L'impact de la nouvelle loi européenne sur la cyber-résilience

February 26, 2025. 11 mins read

Les cybermenaces se multiplient et les fabricants du monde entier se sentent obligés de renforcer leurs défenses numériques. La plupart du temps, les gros titres sont dominés par des violations de données très médiatisées. Cependant, les petites et moyennes entreprises, en particulier dans le secteur manufacturier, sont tout aussi vulnérables.

En réponse à ces préoccupations croissantes, l'Union européenne (UE) est en train d'adopter de nouvelles réglementations en matière de cybersécurité. Ces lois sur la cybersécurité auront une incidence considérable sur la conception, la production et la vente de produits dotés de composants numériques à l'intérieur de leurs frontières. L'un des textes législatifs les plus importants est la loi européenne sur la cyber-résilience (CRA) 2024.

Qu'est-ce que la loi européenne sur la cyber-résilience (CRA) 2024 ?

Le Cyber Resilience Act (CRA) 2024 est un texte législatif historique proposé par l'Union européenne [1]. Son objectif est de garantir que les produits contenant des éléments numériques respectent les normes de cybersécurité nécessaires. L'ARC adopte une approche différente de celle des mesures précédentes, qui se concentraient sur les infrastructures critiques. Il couvre un large éventail de produits, depuis les équipements industriels dotés de logiciels intégrés jusqu'aux appareils électroniques grand public tels que les appareils électroménagers intelligents.

Champ d'application : Tout produit contenant des composants numériques est soumis à cette réglementation. Cela signifie qu'un réseau doit être relié d'une manière ou d'une autre à un logiciel ou à du matériel, que ce soit de manière directe ou indirecte.

L'objectif est d'intégrer la cybersécurité tout au long du cycle de vie des produits : L'objectif principal est d'intégrer la cybersécurité tout au long du cycle de vie du produit. De la conception et du développement à la surveillance post-commercialisation, en passant par la gestion des vulnérabilités et l'établissement de rapports.

En d'autres termes, si vous produisez ou importez des appareils connectés ou intelligents dans l'UE, vous devez vous conformer à ces nouvelles règles de cybersécurité.

À qui s'applique la loi sur la cyber-résilience de 2024 ?

L'ARC 2024 a des implications pour un large éventail de parties prenantes, tant à l'intérieur qu'à l'extérieur de l'UE :

Fabricants établis dans l'UE : Toutes les entreprises basées dans l'UE dont les produits utilisent des éléments numériques seront soumises aux règles de l'ARC.

Les fabricants de pays tiers qui vendent dans l'UE : Lorsqu'un produit est vendu ou importé dans l'UE, la réglementation entre en vigueur. Cette règle s'applique même si le fabricant est originaire d'un autre pays. [2]. Cela signifie que les fabricants américains, asiatiques et autres doivent se conformer à la réglementation s'ils souhaitent accéder au marché de l'UE.

Les partenaires de la chaîne d'approvisionnement : Les distributeurs et les importateurs de l'UE ont tous deux un rôle à jouer pour s'assurer que les produits sont conformes à l'ARC. Si un produit s'avère non conforme ou présente des vulnérabilités connues et non corrigées, ils peuvent être tenus pour responsables.

En élargissant ainsi son champ d'action, l'ARC vise à élever les normes de cybersécurité à tous les niveaux. Ainsi, tous les produits présents sur le marché de l'UE seront à l'abri des cybermenaces.

Quel sera l'impact de la loi sur la cyber-résilience sur les fabricants ?

Amendes et sanctions

La non-conformité peut coûter cher. Selon la proposition actuelle de l'ARC, les fabricants pourraient se voir imposer des pénalités importantes.

Elles peuvent encourir des amendes allant jusqu'à 15 millions d'euros ou 2,5 % de leur chiffre d'affaires annuel mondial. En cas d'infraction grave, la décision sera prise sur la base de la somme la plus élevée. [2]

Pour les professionnels de première ligne, cela souligne l'importance d'intégrer des pratiques logicielles sûres. Cela souligne également la nécessité d'intégrer les composants matériels dès le départ, qu'il s'agisse de la conception, de la production ou de la maintenance.

