Laboratoire d'essais et conseil · Granges-Paccot

Réserver un appel

Directive 2014/53/UE · Règlement délégué (UE) 2022/30

Directive RED et EN 18031

Depuis le 1er août 2025, un équipement radio connecté à internet doit protéger le réseau, les données personnelles et, s'il permet des paiements, se prémunir contre la fraude. Les EN 18031 permettent de le démontrer, à condition d'en connaître les restrictions. Säfeli évalue votre produit mécanisme par mécanisme, vous aide à corriger et prépare la documentation.

Réserver un appel de 30 minVoir nos prestations
Exigences cyber obligatoires
01.08.2025
Normes EN 18031 harmonisées
3
Familles de mécanismes dans l’EN 18031-1
11
Relais par le Cyber Resilience Act
11.12.2027

Pour qui

Quels équipements radio sont concernés

  • Objets connectés

    Wi-Fi, Bluetooth, Zigbee, cellulaire : domotique, capteurs, passerelles, appareils pilotés par une application.

  • Produits pour enfants

    Jouets radio, babyphones et équipements de garde d’enfants, avec contrôle parental.

  • Objets portés

    Montres, bracelets et capteurs portés sur le corps qui traitent des données personnelles.

  • Paiement et valeur monétaire

    Équipements qui permettent de transférer de l’argent ou une monnaie virtuelle.

Nos prestations

De l’applicabilité au dossier technique

Une évaluation structurée selon l’EN 18031, avec les tests nécessaires et une documentation prête pour le dossier technique.

Objet connecté en cours d’essai radio
Applicabilité

Quelles exigences pour votre produit ?

Connexion à internet, directe ou par un autre appareil, données traitées, fonctions de paiement : nous déterminons lesquels des points d), e) et f) s'appliquent, quelles EN 18031 utiliser et quelles restrictions du Journal officiel vous concernent.

Ce que vous recevez

  • Analyse d’applicabilité des points d), e) et f)
  • Normes EN 18031 à appliquer
  • Points bloquants identifiés dès le départ

Références

  • Règlement délégué (UE) 2022/30
  • Décision d’exécution (UE) 2025/138
Caméra connectée ouverte reliée à un ordinateur pour une évaluation de sécurité
Évaluation

Évaluation EN 18031, mécanisme par mécanisme

Actifs, interfaces, contrôle d'accès, authentification, mises à jour, stockage, communications, cryptographie : nous appliquons les arbres de décision de la norme à votre produit et documentons chaque décision d'applicabilité et d'adéquation.

Ce que vous recevez

  • Inventaire des actifs et des interfaces
  • Décisions et justifications par exigence
  • Liste des écarts et mesures correctives

Références

  • EN 18031-1:2024
  • EN 18031-2:2024
  • EN 18031-3:2024
Ingénieur testant un boîtier électronique relié à un ordinateur portable
Tests

Tests de sécurité du produit

L'efficacité des mesures se vérifie sur le produit : services exposés, mots de passe, chiffrement des communications, mises à jour, interfaces de débogage. Nos tests confirment ce que la documentation affirme.

Ce que vous recevez

  • Plan de test lié aux exigences
  • Rapport de tests
  • Contre-test après corrections

Références

  • EN 18031-1:2024, annexe A
Nos tests d’intrusion produits
Consultant comparant un dossier technique à une liste d’exigences
Documentation

Documentation et déclaration UE

Rapport d'évaluation, justifications, résultats des tests et informations pour l'utilisateur : nous intégrons la cybersécurité au dossier technique RED et à la déclaration UE de conformité, avec la radio, la CEM et la sécurité électrique.

Ce que vous recevez

  • Rapport d’évaluation EN 18031
  • Contribution au dossier technique RED
  • Déclaration UE de conformité

Références

  • Directive 2014/53/UE, art. 17 et 21
Le marquage CE des produits connectés

Et aussi

Article 3.3

Les trois exigences de cybersécurité de la RED

Le règlement délégué (UE) 2022/30 active les points d), e) et f) de l'article 3.3 de la directive RED. Chacun vise des équipements différents et correspond à une norme EN 18031.

  1. 30.01.2025EN 18031 publiées au Journal officiel
  2. 01.08.2025Exigences applicables
  3. 11.12.2027Relais par le Cyber Resilience Act

  • Art. 3.3 d) Protection du réseau

    Tout équipement radio capable de communiquer sur internet ne doit pas nuire au réseau ni à son fonctionnement, ni en détourner les ressources.

    Règlement délégué (UE) 2022/30, art. 1, par. 1 ; EN 18031-1

  • Art. 3.3 e) Données personnelles

    Équipements connectés qui traitent des données personnelles, de trafic ou de localisation, ainsi que les équipements de garde d'enfants, les jouets radio et les objets portés.

