Le Cyber Resilience Act (CRA) ne s’applique pas uniquement aux objets connectés grand public. Son champ d’application est beaucoup plus large et concerne de nombreux logiciels, matériels et composants numériques commercialisés dans l’Union européenne.
Pour les fabricants, éditeurs de logiciels et distributeurs, la première étape consiste à déterminer si un produit répond à la définition d’un « produit comportant des éléments numériques ». Cette qualification conditionne ensuite l’ensemble des obligations prévues par le règlement, de la cybersécurité dès la conception jusqu’à la gestion des vulnérabilités.
Le périmètre du Cyber Resilience Act
Le règlement (UE) 2024/2847 définit un produit comportant des éléments numériques comme un produit logiciel ou matériel, ainsi que ses éventuelles solutions de traitement de données à distance. Les composants logiciels ou matériels commercialisés séparément peuvent également relever du CRA.
Trois critères permettent de déterminer si un produit entre dans le champ d’application du règlement :
- il contient un élément logiciel ou matériel numérique ;
- il est mis à disposition sur le marché de l’Union européenne ;
- son utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, physique ou logique, à un appareil ou à un réseau.
Cette définition donne au CRA un périmètre particulièrement large, bien au-delà des seuls objets connectés.
Les logiciels et applications concernés
Le Cyber Resilience Act couvre également les logiciels commercialisés lorsqu’ils sont destinés à fonctionner dans un environnement connecté.
Sont notamment concernés :
- les applications mobiles ;
- les logiciels installés sur un ordinateur ou un serveur ;
- les systèmes d’exploitation ;
- les navigateurs ;
- les gestionnaires de mots de passe ;
- les outils de cybersécurité ;
- les logiciels de supervision et d’administration réseau.
Un logiciel n’a donc pas besoin d’être associé à un équipement physique pour relever du règlement.
Les équipements matériels concernés
Le CRA s’applique également à de nombreux équipements intégrant des fonctions numériques.
Parmi les principaux exemples figurent :
- les ordinateurs et smartphones ;
- les routeurs et équipements réseau ;
- les caméras connectées ;
- les objets connectés domestiques ;
- les équipements industriels ;
- les automates ;
- les capteurs ;
- les cartes électroniques et circuits intégrés.
Les composants matériels commercialisés séparément peuvent eux aussi être concernés lorsqu’ils répondent aux critères du règlement.
Les composants numériques commercialisés séparément
Le Cyber Resilience Act ne vise pas uniquement les produits finis. Une bibliothèque logicielle, un firmware, une carte électronique ou un composant matériel peuvent relever du CRA lorsqu’ils sont commercialisés de manière indépendante. Les fabricants doivent donc analyser non seulement leurs produits finis, mais également les composants numériques qui les composent.
Le cas particulier des solutions SaaS
Les solutions SaaS nécessitent une analyse spécifique. Un logiciel proposé uniquement sous forme de service cloud n’est pas automatiquement considéré comme un produit comportant des éléments numériques. En revanche, lorsqu’un traitement de données à distance est indispensable au fonctionnement d’un produit, il peut entrer dans le périmètre du CRA.
Chaque situation doit donc être évaluée selon le lien fonctionnel entre le produit et le service distant.
Les produits exclus du champ d’application
Le règlement prévoit plusieurs exclusions afin d’éviter les chevauchements avec d’autres réglementations européennes.
Sont notamment exclus certains :
- dispositifs médicaux ;
- dispositifs médicaux de diagnostic in vitro ;
- équipements de l’aviation civile ;
- équipements marins ;
- véhicules couverts par une réglementation spécifique ;
- produits développés exclusivement pour la défense ou la sécurité nationale.
Ces exclusions doivent toutefois être vérifiées au cas par cas. Un composant vendu séparément peut rester soumis au CRA même s’il est intégré dans un produit bénéficiant d’un régime sectoriel spécifique.
Déterminer si un produit relève du CRA
Avant d’engager une démarche de conformité, il est recommandé de vérifier plusieurs points.
- Le produit contient-il un logiciel ou un composant numérique ?
- Est-il commercialisé sur le marché de l’Union européenne ?
- Peut-il communiquer, directement ou indirectement, avec un appareil ou un réseau ?
- Une fonction essentielle dépend-elle d’un traitement de données à distance ?
- Existe-t-il une réglementation européenne spécifique qui exclut ce produit du champ du CRA ?
Cette analyse constitue le point de départ de toute démarche de conformité et permet de documenter les décisions prises.
Pourquoi cartographier ses produits dès maintenant ?
Identifier les produits concernés permet d’anticiper les obligations réglementaires et d’éviter des erreurs de qualification. Pour les entreprises disposant de plusieurs gammes de produits, une cartographie facilite également la gestion de la documentation technique, des analyses de risques et des futures évaluations de conformité.
Des outils dédiés comme CRA Manager de Hoctave permettent de centraliser ces informations et d’assurer un suivi tout au long du cycle de vie des produits.
Ce qu’il faut retenir
Le Cyber Resilience Act couvre une grande variété de logiciels, matériels et composants numériques commercialisés dans l’Union européenne.
L’analyse ne dépend pas uniquement de la nature du produit, mais également de son mode de commercialisation, de ses connexions et de ses éventuels traitements de données à distance.
Identifier précisément les produits concernés constitue la première étape indispensable pour préparer sa conformité au CRA.
FAQ
Les logiciels sont-ils concernés par le Cyber Resilience Act ?
Oui. Les logiciels commercialisés pouvant être connectés directement ou indirectement à un appareil ou à un réseau peuvent relever du CRA.
Les objets connectés sont-ils tous concernés ?
Une grande majorité des objets connectés est concernée, sauf lorsqu’une réglementation européenne spécifique prévoit une exclusion.
Un composant vendu séparément entre-t-il dans le champ du CRA ?
Oui. Les composants matériels et logiciels commercialisés séparément peuvent être considérés comme des produits comportant des éléments numériques.
Le SaaS est-il soumis au CRA ?
Pas systématiquement. Un service SaaS autonome n’entre pas automatiquement dans le champ du règlement, sauf lorsqu’il constitue une solution de traitement de données à distance indispensable au fonctionnement d’un produit.
Les dispositifs médicaux sont-ils concernés ?
Les dispositifs médicaux couverts par les règlements européens dédiés sont exclus du CRA, sous réserve que cette exclusion soit bien applicable au produit concerné.