Charge réglementaire

Les fabricants devront adopter des processus plus rigoureux pour le développement des produits. Ils devront également améliorer leurs pratiques d'évaluation des risques et de documentation pour se conformer à l'ARC 2024. Cela pourrait inclure :

Mettre en œuvre des méthodes qui garantissent la sécurité du code.
En procédant régulièrement à des évaluations de la vulnérabilité.
Fournir un étiquetage clair sur les caractéristiques et les risques liés à la cybersécurité.

Afin de répondre à ces demandes, de nombreuses entreprises pourraient être amenées à repenser leur approche en matière d'embauche de personnes possédant une expertise en cybersécurité. En outre, pour s'assurer que les composants répondent aux normes, il faudrait également renforcer la formation et éventuellement restructurer le processus de passation des marchés.

Différenciation du marché

D'un autre côté, la conformité peut vous permettre de vous démarquer de la concurrence. Les entreprises qui adoptent une position ferme en matière de cybersécurité peuvent gagner la confiance des régulateurs. Elles sont également en mesure de gagner la confiance des utilisateurs finaux, ce qui leur permet de se démarquer dans un domaine hautement concurrentiel.

Loi sur la cyber-résilience (CRA) : calendrier pour les fabricants

La loi sera mise en œuvre par étapes, ce qui laissera aux fabricants le temps de s'adapter, même si ce délai est relativement court :

Exigences de conformité à la loi 2024 sur la cyber-résilience de l'UE et délais pour les fabricants

10 décembre 2024 : Date à laquelle l'ARC entre en vigueur.
11 juin 2026 : à cette date, les obligations concernant les organismes d'évaluation de la conformité deviennent applicables.
11 septembre 2026 : les exigences en matière de notification des vulnérabilités et des incidents de sécurité deviennent applicables.
11 décembre 2027 : application complète de l'ARC, qui marquera la date limite pour la mise en conformité totale avec les règlements en matière de cybersécurité.

Compte tenu de ces dates, les fabricants devraient commencer à évaluer leur approche en matière de conformité. Si votre entreprise a un long cycle de conception-production, il est essentiel de donner la priorité au lancement de mesures de cybersécurité à un stade précoce. Cela permettra d'être prêt pour décembre 2027.

Quels sont les produits concernés par l'ARC 2024 ?

L'ARC 2024 s'applique à un large éventail de produits comportant des éléments numériques ou pouvant être connectés à un réseau :

Machines utilisées dans l'industrie et dotées de systèmes de contrôle.
Capteurs intelligents, robotique et dispositifs de l'internet des objets (IIoT) industriel.
L'électronique grand public, comme les équipements médicaux connectés ou les appareils ménagers intelligents (dans les cas où ils sont liés à des processus de production, comme pour les produits pharmaceutiques).
Les applications logicielles qui font partie des opérations critiques de la chaîne d'approvisionnement.

Si un appareil peut se connecter à un réseau, il entre probablement dans le champ d'application de la CRA. En outre, s'il est susceptible d'échanger des données, il est probable qu'il soit également inclus dans le champ d'application de la loi. Même de simples appareils pourraient être soumis à une surveillance s'ils sont dotés d'une quelconque forme de connectivité.

Quelles seront les répercussions pour les fabricants qui commercent avec l'UE ?

Pour les fabricants situés en dehors de l'UE, l'ARC 2024 fixe une barre réglementaire claire :

Restrictions à l'importation : Tout produit qui ne répond pas aux normes de l'ARC risque de se voir refuser l'entrée sur le marché de l'UE.
Un examen plus approfondi : Il est probable que les certifications, la documentation et les activités de surveillance après la mise sur le marché feront l'objet d'un examen plus approfondi pour les entreprises situées en dehors de l'UE [3].

