De RED à la CRA : la cybersécurité en pratique. Deux exemples concrets.

Pour les produits radio, la cybersécurité fait déjà partie du marquage CE. Depuis le 1er août 2025, chaque produit radio mis sur le marché de l’Union européenne doit satisfaire aux exigences de cybersécurité de la directive RED, généralement en appliquant la norme harmonisée EN 18031. Cette obligation s’applique également aux conceptions existantes qui sont toujours commercialisées.

Les rôles sont les mêmes que pour tout autre sujet lié au marquage CE. En tant que fabricant, c’est vous qui définissez l’orientation et prenez les décisions. Nous apportons notre expertise pour la mise en œuvre. Deux exemples concrets tirés de la pratique montrent à quoi cela ressemble.

Comment abordons-nous la cybersécurité avec nos clients ?

Cas pratique n° 1 : déterminer ce qui s’applique et combler les écarts

Un client nous a contactés avec un objectif clair : son produit Wi-Fi devait être conforme aux exigences de cybersécurité de la directive RED.

La première étape a consisté en une analyse des risques afin de déterminer lesquels des articles 3.3(d), (e) et (f) étaient applicables. Nous avons fourni toutes les informations techniques relatives au produit pour cette évaluation. La conclusion, fondée et documentée, a été que seul l’article 3.3(d), relatif à la protection du réseau, s’appliquait. Cela a permis de concentrer la suite du projet sur la norme EN 18031-1.

Nous avons ensuite passé en revue la norme avec le client, exigence par exigence, afin d’identifier les points déjà conformes et ceux qui nécessitaient encore des adaptations. Nous avons comblé les écarts au niveau du produit et fourni les informations techniques nécessaires à la documentation. Le dossier est actuellement en cours d’évaluation par un organisme notifié indépendant.

Cas pratique n° 2 : le client pilote, nous apportons notre expertise

Un fabricant de produits industriels a géré lui-même le processus de conformité et a impliqué un évaluateur indépendant dès les premières étapes du projet.

Nous avons fourni toutes les informations techniques concernant la manière dont la sécurité avait été mise en œuvre dans le produit. Sur la base des conclusions de l’évaluateur, nous avons ensuite renforcé davantage la sécurité du produit. Une bonne communication entre le client, l’évaluateur et nos ingénieurs a permis de maintenir le projet sur la bonne voie.

Les éléments techniques de base

Quelle que soit l’approche choisie par le client, les fondements techniques sont souvent les mêmes. Les principaux éléments que nous mettons en œuvre et documentons sont notamment:

• Démarrage sécurisé (Secure Boot) : l’appareil ne démarre que des micrologiciels (firmwares) dont l’authenticité peut être vérifiée.
• Mises à jour sécurisées (Secure Updates) : seuls des firmwares autorisés et vérifiés peuvent être installés.
• Mémoire Flash protégée : le firmware et les données sensibles sont protégés contre la lecture non autorisée et toute tentative de modification.
• Vérification des dépendances (Dependency Check) : les composants logiciels tiers sont contrôlés afin d’identifier les vulnérabilités connues.

Une longueur d’avance sur le CRA

Avec l’entrée en vigueur des exigences RED, les entreprises qui ont déjà réalisé des évaluations des risques basées sur l’EN 18031, mis en œuvre des mesures de sécurité et constitué la documentation nécessaire ne partent pas de zéro pour se préparer au CRA.

Comme le projet de norme produit du CRA (prEN 40000-1-4) repose largement sur l’EN 18031, une grande partie de ce travail peut être réutilisée et étendue en vue de la conformité au CRA en décembre 2027.

Ce que nous avons appris

• Commencez par la bonne question. Une évaluation des risques bien fondée permet de déterminer quelles exigences s’appliquent et d’éviter des efforts inutiles.
• Vous pilotez, nous mettons en œuvre. Vous connaissez votre produit et son utilisation. Nous connaissons l’électronique et les micrologiciels (firmware). Ensemble, nous comblons rapidement les lacunes.
• Impliquez des experts externes dès le début. De nombreux acteurs peuvent vous aider à mettre en place les politiques et processus requis et à évaluer votre produit. Les constats sont beaucoup plus faciles à traiter pendant le développement qu’à la veille de la mise sur le marché. Pour les PME, l’appel à projets SECURE peut contribuer à couvrir une partie des coûts.
• La volonté de s’engager fait la différence. Dans chaque projet, c’est l’attitude proactive du client qui a assuré la réussite.

>>> C’est pourquoi nous encourageons les entreprises à ne pas attendre 2027, mais à commencer dès aujourd’hui à évaluer l’impact des exigences de cybersécurité sur leurs produits.

Prêt à passer à l’étape suivante ?

Que vous travailliez actuellement sur la conformité RED ou que vous prépariez votre entreprise au Cyber Resilience Act, une analyse initiale de votre portefeuille de produits constitue souvent la première étape la plus précieuse.

Ensemble, nous identifions les exigences applicables, les risques nécessitant une attention particulière et les mesures techniques requises pour pérenniser vos produits.

>>> Contactez notre équipe Cybersécurité au +32 3 620 18 18 ou envoyez-nous un e-mail.

Informations complémentaires

• Dans notre 'whitepaper' "The rules are changing – ‘REDy’ or not?" (mai 2025), nous avons examiné en détail les exigences de cybersécurité applicables aux produits radio dans le cadre de la directive RED. Téléchargez votre exemplaire à l’aide du bouton ci-dessous.
   
• Dans le 'Whitepaper' "CRA: Software Compliance on the Rise, First Steps Toward 2027" (avril 2026), nous nous sommes penchés sur les implications futures du Cyber Resilience Act (CRA). Téléchargez votre exemplaire à l’aide du bouton ci-dessous.