Dans un monde de plus en plus numérisé, les cyberattaques et les fuites de données constituent une menace croissante. Avec la loi sur la cyber-résilience (CRA), l'UE entend protéger les entreprises et les consommateurs, en particulier ceux qui utilisent des produits connectés, contre ces menaces. Voici un aperçu des principaux éléments de la CRA.
Objectif de la loi sur la cyber-résilience
Dans le monde numérique d'aujourd'hui, les produits dotés de composants numériques sont omniprésents, du babyphone à la montre connectée. Ces produits comportent toutefois des risques de sécurité considérables, qui ne sont souvent pas immédiatement perceptibles. En effet, les appareils connectés d'une manière ou d'une autre à Internet peuvent présenter des failles susceptibles d'être exploitées par des cybercriminels. Ces failles ne concernent pas seulement les systèmes informatiques classiques, mais aussi, de plus en plus, les appareils de l’Internet des objets (Internet of Things, IoT), utilisés dans les foyers, les entreprises et même dans des infrastructures critiques telles que l’approvisionnement en énergie ou le secteur de la santé.
Afin de mieux relever ces défis, la loi sur la cyber-résilience (Cyber Resilience Act) a été élaborée. L'objectif principal de cette loi est de garantir que les produits comportant des éléments numériques soient conçus, développés et exploités de manière sécurisée tout au long de leur cycle de vie. Cela vise non seulement à améliorer la sécurité des utilisateurs, mais aussi à renforcer la confiance dans les produits et services numériques.
Principaux éléments du Cyber Resilience Act
La loi sur la cyber-résilience définit une série d'exigences auxquelles doivent se conformer les fabricants, les importateurs et les distributeurs de produits numériques. Ces exigences comprennent à la fois des mesures techniques et organisationnelles visant à garantir que les produits soient résistants aux cybermenaces.
- Exigences de sécurité tout au long du cycle de vie :
Les fabricants doivent veiller à ce que leurs produits soient conçus de manière sûre et qu'ils le restent tout au long de leur cycle de vie. Cela implique notamment la mise à disposition régulière de mises à jour logicielles et de correctifs de sécurité pendant toute la durée de vie prévue du produit, afin de remédier aux vulnérabilités nouvellement découvertes. - Transparence et Obligations d'information:
Les entreprises doivent fournir des informations détaillées sur les caractéristiques de sécurité de leurs produits. Cela inclut notamment la divulgation des failles de sécurité et des mesures prises pour y remédier. Les utilisateurs doivent être informés des risques potentiels et des pratiques du fabricant en matière de sécurité. - Évaluations de la sécurité et certifications :
Le CRA prévoit que certains produits doivent faire l'objet d'évaluations de sécurité rigoureuses avant de pouvoir être mis sur le marché. Ce règlement définit les conditions d'accès au marché intérieur de l'UE et élargit ainsi son champ d'application. Lorsque le CRA entrera en vigueur, le marquage CE, déjà bien connu, symbolisera pour la première fois non seulement la « Safety », c'est-à-dire la sécurité de fonctionnement, mais aussi la « Security », c'est-à-dire la sécurité de l'information. - Des sanctions sévères en cas d'infraction :
Afin de garantir le respect de la réglementation, la loi sur la cyber-résilience prévoit des sanctions sévères à l'encontre des entreprises qui enfreignent les exigences de sécurité. En cas d'infraction, la mise sur le marché d'un produit peut être interdite ou restreinte. L'autorité compétente autorité de contrôle peut ordonner le retrait du marché ou le rappel du produit. En outre, des amendes seront fixées, qui devront être prévues par la législation nationale en cas de non-conformité. L'objectif est d'inciter les entreprises à investir dans la sécurité de leurs produits et à veiller à ce que ceux-ci soient conformes aux normes de sécurité les plus récentes.
Impact de l'ARC sur les entreprises et les consommateurs
La loi sur la cyber-résilience aura des répercussions considérables sur les entreprises qui fabriquent, importent ou commercialisent des produits comportant des composants numériques. Ces entreprises devront s'assurer qu'elles disposent des ressources techniques et organisationnelles nécessaires pour se conformer aux nouvelles exigences. Cela pourra nécessiter des investissements supplémentaires dans la recherche et le développement ainsi que dans les infrastructures de sécurité.
Pour les consommateurs, le Cyber Resilience Act signifie une plus grande sécurité et Transparence. Ils peuvent avoir confiance dans le fait que les produits qu'ils achètent répondent à des exigences de sécurité strictes et que les vulnérabilités sont rapidement corrigées. Cela devrait renforcer la confiance dans les produits numériques et pourrait également donner un avantage concurrentiel aux entreprises qui proposent des produits particulièrement sûrs.
Conseil de lien : Loi sur la cyber-résilience, telle que modifiée
CRA et directive NIS-2
Comme le souligne la Commission européenne, la loi sur la cyber-résilience (Cyber Resilience Act) vise à compléter la directive NIS 2. La directive NIS 2 définit des exigences en matière de cybersécurité. Celles-ci comprennent des mesures de sécurité tout au long de la chaîne d'approvisionnement, ainsi que des obligations de notification des incidents de sécurité pour les entités essentielles et critiques, afin de renforcer la résilience des services qu'elles fournissent.
La Commission espère qu'un niveau accru de cybersécurité des produits comportant des éléments numériques facilitera également la mise en conformité des entités relevant du champ d'application de la directive NIS 2 et renforcera la sécurité de l'ensemble de la chaîne d'approvisionnement.
Conseil de lecture : Mise en œuvre de la directive NIS 2 dans l'UE – état des lieux
La loi sur la cyber-résilience a été adoptée par le Parlement européen en mars 2024 et devrait entrer en vigueur au cours du second semestre 2024, après approbation par le Conseil. Les fabricants disposeront alors d'un délai allant jusqu'en 2027 pour commercialiser des produits conformes au sein de l'UE.
German 
English 
Italian 
French