Exigences de conformité à la loi 2024 sur la cyber-résilience de l'UE et délais pour les fabricants

Reconception potentielle : La refonte ou le reconditionnement des produits peut être nécessaire pour répondre aux exigences de l'ARC. En particulier, ceux qui reposent sur des composants logiciels non sécurisés ou très anciens.

En substance, il est indispensable que les fournisseurs mondiaux renforcent leurs normes de cybersécurité. C'est essentiel pour maintenir ou développer leur présence sur l'une des plus grandes places de marché au monde.

La directive NIS2 et l'ARC

La directive NIS2 est parallèle à l'ARC. Elle se concentre sur la cybersécurité des infrastructures clés, notamment dans les domaines de l'énergie, des transports, de la banque et des soins de santé [4].

Le NIS2 se concentre sur les besoins en matière de cybersécurité des organisations et des infrastructures. Ce faisant, il garantit que les fournisseurs de services et les opérateurs se conformeront à des règles de sécurité strictes. L'ARC, quant à elle, met l'accent sur les produits eux-mêmes.

Intersection : Les fabricants qui fournissent des produits ou des services aux opérateurs d'infrastructures critiques dans le cadre du NIS2 ressentiront probablement l'impact combiné. Par exemple, une entreprise spécialisée dans la production de systèmes de contrôle industriel pour les centrales électriques se voit confier de nouvelles tâches. Elle doit s'assurer que la cybersécurité opérationnelle du système et la sécurité inhérente du produit sont conformes.

Synergie : Ensemble, ces règlements visent à combler les lacunes en matière de cybersécurité. L'objectif de NIS2 est de préparer les organisations aux cybermenaces. La loi sur la cyber-résilience vise quant à elle à garantir que les produits utilisés sont sécurisés dès leur conception.

En quoi le CRA 2024 est-il différent du CIRCIA 2022 ?

Aux États-Unis, le Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) 2022 met fortement l'accent sur les obligations de déclaration des opérateurs d'infrastructures critiques [5]. Les organisations doivent signaler les cyberincidents importants. Cela doit être fait dans un délai spécifique auprès de l'Agence de cybersécurité et de sécurité des infrastructures (CISA).

Champ d'application : L'un des principaux objectifs de la CIRCIA est la notification rapide des cyberincidents et la protection des infrastructures vitales. L'ARC, quant à elle, vise les caractéristiques de cybersécurité de tous les produits à composants numériques vendus ou commercialisés dans l'UE.

Préventif vs. réactif : les mesures "préventives", telles que la sécurité dès la conception et la gestion des vulnérabilités, sont largement valorisées par l'ARC. Cela signifie que la CIRCIA est plus "réactive", se concentrant sur la déclaration obligatoire après qu'un incident se soit produit.

Une influence mondiale : La loi sur la cyberrésilience couvre un large éventail de biens connectés. Cela suggère que l'UE vise à établir une norme réglementaire plus élevée en matière de cybersécurité pour les articles de tous les jours. Ce concept est moins central dans CIRCIA.

Les réglementations en matière de cybersécurité ont un impact sur les fabricants dans d'autres pays

Il existe de nombreuses normes de cybersécurité que les fabricants du monde entier s'efforcent de respecter :

Asie-Pacifique : Des pays comme Singapour, le Japon et l'Australie renforcent leurs lois sur la cybersécurité. Ils réagissent ainsi aux menaces croissantes qui pèsent sur les secteurs critiques, notamment l'industrie manufacturière et les chaînes d'approvisionnement [6]. Ces pays axent souvent leur législation sur la protection des données, la déclaration obligatoire des incidents et la protection des infrastructures.

