Sécurité dès la conception
Des exigences essentielles (annexe I) : configuration sécurisée par défaut, aucune vulnérabilité exploitable connue à la mise sur le marché.
Cyber Resilience Act
CRA : faire de l'obligation un avantage produit.
Le règlement européen (UE) 2024/2847 impose des exigences de cybersécurité à tous les produits comportant des éléments numériques vendus dans l'Union. Step AT accompagne les fabricants de machines et d'équipements industriels connectés, de l'analyse d'écart à la préparation de la documentation technique.
Les dates à retenir
Les obligations de notification s'appliquent déjà.
| Date | Ce qui s'applique |
|---|---|
| 10 déc. 2024 | Entrée en vigueur du règlement (UE) 2024/2847. |
| 11 juin 2026 | Application des dispositions sur la notification des organismes d'évaluation de la conformité. |
| 11 sept. 2026 | Obligations de notification pour les fabricants : vulnérabilités activement exploitées et incidents graves, via la plateforme unique de signalement gérée par l'ENISA. Alerte précoce sous 24 h, notification sous 72 h, rapport final ensuite. Elles couvrent aussi les produits déjà commercialisés. |
| 11 déc. 2027 | Application complète : exigences essentielles de cybersécurité, évaluation de conformité, déclaration UE et marquage CE. |
Information générale, qui ne constitue pas un avis juridique. Step AT n'est ni un organisme notifié ni un cabinet d'avocats : vérifiez votre situation avec le texte officiel et vos conseils.
Ce que le CRA demande aux fabricants
Six points qui touchent directement l'ingénierie.
SBOM
Une nomenclature des composants logiciels, dans un format courant et lisible par machine, tenue à jour.
Gestion des vulnérabilités
Un processus pour identifier, documenter, corriger et divulguer les failles, avec des mises à jour de sécurité fournies pendant la durée de support (cinq ans par défaut).
Notre politique VDPNotification
Signalement à l'ENISA et au CSIRT compétent des vulnérabilités activement exploitées et des incidents graves, dans des délais de 24 h et 72 h.
Documentation et conformité
Documentation technique conservée dix ans, évaluation de conformité, déclaration UE de conformité et marquage CE.
Sanctions
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les manquements aux exigences essentielles et aux obligations des fabricants.
Pourquoi l'industrie est concernée
Une machine connectée est un produit numérique.
Dès qu'un équipement embarque du logiciel et une connexion de données, directe ou indirecte, il entre dans le champ du règlement. Pour un fabricant de machines, d'automates ou de systèmes de mesure, cela concerne le firmware, l'application embarquée, la passerelle de données et leurs mises à jour. Le CRA vise le produit mis sur le marché. NIS 2 vise l'exploitation chez l'opérateur, et la norme IEC 62443 fournit un cadre de bonnes pratiques reconnu pour les deux.
UDS Atom
Une passerelle de données conçue dans cette logique.
UDS Atom est développé selon une démarche Security by Design. Nous travaillons à sa conformité aux exigences du CRA, et ses briques de sécurité peuvent servir de socle à vos propres produits.
SBOM CycloneDX
Registre des composants généré pour chaque version.
RBAC et JWT
Accès par rôles, jetons signés, séparation des droits.
TLS 1.3
Communications chiffrées entre les composants et vers l'extérieur.
Plugins signés
Plugins PPL signés cryptographiquement, clés PGP gérées.
Notre accompagnement
Du cadrage à la documentation technique.
- Cadrage et classificationQuels produits sont concernés, quel rôle économique, quelle catégorie (par défaut, importante ou critique) et donc quelle procédure de conformité.
- Analyse d'écartComparaison de vos produits et de vos processus avec les exigences : durée de support, gestion des vulnérabilités, documentation.
- Mise en œuvre techniqueSBOM, authentification et contrôle d'accès, chiffrement, mises à jour signées, durcissement de vos applications LabVIEW, CompactRIO et Linux RT.
- Processus de vulnérabilités et de notificationProcédures et outils pour tenir les délais de 24 h et de 72 h et pour publier des correctifs.
- Préparation de la conformitéDocumentation technique et éléments de preuve pour votre évaluation de conformité, avec votre organisme notifié si votre produit l'exige.
Questions fréquentes
Les questions que nous entendons le plus.
Mon produit est-il concerné ?
Si votre produit contient du logiciel et peut se connecter, directement ou indirectement, à un appareil ou à un réseau, et que vous le mettez sur le marché européen, la réponse est très probablement oui. Certains secteurs régulés (dispositifs médicaux, automobile, aviation civile) relèvent d'autres textes.
Les produits déjà vendus sont-ils concernés ?
Les obligations de notification applicables depuis le 11 septembre 2026 couvrent aussi les produits déjà présents sur le marché. Les exigences essentielles s'appliquent, elles, aux produits mis sur le marché à partir du 11 décembre 2027.
Faut-il un organisme tiers ?
Pour la plupart des produits, une auto-évaluation suffit. Les produits « importants » ou « critiques » exigent une évaluation par un tiers ou une certification. Le classement dépend de la fonction principale du produit.
Par où commencer ?
Par un inventaire de vos produits connectés et de leurs composants logiciels. C'est la base du cadrage, de l'analyse d'écart et du SBOM.