En dévoilant la Cyber Resilience Act, l’Union européenne entend agir pour optimiser la sécurité de la maison connectée. Ce texte impose progressivement de nouvelles obligations aux fabricants pour éviter que les objets connectés soient des portes d’entrée pour les hackers.
La maison connectée fait face à un paradoxe. Alors que les caméras, les serrures et les alarmes sont censées assurer notre protection, ce sont aussi des sources de vulnérabilité pour le logement. S’ils veillent sur la maison, qui veille sur leur propre sécurité une fois qu’on les a installés ? L’Union européenne souhaite ainsi responsabiliser les fabricants, et c’est dans cet objectif que la Cyber Resilience Act a été promulguée.
Le CRA va encadrer la cybersécurité des équipements connectés
Le Cyber Resilience Act fixe un socle de cybersécurité pour les produits matériels et logiciels connectables commercialisés dans l’Union européenne. Son périmètre dépasse les équipements de surveillance, et couvre aussi bien les serrures que les thermostats et les caméras. De plus, les produits importés sont également concernés, avec des obligations pour les fabricants, mais aussi les importateurs et distributeurs.
L’appareil n’a pas besoin d’avoir une connexion directe avec Internet pour dépendre du CRA. Tant qu’il communique avec une passerelle, elle doit respecter ces nouvelles réglementations. C’est donc le cas des appareils qui fonctionnent uniquement en local. Le périmètre comprend aussi certaines fonctions cloud, lorsque leur logiciel relève de la responsabilité du fabricant et que leur absence empêcherait d’accéder à une fonction du produit.
Cependant, la mise en conformité se fait en plusieurs étapes. Le texte est, en effet, entré en vigueur le 10 décembre 2024. Le règlement prévoit des obligations de signalement depuis le 11 septembre 2026. Ses principales exigences s’appliqueront néanmoins à partir du 11 décembre 2027.
La sécurité au centre des préoccupations des équipements connectés
Désormais, les fabricants devront d’abord analyser les risques associés à leurs produits et prévoir des protections adaptées. Cette analyse doit aussi couvrir les risques liés aux composants logiciels. Il ne faut pas oublier la question relative aux mots de passe par défaut. L’acheteur doit disposer d’un équipement mieux protégé dès sa première utilisation.
En pratique, les dispositifs de contrôle d’accès devront empêcher les commandes non autorisées. Cela passe par un chiffrement adapté qui doit assurer la protection des données et préserver leur confidentialité. De plus, tout produit commercialisé ne devra présenter aucune vulnérabilité exploitable connue et protéger la disponibilité de ses fonctions essentielles.
Les serrures, caméras, babyphones et alarmes connectés bénéficient d’ailleurs d’une attention particulière. En effet, du fait de leur rôle dans la maison connectée, ces appareils doivent se montrer plus résilients aux risques cyber. Leur conformité fait ainsi l’objet d’une évaluation plus encadrée, afin de rassurer le public.
Les mises à jour deviendront un engagement dans la durée
Que le produit soit sûr lors de sa mise en vente ne suffit pas. La protection devra aussi se poursuivre après sa vente. La Cyber Resilience Act impose une période d’assistance reflétant la durée d’utilisation attendue du produit, avec un minimum de cinq ans. Bien sûr, si l’équipement est destiné à servir moins longtemps, le support peut être moins longs.
Cette mesure aura surtout pour objectif d’éviter qu’un objet encore utilisable reste exposé faute de maintenance logicielle. La date de fin d’assistance doit ainsi être précisée au minimum en mois et année, et doit être clairement indiquée lors de l’achat. Les consommateurs pourront ainsi utiliser ce facteur pour comparer deux produits intelligents.
Tout au long de cette période de suivi, les équipements grand public profiteront gratuitement des correctifs de sécurité. De plus, les mises à jour automatiques devront être activées par défaut, mais les utilisateurs conservent la possibilité de les désactiver ou de les reporter.
Enfin, les fabricants devront signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits aux autorités compétentes. Après en avoir connaissance, ils disposeront de 24 heures pour une première alerte, puis de 72 heures pour une notification plus complète. Cependant, ces délais ne concernent que le signalement, et non une obligation de réparation sous trois jours.
Une maison mieux protégée, avec des limites à connaître
La mise en œuvre du CRA devrait réduire les défauts évitables et améliorer le suivi des appareils. Son efficacité dépendra néanmoins du respect des obligations et des contrôles. D’ailleurs, il ne faut pas se tromper sur le marquage CE. Il indique la conformité aux exigences applicables du règlement, sans garantir une invulnérabilité.
Les produits mis sur le marché avant le 11 septembre 2027 ne seront toutefois pas obligés de procéder à une mise en conformité, du moins pour l’instant. Les obligations de signalement concernent cependant aussi les produits antérieurs. Votre caméra actuelle ne recevra pas automatiquement toutes les protections prévues pour les nouveaux équipements.
De plus, malgré le CRA, les utilisateurs ne sont pas des acteurs passifs. Ils ont l’obligation de protéger leurs comptes avec des mots de passe uniques et robustes, et de maintenir à jour les applications. Ainsi, le paradigme change lors de l’achat d’un équipement connecté. On ne doit plus se focaliser sur le prix ou le design, mais sur l’efficacité et la durée du support. Après tout, la sécurité n’a pas de prix.
