques. L'organisation a-t-elle réalisé et documenté une évaluation des risques de cybersécurité spécifique au produit, justifiant ses choix en matière de conception cryptographique ? Des politiques de sécurité génériques ne suffisent pas.
- Attribution d'une identité à l'appareil. Une identité cryptographique unique est-elle attribuée à chaque appareil lors de sa fabrication ? Les identifiants partagés ou par défaut ne répondent pas à cette exigence.
- Pipeline de mises à jour signées. L'organisation est-elle en mesure de démontrer que les mises à jour du micrologiciel et de l'software sont signées cryptographiquement et vérifiées avant leur installation ? Les mises à jour automatiques doivent être activées par défaut.
- Effacement sécurisé et destruction des clés. Le produit prend-il en charge la suppression sécurisée des données, y compris la destruction des clés cryptographiques, en cas de transfert de propriété ou de mise hors service ?
- Engagements relatifs à la durée de prise en charge. La durée obligatoire de la prise en charge des mises à jour de sécurité est-elle documentée et communiquée aux utilisateurs ? Elle est d’au moins cinq ans ou correspond à la durée de vie prévue du produit si celle-ci est plus courte.
Comment Keyfactor peut vous aider
Keyfactor fournit l'PKI et l'infrastructure de gestion du cycle de vie des certificats dont les fabricants ont besoin pour se conformer aux exigences cryptographiques de la CRA. La plateforme couvre chacun des six domaines de contrôle grâce à des fonctionnalités spécialement conçues à cet effet.
AgileSec détecte et recense les ressources cryptographiques dans l'ensemble des produits et des dépendances, offrant ainsi aux fournisseurs la visibilité nécessaire pour évaluer leur exposition aux risques et planifier les mesures correctives.
EJBCA fournit une solution d'PKI de niveau entreprise qui émet des certificats pour les appareils, authentifie les canaux sécurisés et prend en charge la destruction des clés cryptographiques pour une suppression sécurisée des données.
Keyfactor Command offre une visibilité centralisée et une automatisation du cycle de vie des certificats sur l'ensemble des appareils et des produits. Il assure le respect des politiques de cryptographie, assure le suivi de l'expiration des certificats et fournit la piste d'audit requise par les auditeurs.
SignServer et Signum activer la signature de code pour les mises à jour du micrologiciel et d'software , garantissant ainsi que chaque mise à jour est vérifiée cryptographiquement avant son déploiement.
Ces outils fonctionnent de concert pour automatiser les contrôles cryptographiques exigés par l'ARC, tout en générant la documentation et les éléments probants nécessaires aux évaluations de conformité.
Agir avant qu'il ne soit trop tard
Le règlement CRA marque un tournant fondamental dans la manière dont l'UE encadre les produits numériques connectés. La cybersécurité n'est plus une simple « bonne pratique » ni un facteur de différenciation concurrentielle. Il s'agit désormais d'une exigence d'accès au marché, dont le respect est garanti par le marquage « CE ».
Les organisations les mieux placées pour décembre 2027 sont celles qui mettent en place dès aujourd’hui une infrastructure de gouvernance cryptographique. Commencez par assurer la visibilité : dressez l’inventaire des actifs cryptographiques, des bibliothèques et des algorithmes intégrés à vos produits. Évaluez ces actifs au regard des exigences de la CRA. Mettez en place des processus automatisés pour gérer le cycle de vie des certificats et des clés avant que les lacunes ne se transforment en incidents.
Attendre est la stratégie la plus risquée. Les produits actuellement en cours de développement seront commercialisés sur un marché réglementé par la CRA. Les choix cryptographiques que vous faites aujourd’hui détermineront si ces produits obtiendront le marquage CE ou s’ils perdront l’accès à 450 millions de consommateurs.
Vous avez des questions sur la loi sur la cyber-résilience ? Nous avons les réponses.
Qu'est-ce que la loi sur la cyber-résilience ?
Le règlement CRA (règlement (UE) n° 2024/2847) est la première législation horizontale de l’Union européenne imposant une cybersécurité intégrée dès la conception pour tout produit comportant un élément numérique commercialisé sur le marché de l’UE. Il lie la conformité au marquage CE, faisant ainsi de la cybersécurité une exigence d’accès au marché.
Quand la loi sur la cyber-résilience entrera-t-elle en vigueur ?
Les exigences essentielles devront être pleinement mises en œuvre d'ici le 11 décembre 2027. Les obligations de signalement des vulnérabilités et des exploitations actives prendront effet plus tôt, dès septembre 2026.
À qui s'applique la CRA ?
La CRA s’applique à tous les produits comportant des éléments numériques commercialisés sur le marché de l’UE, quelle que soit leur origine. Cela inclut notamment hardware, software, ainsi que toute solution de traitement de données à distance indispensable au fonctionnement du produit.
Quelles sont les sanctions en cas de non-respect des obligations envers l'Agence du revenu du Canada (ARC) ?
Tout manquement à ces dispositions peut entraîner des amendes pouvant aller jusqu'à environ 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les produits non conformes perdent le marquage « CE » requis pour accéder au marché de l'Union européenne.
Quelles sont les exigences cryptographiques imposées par l'ARC ?
Les produits doivent être livrés avec une protection des données chiffrées activée par défaut, des mises à jour du micrologiciel signées et vérifiées cryptographiquement, ainsi qu'un identifiant unique attribué à l'appareil lors de sa fabrication.
Ai-je besoin d'un inventaire cryptographique pour me conformer aux exigences de l'ARC ?
Oui. Les évaluations de conformité exigent des fournisseurs qu’ils tiennent à jour un inventaire de toutes les bibliothèques et de tous les algorithmes cryptographiques intégrés au produit, y compris les dépendances. Cet inventaire est essentiel pour évaluer l’exposition aux risques lorsque des vulnérabilités sont découvertes.
Quel est l'impact de la CRA sur les produits existants ?
Les produits mis sur le marché de l'UE après décembre 2027 devront être conformes aux exigences du CRA. Les produits déjà présents sur le marché devront peut-être faire l'objet de mises à jour afin de respecter les obligations relatives à la gestion des vulnérabilités et à la durée de prise en charge.
Quelle est la première étape pour se mettre en conformité avec la CRA ?
Commencez par assurer la visibilité. Dressez l'inventaire des actifs cryptographiques déployés dans vos produits, évaluez-les au regard des exigences de la CRA et mettez en place une automatisation de la gestion du cycle de vie des certificats et des clés avant que les lacunes ne se transforment en manquements à la conformité.