    Règlement délégué (UE) 2022/30, art. 1, par. 2 ; EN 18031-2

  • Art. 3.3 f) Protection contre la fraude

    Équipements connectés qui permettent de transférer de l'argent, une valeur monétaire ou une monnaie virtuelle.

    Règlement délégué (UE) 2022/30, art. 1, par. 3 ; EN 18031-3

  • Directement ou par un autre appareil

    Un produit Bluetooth dont l'application relaie les données vers le cloud ou transmet les mises à jour communique en principe avec internet : il est concerné.

    Règlement délégué (UE) 2022/30, art. 1, par. 1

  • Exclusions

    Dispositifs médicaux et de diagnostic in vitro pour les trois exigences ; produits aéronautiques, véhicules et télépéage pour la protection des données et contre la fraude.

    Règlement délégué (UE) 2022/30, art. 1, par. 2 et 3, et art. 2

  • Après le 11 décembre 2027

    Le volet cybersécurité de la RED est abrogé et le CRA prend le relais. Les équipements mis sur le marché depuis le 1er août 2025 restent contrôlables selon la RED.

    Règlement délégué (UE) 2026/339

Sources : règlement délégué (UE) 2022/30, art. 1 et 2 ; décision d'exécution (UE) 2025/138 ; règlement délégué (UE) 2026/339.

EN 18031-1

Ce que l'EN 18031 vérifie

Onze familles de mécanismes de sécurité, évaluées sur les actifs et les interfaces de votre produit. L'EN 18031-2 y ajoute notamment la journalisation, l'effacement des données et le contrôle parental.

  • Contrôle d’accès et authentification

    Qui peut accéder à quoi, avec quels authentifiants : robustesse des mots de passe, changement des valeurs par défaut, protection contre la force brute.

    ACM, AUM

  • Mise à jour sécurisée

    Mécanisme de mise à jour du logiciel, vérification de l’authenticité et de l’intégrité des mises à jour, mises à jour automatiques.

    SUM

  • Stockage et communications

    Intégrité et confidentialité des actifs stockés et échangés, protection contre le rejeu.

    SSM, SCM

  • Résilience et trafic réseau

    Résister aux attaques par déni de service, surveiller le réseau et limiter le trafic malveillant, pour les équipements réseau notamment.

    RLM, NMM, TCM

  • Clés et cryptographie

    Pas de clé confidentielle statique par défaut, algorithmes et protocoles conformes aux bonnes pratiques.

    CCK, CRY

  • Capacités générales

    Logiciel à jour sans vulnérabilité connue, services et interfaces exposés au strict nécessaire, documentés, validation des entrées.

    GEC

Normes

Les normes de cybersécurité RED

Les trois EN 18031 sont harmonisées depuis le 30 janvier 2025, avec des restrictions. Elles renvoient à d’autres référentiels connus.

StatutNormeObjet
HarmoniséeEN 18031-1:2024Équipements radio connectés à internet, art. 3.3 d)
HarmoniséeEN 18031-2:2024Équipements traitant des données personnelles, art. 3.3 e)
HarmoniséeEN 18031-3:2024Équipements traitant de la monnaie virtuelle ou une valeur monétaire, art. 3.3 f)
CorrespondanceEN IEC 62443-4-2:2019Exigences techniques des composants industriels (EN 18031-1, annexe B)
CorrespondanceETSI EN 303 645 V3.1.3Cybersécurité de l'IoT grand public (EN 18031-1, annexe C)
RéférenceETSI TS 103 701*Cas d’essai pour l’ETSI EN 303 645

* Version à vérifier pour votre projet. Restrictions de la décision d'exécution (UE) 2025/138 : les sections « rationale » et « guidance » ne donnent pas la présomption, pas plus que les cas décrits ci-dessus. Aucune nouvelle édition des EN 18031 n'a été publiée au Journal officiel à ce jour (à vérifier au moment de votre projet).

Restrictions

Les restrictions qui font échouer un dossier

Les EN 18031 sont harmonisées avec des restrictions. Les connaître dès la conception évite de refaire le logiciel ou de devoir passer par un organisme notifié.

  • Mots de passe facultatifs

    Si l'utilisateur peut choisir de ne définir aucun mot de passe, l'EN 18031-1 et l'EN 18031-2 ne donnent pas la présomption de conformité.

    Décision d’exécution (UE) 2025/138, clauses 6.2.5.1 et 6.2.5.2

  • Contrôle parental

    Pour les jouets, la garde d'enfants et les objets portés, l'EN 18031-2 ne donne pas la présomption si le contrôle d'accès parental n'est pas assuré.

