Règlement sur la cyberrésilience : guide à l'intention des fabricants de produits comportant des éléments numériques

Avec la publication du guide officiel de la CRA en juillet 2026, la Commission européenne a apporté des précisions sur de nombreuses questions relatives à la mise en œuvre pratique du règlement sur la cyberrésilience (CRA). Les nouvelles explications sont particulièrement pertinentes pour les fabricants de machines, d’installations, de systèmes robotiques et de solutions d’automatisation industrielle. Ce guide confirme une approche fondée sur les risques et apporte davantage de sécurité juridique concernant la gestion des systèmes existants, des pièces de rechange, des mises à jour logicielles et des modernisations.
 

À cet égard, le guide se réfère au « Blue Guide » et précise également que les termes « mise sur le marché » et « mise à disposition » doivent être compris comme se rapportant « à chaque produit pris individuellement », et non à un type de produit, « qu’il ait été fabriqué à l’unité ou en série ». 

Pour les logiciels autonomes mis à disposition sous forme numérique, ces termes s’appliquent, au sens du règlement (UE) 2024/2847, dès lors que leur développement est achevé et qu’ils sont proposés pour la première fois, dans lecadre d’une activité commerciale, en vue de leur distribution ou de leur utilisation sur le marché de l’UE.

Étant donné que les logiciels numériques peuvent être reproduits sans limites physiques de production ou de stockage, ce premier apport sur le marché vaut déjà mise sur le marché simultanée d’un nombre pratiquement illimité de copies identiques. Les téléchargements ou accès ultérieurs sont simplement considérés comme une mise à disposition du même produit déjà mis sur le marché, même s’ils ont lieu à des moments différents.

Les nouvelles versions du logiciel ne sont considérées comme étant à nouveau mises sur le marché que si elles constituent une modification substantielle (« substantial modification »). Les mises à jour mineures ou les itérations sans modification substantielle ne nécessitent pas de nouvelle évaluation de la conformité et ne modifient pas la date initiale de mise sur le marché.
Cette interprétation s’applique uniquement aux logiciels autonomes distribués par voie numérique. Elle ne s’applique pas lorsque :

• le logiciel est fourni sur des supports physiques (par exemple, une clé USB) ou
• le logiciel est commercialisé en tant que produit associé à du matériel informatique.
   

Le règlement (UE) 2024/2847 s'applique aux produits comportant des éléments numériques, c'est-à-dire aux produits matériels ou logiciels ainsi qu'à leurs solutions de traitement à distance, dans la mesure où ils disposent d'une connexion directe ou indirecte avec des appareils ou des réseaux.

Son champ d'application couvre notamment :

• les logiciels autonomes (par exemple, les applications ou les programmes informatiques)
• du matériel doté d’un logiciel intégré (par exemple, des appareils IoT)
• du matériel autonome (par exemple, des puces ou des cartes mères)
• Les combinaisons de matériel et de logiciels, même si celles-ci sont fournies séparément

Ce qui importe, ce n'est pas la manière dont le logiciel est fourni ni le moment où il l'est, mais le fait qu'il soit nécessaire au bon fonctionnement du produit. Si un appareil matériel ne peut remplir ses fonctions qu'en association avec un logiciel spécifique, le matériel et le logiciel sont considérés ensemble comme un seul et même produit comportant des éléments numériques.

Cela vaut également lorsque le logiciel n’est fourni qu’après la vente du matériel, par d’autres canaux (par exemple, site web, boutique d’applications, téléchargement). Citons par exemple les pilotes de périphériques pour imprimantes ou les applications permettant de contrôler un bracelet connecté, qui sont nécessaires au fonctionnement ou à l’utilisation de l’appareil.
 

Le règlement (UE) 2024/2847 s'applique aux produits comportant des éléments numériques lorsque leur destination prévue ou prévisible implique une connexion directe ou indirecte à un appareil ou à un réseau.

La définition du terme « produit comportant des éléments numériques » repose en fin de compte sur celle du terme « système d’information électronique », à savoir « un système, y compris des appareils électriques ou électroniques, capable de traiter, de stocker ou de transmettre des données numériques » (article 3, paragraphe 7, du CRA). Le champ d’application de la CRA n’est donc pas lié à la simple présence de composants électroniques, mais à la capacité d’un produit à échanger des informations numériques.

