Objets connectés et logiciels : ce que le règlement européen sur la cyberrésilience change pour vos achats

Une caméra pour la réserve, une box pour le magasin, un logiciel de caisse : chaque achat ajoute un appareil ou un programme connecté à votre entreprise. Le règlement européen 2024/2847 sur la cyberrésilience encadre leur sécurité. Il est entré en vigueur le 10 décembre 2024. Il s'applique par étapes jusqu'au 11 décembre 2027.

Quels produits sont concernés

Le texte vise les « produits comportant des éléments numériques ». C'est tout produit logiciel ou matériel, avec ses solutions de traitement de données à distance. Il entre dans le champ dès que son usage prévu comprend une connexion directe ou indirecte à un appareil ou à un réseau. Par exemple : un logiciel de caisse, une caméra connectée, une box ou un routeur, un gestionnaire de mots de passe.

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) distingue plusieurs niveaux. La catégorie par défaut couvre par exemple les ordinateurs et les téléphones. Les produits importants comprennent notamment les routeurs, les navigateurs, les systèmes d'exploitation, la domotique et les pare-feu. Les produits critiques regroupent par exemple les cartes à puce et les boîtiers de sécurité matériels. Pour les produits critiques et une partie des produits importants, l'évaluation par un organisme tiers agréé est obligatoire.

Certains produits restent hors champ, car ils relèvent déjà d'une autre réglementation. C'est le cas des dispositifs médicaux, des systèmes automobiles, des produits certifiés de l'aviation civile, des équipements marins et des produits de défense. Autre limite, importante pour vos abonnements : les services en ligne comme le logiciel en tant que service (SaaS) relèvent d'un autre texte européen, la directive NIS 2. Le règlement couvre en revanche la fonction à distance conçue par le fabricant, quand son absence empêcherait le produit d'assurer une de ses fonctions. Exemple : le pilotage en ligne d'une caméra depuis votre téléphone.

Ce que le fabricant vous devra

Le règlement oblige le fabricant, l'importateur et le distributeur, pas vous. Pour les produits mis sur le marché à partir du 11 décembre 2027, le fabricant devra notamment :

• Livrer un produit sans vulnérabilité connue exploitable, avec une configuration sécurisée par défaut et la possibilité de le réinitialiser.
• Fournir gratuitement les mises à jour de sécurité, sans retard injustifié. Quand c'est techniquement possible, elles devront être séparées des mises à jour de fonctionnalités.
• Assurer une période d'assistance d'au moins cinq ans, ou égale à la durée d'utilisation prévue si elle est plus courte. Sa date de fin, au moins le mois et l'année, devra être indiquée au moment de l'achat.
• Laisser chaque mise à jour de sécurité disponible au moins dix ans après sa publication, ou toute la période d'assistance si elle est plus longue.
• Pour un logiciel dont seule la dernière version est maintenue : en donner l'accès gratuit aux utilisateurs des versions précédentes, sans frais pour adapter leur matériel ou leurs logiciels.
• Proposer un point de contact unique pour signaler une faille, et publier des informations sur les failles corrigées.
• Apposer le marquage CE sur l'appareil ou, pour un logiciel, sur la déclaration de conformité ou sur le site qui l'accompagne.

Le calendrier, et où vous en êtes aujourd'hui

• 11 juin 2026 : les règles sur la notification des organismes chargés d'évaluer les produits s'appliquent. En France, l'ANSSI les notifie. Elle prévoit les premières notifications fin 2026.
• 11 septembre 2026 : tout fabricant doit signaler une vulnérabilité activement exploitée ou un incident grave touchant son produit. Il envoie une alerte précoce sous 24 heures, puis une notification sous 72 heures. Le rapport final suit au plus tard 14 jours après la mise à disposition d'un correctif, ou un mois après la notification pour un incident grave. Il passe par une plateforme européenne unique. Pour un fabricant établi en France, il parvient au CERT-FR de l'ANSSI.
• 11 décembre 2027 : le règlement s'applique en entier. En France, l'Agence nationale des fréquences (ANFR) surveillera le marché. Elle pourra aller jusqu'au retrait du produit ou à des amendes.

Nous sommes en novembre 2026. Côté fabricants, seul le signalement des failles s'applique déjà. Il vaut pour tous les produits, même ceux déjà vendus. Les exigences de conception et d'entretien n'arriveront qu'au 11 décembre 2027. Un produit mis sur le marché avant cette date n'y sera soumis que s'il subit ensuite une modification substantielle. L'appareil ou le logiciel que vous achetez cet hiver n'est donc pas forcément couvert.

Cinq questions à poser avant d'acheter

• Jusqu'à quelle date, mois et année, le produit recevra-t-il des mises à jour de sécurité ?
• Ces mises à jour sont-elles gratuites et distinctes des nouveautés payantes ?
• Où signaler une faille, et comment serai-je informé des correctifs à installer ?
• Le produit porte-t-il déjà le marquage CE au titre du règlement sur la cyberrésilience, ou quand le fabricant prévoit-il de s'y conformer ?
• Pour un logiciel : quelle partie fonctionne à distance, et sous la responsabilité de qui ?

Selon la foire aux questions de l'ANSSI, un client peut notamment exiger une assistance pendant la période d'assistance, avec les mises à jour de sécurité. Il peut aussi exiger des informations transparentes sur l'identification du produit et du fabricant. Le considérant 13 du règlement permet à toute entité, publique ou privée, d'imposer des exigences supplémentaires pour l'achat de ces produits ou leur usage propre. Écrivez-les dans vos bons de commande et vos contrats. Par exemple : une durée d'assistance plus longue ou un délai maximal de correction.