Le Royaume-Uni : Bien qu'il ait quitté l'UE, le Royaume-Uni a maintenu un alignement étroit sur la législation de l'UE en matière de cybersécurité à de nombreux égards. D'un autre côté, il a aussi la possibilité de s'en écarter. De nouvelles lois voient le jour, comme la loi sur la sécurité des produits et l'infrastructure des télécommunications (Product Security and Telecommunications Infrastructure - PSTI). Elle se concentre sur la sécurité des dispositifs IoT grand public, ce qui peut également avoir des effets sur les contextes industriels.

Tendance mondiale : L'Amérique du Nord, l'Europe et la région Asie-Pacifique indiquent clairement la direction à prendre. Les gouvernements adoptent des lois plus strictes en matière de cybersécurité à un rythme alarmant. Ces réglementations imposent aux fabricants d'importantes responsabilités en matière de conception de produits sécurisés et de maintenance tout au long de leur cycle de vie.

Comment l'ARC a été accueillie par les fabricants

En tant que première étape vers des normes de cybersécurité applicables à l'ensemble du marché, la loi bénéficie du soutien d'un grand nombre de fabricants et de groupes commerciaux importants. Cela peut contribuer à réduire la confusion et à relever les défis posés par les différentes réglementations nationales. Elle peut également contribuer à uniformiser les règles du jeu, en particulier pour les petites et moyennes entreprises [7].

Certains petits fabricants s'inquiètent de la charge réglementaire et du coût de la mise en conformité. En particulier, ceux qui disposent de moins de ressources pour investir dans de nouveaux processus et dans la formation. Ils se demandent si le calendrier est réalisable et s'il existe suffisamment de soutien pour les aider à s'adapter aux nouvelles réglementations.

Qu'est-ce que cela signifie pour les futures réglementations sectorielles ?

La loi européenne 2024 sur la cyber-résilience marque une évolution plus large dans la manière dont les gouvernements envisagent la cybersécurité. L'ARC garantit que la sécurité des produits est une priorité. Elle établit une obligation légale qui s'étend des étapes initiales au post-déploiement.

Harmonisation au niveau mondial : Les lois sur la cybersécurité pourraient converger si d'autres pays adoptaient les normes plus strictes de l'UE.

Une plus grande transparence : Il faut s'attendre à un étiquetage et à une documentation plus explicites sur les caractéristiques de sécurité d'un produit, potentiellement similaires à un "label d'efficacité énergétique", mais pour la cybersécurité.

Des exigences accrues en matière de compétences : La connaissance de la cybersécurité deviendra une compétence essentielle pour des fonctions qui ne s'y sont pas intéressées par le passé. Les ingénieurs, les techniciens et les spécialistes des achats pourraient avoir besoin d'une formation et de ressources supplémentaires.

La loi européenne sur la cyber-résilience (CRA) 2024 devrait transformer la conception, la production et la vente de produits dotés de composants numériques. Ce changement n'aura pas seulement un effet sur l'Europe, mais il aura également des répercussions à l'échelle mondiale. Sa vaste portée touche tout le monde, des plus petits fournisseurs de composants aux plus grands équipementiers. Par conséquent, il nécessite une approche de la sécurité des produits qui soit à la fois proactive et collaborative.

Le temps est un facteur essentiel pour les fabricants. À chaque étape du cycle de vie des produits, les entreprises doivent intégrer les questions de cybersécurité dans leurs activités. Cela est essentiel pour faire face au nombre croissant d'échéances importantes qui approchent. Les plus importantes d'entre elles sont celles de décembre 2024 à décembre 2027.

La portée de ce travail ira au-delà de la simple conformité. Il vous offrira l'occasion d'acquérir un avantage concurrentiel. Il vous permettra également d'améliorer votre image de marque tout en renforçant vos chaînes d'approvisionnement et vos méthodes de production.

Si les normes mondiales varient, le message principal reste le même : la cybersécurité n'est plus facultative ; elle est vitale pour l'industrie manufacturière moderne. Accepter ce changement peut aider à préparer les opérations pour l'avenir. Elle peut également protéger des données précieuses et garantir que les produits restent sûrs et sécurisés dans un monde interconnecté.