Il n’y a transmissiondedonnées au sens de la CRA que si des informations sont délibérément codées sous forme numérique (par exemple sous forme binaire) et peuvent être interprétées comme des données par un destinataire. Les signaux purement électriques qui se contentent de déclencher une fonction (par exemple, des signaux marche/arrêt sans transmission d’informations) ne sont pas considérés comme une connexion de données et ne relèvent donc pas de cet aspect du champ d’application de la CRA.
 

Le règlement (UE) 2024/2847 s'applique également aux « systèmes complexes » composés de plusieurs éléments matériels et logiciels, lorsqu'ils sont mis sur le marché en tant que produit unique.

La version finale des lignes directrices de la CRA consacre un chapitre distinct aux systèmes complexes (chapitre 2.6 « Complex systems », sections 29 à 32). La Commission européenne y reconnaît expressément que les machines industrielles, les chaînes de production et les solutions d’automatisation se composent souvent d’une multitude de composants matériels et logiciels, qu’elles ont des cycles de vie longs et qu’elles dépendent d’architectures, d’interfaces et d’exigences d’interopérabilité existantes.

Le guide confirme que ces contraintes techniques peuvent être prises en compte. Si certaines mesures de cybersécurité ne peuvent être pleinement mises en œuvre en raison de contraintes techniques ou d’architectures système existantes, des mesures alternatives ou compensatoires peuvent être utilisées. La condition préalable reste que les risques associés soient documentés de manière compréhensible et évalués dans le cadre de l’évaluation des risques de cybersécurité.

En raison de cycles de développement longs, d’architectures existantes ou d’une interopérabilité nécessaire, ces systèmes peuvent être difficiles à adapter aux nouvelles exigences de sécurité. Ils ne sont toutefois pas automatiquement exclus du champ d’application du CRA. Une approche fondée sur les risques s’applique à leur place.

Les fabricants doivent :

• réaliser une évaluation des risques liés à la cybersécurité,
• identifier et documenter les contraintes techniques,
• mettre en œuvre des mesures de sécurité alternatives ou compensatoires lorsque certaines exigences ne peuvent être pleinement satisfaites.

Ces contraintes, risques et mesures doivent être décrits de manière transparente dans la documentation technique et les informations destinées aux utilisateurs, puis régulièrement revus et, le cas échéant, mis à jour pendant toute la durée du support.
 

De nombreux constructeurs de machines utilisent des protocoles de communication, des systèmes de bus de terrain ou des composants de commande établis depuis des années. La ligne directrice finale reconnaît expressément que les mesures de sécurité modernes ne peuvent pas toujours être mises en œuvre intégralement en raison d'exigences d'interopérabilité ou de contraintes techniques. 

Dans de tels cas, les fabricants sont autorisés à recourir à des mesures de protection alternatives ou compensatoires, à condition que les risques soient documentés de manière compréhensible dans le cadre de l'évaluation des risques liés à la cybersécurité. Cette précision revêt une grande importance pratique, en particulier pour les fabricants et les exploitants d'installations de production existantes.
 

Les produits développés avant l'entrée en vigueur du règlement (UE) 2024/2847 peuvent continuer à être mis sur le marché sans qu'un nouveau développement soit nécessaire.

La version finale des lignes directrices du CRA (chapitre 2.7 « Produits comportant des éléments numériques conçus avant l’entrée en vigueur du CRA », paragraphes 33 à 39) précise davantage ce point. Pour de nombreux fabricants de machines, il s’agit certainement de l’une des précisions les plus importantes apportées par ces lignes directrices. La Commission européenne précise expressément que les produits comportant des éléments numériques qui ont déjà été développés avant l’entrée en vigueur du CRA ne doivent pas automatiquement faire l’objet d’une refonte ou d’une reconception complète. 

Les fabricants peuvent continuer à utiliser les conceptions existantes, à condition de pouvoir démontrer, sur la base d’une évaluation des risques liés à la cybersécurité, que les exigences fondamentales en matière de cybersécurité sont respectées. En outre, la Commission précise que les documents historiques de développement et d’essais ne doivent pas nécessairement être reconstitués dans leur intégralité. Il est possible de s’appuyer sur les preuves existantes et les évaluations de risques actuelles pour démontrer la conformité aux exigences du CRA.

La condition préalable est que le fabricant :

• procède à une évaluation des risques liés à la cybersécurité,
• démontre que le produit intègre déjà des mesures de sécurité adéquates et efficaces,
• et qu’il satisfasse ainsi aux exigences essentielles en matière de cybersécurité.

