Cybersécurité RED et EN 18031 : ce qui s'applique depuis août 2025

Pendant des années, le marquage CE d’un produit radio portait sur la sécurité électrique, la compatibilité électromagnétique et l’utilisation du spectre. Depuis le 1er août 2025, la cybersécurité en fait partie pour une grande partie des objets connectés. Voici ce qui s’applique, à qui, et comment le démontrer, état au 7 octobre 2026.

Ce qui a changé le 1er août 2025

La directive RED (2014/53/UE) contient depuis l’origine trois exigences de cybersécurité, à l’article 3, paragraphe 3 :

• d) protection du réseau : l’équipement ne porte pas atteinte au réseau et n’en utilise pas les ressources de manière inappropriée ;
• e) protection des données personnelles et de la vie privée ;
• f) protection contre la fraude.

Ces exigences ne s’appliquent qu’aux catégories d’équipements désignées par un acte délégué. C’est ce qu’a fait le règlement délégué (UE) 2022/30, applicable depuis le 1er août 2025 après un report d’un an.

Quels produits sont concernés ?

Un équipement radio est un produit qui émet ou reçoit intentionnellement des ondes radio pour communiquer ou se localiser. Parmi eux :

Exigence	Produits concernés
d) Réseau	Tout équipement radio capable de communiquer sur internet, directement ou par un autre équipement
e) Données personnelles	Les équipements qui traitent des données personnelles, de trafic ou de localisation et qui sont connectés à internet, ou qui sont conçus pour la garde d’enfants, couverts par la directive jouets, ou portés sur le corps ou les vêtements
f) Fraude	Les équipements connectés à internet qui permettent de transférer de l’argent, une valeur monétaire ou une monnaie virtuelle

Certains produits sont exclus : les dispositifs médicaux et de diagnostic in vitro pour les trois exigences ; les équipements relevant de l’aviation civile, des véhicules ou du télépéage pour les exigences e) et f).

Un objet Bluetooth piloté par une application, une caméra Wi-Fi, un thermostat connecté, une montre connectée ou un jouet radio sont typiquement concernés.

Les normes EN 18031

Trois normes européennes traduisent ces exigences en mécanismes de sécurité vérifiables :

• EN 18031-1:2024 pour la protection du réseau ;
• EN 18031-2:2024 pour les données personnelles ;
• EN 18031-3:2024 pour la protection contre la fraude.

Elles sont harmonisées depuis le 30 janvier 2025 (décision d’exécution (UE) 2025/138). Elles couvrent notamment le contrôle d’accès et l’authentification, les mises à jour sécurisées, la protection du stockage et des communications, la résilience et la gestion des clés. Chaque mécanisme s’évalue par un arbre de décision, sur trois niveaux : conception, complétude et efficacité.

Les restrictions à connaître

La citation au Journal officiel est assortie de restrictions : dans ces cas, la norme ne donne pas la présomption de conformité.

• Les parties « Rationale » et « Guidance » des normes ne donnent pas de présomption.
• Si l’utilisateur peut choisir de ne définir ni utiliser aucun mot de passe, il n’y a pas de présomption, pour les trois parties.
• EN 18031-2 : pas de présomption si le contrôle d’accès par les parents ou tuteurs n’est pas assuré, pour les jouets et la garde d’enfants.
• EN 18031-3 : pas de présomption pour les critères d’évaluation des mises à jour sécurisées de la clause 6.3.2.4.

Faut-il un organisme notifié ?

Tout dépend de l’application des normes :

• Normes EN 18031 appliquées entièrement, sans restriction : le contrôle interne de la fabrication (module A) suffit, sans tiers.
• Normes non appliquées, appliquées en partie, ou produit concerné par une restriction : l’exigence concernée passe par un organisme notifié, avec un examen UE de type ou une assurance complète de la qualité.

C’est souvent sur ce point que se joue le coût et le délai du projet : un choix de conception, comme imposer un mot de passe unique par appareil, peut éviter l’intervention d’un organisme notifié.

Comment démontrer la conformité

1. Vérifier le champ : votre produit relève-t-il de d), e) ou f) ?
2. Analyser les risques : identifier les actifs à protéger, les menaces et les scénarios d’attaque.
3. Appliquer les mécanismes de l’EN 18031 et documenter les choix pour chaque arbre de décision.
4. Évaluer l’efficacité des mesures, par des essais ciblés lorsque c’est pertinent.
5. Compléter la documentation technique et la déclaration UE de conformité, en citant les normes appliquées avec leur édition.

Le 11 décembre 2027, le CRA prend le relais

Le règlement délégué (UE) 2026/339 abroge le règlement 2022/30 avec effet au 11 décembre 2027. À cette date, le Cyber Resilience Act (règlement (UE) 2024/2847) s’applique pleinement à tous les produits comportant des éléments numériques, et son annexe I couvre les exigences d), e) et f). Les équipements mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 restent contrôlables selon la RED.

Le travail fait pour la RED n’est pas perdu : l’analyse de risques, les mécanismes de sécurité et la documentation servent de base à la conformité au CRA, qui ajoute notamment la gestion des vulnérabilités sur toute la durée de vie du produit. L’obligation de signaler les vulnérabilités activement exploitées s’applique d’ailleurs déjà depuis le 11 septembre 2026.

Et en Suisse ?

L’ordonnance sur les installations de télécommunication (OIT) reprend les exigences d) à f), et l’ordonnance de l’OFCOM (OOIT) les applique depuis le 1er août 2025. Les normes EN 18031 sont également reconnues. Le produit porte la marque suisse « CH » ou le marquage CE, et doit en plus respecter au moins une prescription technique d’interface de l’OFCOM.