Le CRA est un sujet CE comme les autres, et nous pouvons vous accompagner

La cybersécurité occupe une place de plus en plus importante dans le développement des produits. Avec le Cyber Resilience Act (CRA), l’Europe introduit de nouvelles exigences en matière de cybersécurité pour les produits comportant des éléments numériques.

Depuis le 11 septembre 2026, les fabricants sont tenus de signaler les incidents de sécurité graves, et à partir du 11 décembre 2027, l’ensemble du règlement deviendra applicable.

Une approche familière

Cela peut sembler être un changement majeur, mais l’approche est étonnamment familière. Tout comme pour la CEM, la LVD, la RED ou la sécurité des machines, le CRA suit la démarche classique du marquage CE : analyse des risques, application des normes, constitution d’un dossier technique et établissement d’une déclaration de conformité signée par le fabricant.

Vous connaissez votre machine ou votre appareil, ses utilisateurs et son utilisation prévue. Nous vous accompagnons dans la mise en œuvre technique de la cybersécurité au niveau de l’électronique et des logiciels embarqués. Ensemble, nous réunissons les compétences nécessaires pour atteindre la conformité au CRA.

La nouveauté réside dans le fait que les fabricants restent responsables après la mise sur le marché de la surveillance des vulnérabilités et de la fourniture de mises à jour de sécurité pendant toute la durée de vie prévue du produit, avec une période minimale de support de cinq ans.

Quelles sont les exigences du CRA ?

Le CRA repose sur trois principes fondamentaux :

• La sécurité dès la conception (Security by Design) de l’électronique et du firmware jusqu’aux applications et environnements cloud ;
• La surveillance des vulnérabilités et la fourniture de mises à jour de sécurité tout au long du cycle de vie du produit ;
• La déclaration des vulnérabilités activement exploitées et des incidents de sécurité graves dans un délai de 24 heures.

Pratiquement tous les produits disposant d’une connexion de données, qu’elle soit filaire ou sans fil, entrent dans le champ d’application du CRA. Pour la plupart des produits, les fabricants peuvent réaliser eux-mêmes l’évaluation de conformité, de manière similaire à la conformité CEM ou LVD.

Dates clés

• 1er août 2025: les exigences de cybersécurité de la directive RED (EN 18031) deviennent applicables aux équipements radio.
• 11 septembre 2026: les obligations de notification des incidents prévues par le CRA entrent en vigueur, y compris pour les produits déjà présents sur le marché.
• 20 janvier 2027: le nouveau Règlement Machines remplace la Directive Machines.
• 11 décembre 2027: l’ensemble des exigences du CRA devient applicable.

Une première étape utile consiste à mettre en place une procédure simple de gestion des vulnérabilités : qui reçoit les signalements, qui décide des mesures à prendre et qui est responsable des notifications ? Notre livre blanc sur le CRA constitue un point de départ pratique.

Chevauchement entre le Règlement Machines et le CRA

Les constructeurs de machines doivent être conscients que le nouveau Règlement Machines introduit également des exigences en matière de cybersécurité, notamment en ce qui concerne la protection des logiciels liés à la sécurité, l’enregistrement des modifications et interventions, ainsi que la visibilité de la version logicielle pour l’utilisateur. La norme harmonisée prEN 50742 est actuellement encore en cours d’élaboration.

Étant donné le chevauchement important entre le Règlement Machines et le CRA, il est souvent possible de traiter les deux démarches de conformité conjointement.

Les produits existants méritent également une attention particulière

Attention : le CRA s’applique également aux produits existants qui resteront sur le marché après décembre 2027, même si leur conception fait partie de votre portefeuille depuis de nombreuses années. C’est pourquoi une analyse de risques du produit actuel constitue souvent la meilleure première étape.

Dans certains cas, les produits sont déjà bien préparés. Dans d’autres, des mesures supplémentaires peuvent être nécessaires. L’intégration de la cybersécurité dans une conception existante ne doit pas être sous-estimée. Les défis les plus courants sont notamment :

• Un matériel ne prenant pas en charge le démarrage sécurisé (Secure Boot) ;
• Des capacités de stockage sécurisé insuffisantes ;
• Une mémoire insuffisante pour les mises à jour logicielles signées ;
• L’absence d’un mécanisme de mise à jour.

Plus vous évaluez votre situation tôt, plus vous conserverez de possibilités d’action.

Votre rôle et le nôtre

• En tant que fabricant, vous restez responsable de l’utilisation prévue du produit, des utilisateurs et de l’environnement d’exploitation, l’analyse des risques, la documentation technique et la déclaration de conformité.
   
• Nous vous accompagnons dans la mise en œuvre de :
  • Architectures matérielles et logicielles sécurisées, adaptées à vos exigences de sécurité ;
  • Fonctions de sécurité telles que le démarrage sécurisé (Secure Boot), les mises à jour signées, le chiffrement et le contrôle des accès ;
  • Contributions techniques à votre analyse des risques, y compris la modélisation des menaces (threat modelling) de l’appareil ;
  • Un SBOM (Software Bill of Materials), des versions logicielles prêtes pour les essais et une assistance lors des évaluations indépendantes ;
  • Les mises à jour de sécurité après la mise sur le marché du produit.

Commencer dès aujourd’hui

Comme pour tout sujet lié à la conformité CE, le CRA est plus efficace lorsque vous prenez vous-même la responsabilité du processus. Les entreprises qui commencent tôt atteignent généralement la conformité plus rapidement et conservent la plus grande flexibilité.

Une première étape précieuse consiste à réunir les experts adéquats pour chaque famille de produits : votre propre équipe, les spécialistes de la conformité et nos ingénieurs. Ensemble, nous cartographions le produit, déterminons les exigences réglementaires applicables et identifions les éventuelles lacunes. Cette démarche permet d’établir rapidement un plan d’action clair et de définir précisément où nous pouvons vous accompagner.

>>> Contactez notre équipe cybersécurité au +32 3 620 18 18 ou envoyez-nous un e-mail.

Financement pour les PME

Une aide financière est disponible pour les PME. Le 1er octobre 2026, le projet européen SECURE a lancé un deuxième appel à projets doté d’un budget de 11,5 millions d’euros destiné aux microentreprises ainsi qu’aux petites et moyennes entreprises souhaitant bénéficier d’un soutien pour la mise en œuvre du CRA. Les candidatures peuvent être introduites jusqu’au 11 décembre 2026. Il est donc intéressant de vérifier si votre entreprise et votre projet répondent aux critères d’éligibilité.

Informations complémentaires

• Dans notre 'whitepaper' "The rules are changing – ‘REDy’ or not?" (mai 2025), nous avons examiné les exigences de cybersécurité applicables aux produits radio dans le cadre de la directive RED. Téléchargez votre exemplaire à l’aide du bouton ci-dessous.
   
• Dans le whitepaper "CRA: Software Compliance on the Rise, First Steps Toward 2027" (avril 2026), nous avons analysé les implications du Cyber Resilience Act et les premières mesures à prendre en vue de 2027. Téléchargez votre exemplaire à l’aide du bouton ci-dessous.