Même en l’absence de modifications de conception, toutes les obligations prévues par le CRA doivent toutefois être respectées, notamment :

• la réalisation d’une évaluation de la conformité,
• la rédaction de la déclaration de conformité UE,
• apposition du marquage CE,
• la documentation et l’évaluation des risques, ainsi que la documentation technique.

En l’absence d’une évaluation de sécurité initiale issue de la phase de développement, le fabricant doit réaliser une évaluation des risques à jour et documenter la manière dont les mesures existantes atténuent les risques identifiés. De plus, des processus de gestion des vulnérabilités doivent être mis en place et l’évaluation des risques doit être régulièrement mise à jour pendant la période de support.
 

L'article 3, paragraphe 30, du règlement (UE) 2024/2847 définit une « modification substantielle » une modification apportée à un produit comportant des éléments numériques après sa mise sur le marché, qui a une incidence sur la conformité du produit aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne une modification de la destination pour laquelle le produit a été fabriqué.

Conformément au CRA, toute personne ou entreprise est considérée comme un fabricant lorsqu’elle apporte une modification substantielle (« substantial modification ») à un produit et qu’elle le met ensuite à disposition sur le marché.

Cela concerne notamment :

• les importateurs ou distributeurs qui apportent une modification substantielle à un produit,
• toute autre personne physique ou morale qui procède à une telle modification,
• les modifications apportées à des produits mis sur le marché avant le 11 décembre 2027, si ceux-ci font l’objet d’une modification substantielle après cette date.

Dans le cadre du règlement (UE) 2024/2847, une distinction est établie entre les « modifications », les « réparations », les « pièces de rechange » et les « mises à jour logicielles » afin de déterminer s’il y a modification substantielle (« substantial modification ») d’un produit.

Modifications physiques / Réparations
L’entretien, la réparation ou le remplacement de composants n’entraînent pas automatiquement une modification substantielle. Ce qui est déterminant, c’est de savoir si :

• l’usage prévu du produit change ou
• si le risque en matière de cybersécurité augmente.

Le remplacement de pièces défectueuses par des composants équivalents ou de meilleure qualité n’est généralement pas considéré comme une modification substantielle, tant que la fonction et le risque restent inchangés.

Pièces de rechange

• Les pièces de rechange identiques, fabriquées selon les mêmes spécifications, ne relèvent pas du CRA.
• Les pièces de rechange non identiques sont considérées comme des produits à part entière et sont soumises au CRA.

Néanmoins, leur installation ne constitue généralement pas une modification substantielle du produit d’origine si la finalité et le profil de risque restent les mêmes.

Le guide final contient des explications nettement plus détaillées sur le thème des pièces de rechange (chapitre 4.2 « Spare parts », sections 96 à 102). 

La Commission européenne précise que toute modification technique n’entraîne pas automatiquement une réévaluation au titre du CRA. Le critère déterminant est notamment de savoir si les caractéristiques d’un produit liées à la cybersécurité sont modifiées. Il s’agit par exemple des fonctions cryptographiques, des mécanismes d’authentification, des protocoles de communication ou d’autres caractéristiques liées à la sécurité. 

Parallèlement, le guide précise les conditions dans lesquelles une pièce de rechange peut continuer à être considérée comme « identique ». Tant que la fonction, le profil de sécurité et la destination d’utilisation restent inchangés, le remplacement d’une pièce de rechange n’entraîne généralement pas de nouvelles obligations au titre de l’évaluation CRA pour l’ensemble du système.

Mises
à jour logicielles Une mise à jour logicielle est considérée comme une modification substantielle si elle :

• affecte la conformité aux exigences de cybersécurité ou
• modifie la destination d’origine du produit ou
• introduit de nouveaux risques de cybersécurité ou aggrave les risques existants qui n’avaient pas été pris en compte dans l’évaluation des risques initiale.

Les mises à jour de sécurité courantes ou celles qui étaient déjà prévues dans l’évaluation des risques initiale ne sont généralement pas considérées comme une modification substantielle.

Dans le secteur de la construction de machines et d’installations en particulier, les produits sont modernisés, étendus et adaptés à de nouvelles exigences pendant de nombreuses années. 

Le guide final du CRA (chapitre 4.3 « Software updates as substantial modifications », sections 103 à 112) précise que toute extension fonctionnelle ne doit pas automatiquement être considérée comme une modification substantielle. Ce qui est déterminant, c’est plutôt de savoir si la finalité d’utilisation initiale change ou si de nouveaux risques de cybersécurité, voire des risques accrus, apparaissent. 

