Cyber Resilience Act : vos objets connectés sont-ils prêts pour l'échéance de septembre 2026 ?

CERTILIENCE – STAND E149

Avec le Cyber Resilience Act, l'Europe impose pour la première fois des exigences de cybersécurité directement aux produits connectés et non plus seulement aux organisations. Dès le 11 septembre 2026, tout fabricant, importateur ou distributeur devra signaler les vulnérabilités actives de ses produits, y compris ceux déjà sur le marché. Certilience accompagne les industriels dans cette mise en conformité, de l'audit de sécurité de leurs objets connectés jusqu'à la sécurisation de leurs parcs IoT/IIoT en production avec CSLC.

Trois échéances à retenir

10 décembre 2024 — Entrée en vigueur

`Le règlement devient contraignant dans tous les États membres et lance les périodes de transition.

11 septembre 2026 Échéance clé

Obligation de signaler toute vulnérabilité activement exploitée sous 24h, tout incident grave sous 72h y compris pour les produits déjà commercialisés.

11 décembre 2027 — Application pleine et entière

Toutes les exigences essentielles deviennent obligatoires : marquage CE cyber, documentation technique, évaluation de conformité.

Qui est concerné

Le CRA touche toute la chaîne : fabricants, importateurset distributeurs de produits comportant des éléments numériques vendus dans l'UE. Concrètement, cela va bien au-delà des seuls éditeurs de logiciels

Le niveau d'exigence dépend ensuite du risque cyber du produit :

Par défaut : la majorité des produits, avec auto-évaluation par le fabricant.

Importante : pare-feu, VPN, gestionnaires de mots de passe, antivirus : contrôle renforcé.

Critique : gestion d'identité, HSM, hyperviseurs : certification obligatoire par un organisme notifié.

Quelques exceptions sectorielles existent (dispositifs médicaux, automobile, aéronautique), déjà couvertes par leurs propres réglementations.

Ce qui change concrètement

Analyse de risques avant tout développement. SBOMgénéré pour chaque version, listant composants et dépendances open source. Politique de divulgation coordonnée des vulnérabilités avec point de contact unique. Correctifs garantis au moins 5 ans. Et à partir de 2027, un marquage CE qui intègre pour la première fois la cybersécurité.

Des sanctions prévues jusqu’à 15M € ou 2.5% du chiffre d’affaires mondial pour non-respect des exigences essentielles et jusqu’à 10M € ou 2% pour les autres obligations.

Notre rôle chez Certilience

Deux de nos expertises répondent directement aux enjeux du CRA côté objets connectés :

L'audit IoT, pour mesurer le niveau de sécurité réel d'un équipement connecté : test d'intrusion sur l'API embarquée, analyse des protocoles et des informations communiquées par l'objet, test d'intrusion via ses ports de connectivité, et test de son interface web si elle existe. Chaque mission se conclut par une synthèse des vulnérabilités (défauts de configuration, fuites d'information, etc.), des recommandations classées par priorité et des préconisations concrètes. Exactement la démarche « security by design » attendue par le règlement.

CertiLink Secure Cloud (CLSC), notre solution souveraine d'interconnexion sécurisée pour les parcs IoT/IIoT : étanchéité entre l'IT et l'OT pour éviter qu'une intrusion sur le réseau bureautique ne se propage jusqu'aux automates, chiffrement de bout en bout, haute disponibilité (>99,9%), plan de continuité et de reprise d'activité (PCA/PRA), le tout hébergé et opéré depuis la France. Une réponse directe à l'obligation de maintenir la sécurité des produits connectés tout au long de leur cycle de vie, une fois déployés sur le terrain.

L'échéance de septembre 2026 est là, cela concerne également votre parc déjà déployé. Mieux vaut structurer votre trajectoire dès maintenant que la découvrir dans l'urgence.

N’attendez pas le dernier moment et prenez rendez-vous sur le salon avec nos experts :

Rendez-vous Audit - LCE

Rendez-vous – CLSC - LCE

Retour à la liste

Votre panier