La Commission européenne cite comme exemple le passage d’une solution de surveillance pure à une solution de contrôle actif. Cette clarification apporte une sécurité juridique supplémentaire, en particulier pour les projets de modernisation.  
 

Si une modification substantielle est apportée :

• le produit est considéré comme nouvellement mis sur le marché,
• la personne physique ou morale qui procède à cette modification est considérée comme le fabricant,
• une nouvelle évaluation de la conformité selon le CRA est requise

En ce qui concerne la documentation à la suite d’une modification substantielle, il est fait référence au Guide Bleu, point 2.1, qui précise ici que la documentation technique doit être mise à jour dans la mesure où la modification a des répercussions sur les exigences de la législation en vigueur. Il n’est pas nécessaire de répéter les essais ni d’établir de nouveaux documents portant sur des aspects non concernés par la modification. Il incombe à la personne physique ou morale qui apporte les modifications au produit ou qui les fait apporter de démontrer que tous les éléments de la documentation technique ne doivent pas être mis à jour. La personne physique ou morale qui apporte des modifications au produit ou qui les fait apporter est responsable de la conformité du produit modifié et doit établir une déclaration de conformité, même si elle utilise des essais et une documentation technique existants.

Les produits mis à disposition sur le marché avant le 11 décembre 2027 ne relèveront du CRA que s’ils subissent une modification substantielle après cette date.

Les lignes directrices finales relatives au CRA apportent des précisions importantes à ce sujet (chapitres 4.4.1 et 4.4.2 « Consequences of a substantial modification », paragraphes 117 à 124). 

Même en cas de modification substantielle, il n’est pas nécessairement obligatoire de réévaluer l’ensemble du produit. Dans la mesure où la modification n’a pas d’incidence négative sur la cybersécurité de l’ensemble du système et peut être clairement délimitée, les obligations au titre de la CRA peuvent se limiter aux composants et fonctions modifiés. 

Cette clarification revêt une grande importance pratique, notamment pour les projets de modernisation et de mise à niveau des machines et installations industrielles.  
 

Le guide précise expressément que la durée de cinq ans souvent mentionnée ne constitue que l’exigence minimale légale, c’est-à-dire le seuil minimal. Elle ne doit pas être considérée comme une valeur standard ou une règle générale applicable à tous les produits. Au contraire, le fabricant doit fixer la durée de prise en charge en fonction de la durée d’utilisation effective prévue (« expected use time ») du produit. Pour les produits dont l’utilisation devrait s’étendre au-delà de cinq ans, une durée de prise en charge nettement plus longue peut donc s’avérer nécessaire. (Chapitre 5 « Support period », sections 125-126). 

Lors de la détermination de la durée de support, les fabricants doivent notamment tenir compte des facteurs suivants : 

• les attentes raisonnablement prévisibles des utilisateurs concernant la durée de vie du produit 
• la nature et la destination du produit 
• la législation européenne applicable qui influe sur la durée de vie de certains produits 
• la disponibilité de l’environnement d’exploitation et du système requis 
• les durées de prise en charge des composants intégrés liés à la sécurité 
• les pratiques de marché comparables pour des produits similaires 
• les futures lignes directrices de la Commission européenne et des autorités de régulation du marché (chapitre 5, section 125 et note de bas de page 17). 

Cette clarification revêt une importance particulière pour le secteur de la construction de machines et d’installations. Alors qu’une période de support de cinq ans peut être appropriée pour certains logiciels ou appareils grand public, les installations industrielles, les machines de production, les systèmes robotiques ou les solutions d’automatisation sont souvent utilisés pendant dix, quinze, voire vingt ans. Les fabricants devraient donc vérifier dès que possible si leurs processus de service, de correction et de gestion des vulnérabilités sont adaptés pour fournir des mises à jour de sécurité tout au long du cycle de vie réel prévu du produit. La Commission européenne le précise clairement : les produits dont la durée d'utilisation prévue est supérieure à cinq ans doivent en principe bénéficier d'un support pendant une période proportionnellement plus longue. (Chapitre 5, sections 125-126).
 

Ce guide final apporte pour la première fois une réponse explicite à cette question fréquemment posée. Une « modification substantielle » n’entraîne pas automatiquement un redémarrage ou une prolongation de la période de support. Il convient plutôt de vérifier si la modification modifie les hypothèses initiales concernant la durée de vie prévue du produit. Ce n’est que dans ce cas qu’un ajustement de la période de support peut s’avérer nécessaire. (Chapitre 5.1 « Substantial modifications and the support period », sections 132 à 135).