    Décision d’exécution (UE) 2025/138, clauses 6.1.3 à 6.1.6

  • Protection contre la fraude

    Certains critères d'évaluation de l'EN 18031-3 ne donnent pas la présomption de conformité : ils doivent être justifiés autrement.

    Décision d’exécution (UE) 2025/138, clause 6.3.2.4

  • Sans présomption, un organisme notifié

    Si une norme n'est pas appliquée entièrement, l'exigence correspondante passe par un examen UE de type ou une assurance qualité complète avec un organisme notifié. Une conception bien préparée l'évite.

    Directive 2014/53/UE, art. 17, par. 3 et 4

Notre méthode

Votre évaluation RED en quatre étapes

  1. Appel de découverte

    Votre produit, ses connexions, ses données et votre calendrier. 30 minutes.

  2. Applicabilité

    Points d), e) et f), normes à appliquer, restrictions et points bloquants.

  3. Évaluation et tests

    Mécanismes EN 18031, tests sur le produit, corrections avec vos équipes.

  4. Dossier

    Rapport d’évaluation, dossier technique et déclaration UE de conformité.

Marché suisse

La cybersécurité RED en Suisse

L'ordonnance de l'OFCOM sur les installations de télécommunication (OOIT) reprend les exigences de cybersécurité du règlement délégué (UE) 2022/30, applicables depuis le 1er août 2025. Les EN 18031 sont reprises comme normes suisses : la même évaluation vaut pour la Suisse et pour l'UE.

Sources : OOIT, RS 784.101.21, annexe 1, ch. 7 à 9, et art. 10b ; EN 18031-1:2024, avant-propos.

Ressources

Pour aller plus loin

Tous les articles

Questions fréquentes

Questions fréquentes sur la cybersécurité RED

Votre produit soulève une question particulière ? Posez-la directement à un ingénieur.

Réserver un appel
Depuis quand les exigences de cybersécurité de la RED s’appliquent-elles ?

Depuis le 1er août 2025, pour tout équipement radio mis sur le marché à partir de cette date. Elles restent applicables jusqu'au 11 décembre 2027, date à laquelle le Cyber Resilience Act prend le relais.

Sources : Règlement délégué (UE) 2022/30 ; règlement délégué (UE) 2026/339

Quelle EN 18031 dois-je appliquer ?

L'EN 18031-1 pour tout équipement radio connecté à internet (protection du réseau), l'EN 18031-2 s'il traite des données personnelles, de trafic ou de localisation, ou s'il s'agit d'un jouet, d'un équipement de garde d'enfants ou d'un objet porté, l'EN 18031-3 s'il permet des paiements. Un même produit relève souvent de deux, voire des trois normes.

Sources : Règlement délégué (UE) 2022/30, art. 1 ; EN 18031-1, -2 et -3:2024

L’EN 18031 est-elle obligatoire ?

Non, les exigences de la directive le sont, pas la norme. Mais l'EN 18031 appliquée entièrement est la seule voie qui permet au fabricant d'évaluer lui-même la conformité aux exigences de l'article 3.3. Sans elle, ou avec une clause frappée de restriction, l'évaluation fait intervenir un organisme notifié.

Sources : Directive 2014/53/UE, art. 17, par. 3 et 4 ; décision d’exécution (UE) 2025/138

Mon produit permet de ne pas définir de mot de passe : est-ce un problème ?

Oui, pour la présomption de conformité. La publication des EN 18031-1 et -2 au Journal officiel exclut ce cas. La solution la plus simple est souvent de revoir le mécanisme d'authentification dès la conception ; sinon, il faut passer par un organisme notifié pour l'exigence concernée.

Sources : Décision d’exécution (UE) 2025/138

Comment se passe une évaluation selon l’EN 18031 ?

Pour chaque mécanisme, la norme part des actifs et des interfaces du produit : un arbre de décision établit si l'exigence s'applique, puis si la mise en œuvre est adéquate. L'évaluation se fait à trois niveaux : la conception, la complétude des mesures, puis leur efficacité, ce qui implique un examen du produit du point de vue de l'attaquant.

Sources : EN 18031-1:2024, art. 5 et annexe A

Le travail fait pour l’EN 18031 servira-t-il pour le CRA ?

Largement. Les mécanismes de l'EN 18031 recoupent une grande partie des exigences de conception du CRA. Le CRA ajoute surtout l'analyse de risques documentée, la gestion des vulnérabilités pendant la période d'assistance et le signalement. Nous construisons votre dossier RED pour qu'il serve de base au CRA.

Sources : Règlement (UE) 2024/2847, art. 13 et annexe I (rapprochement : interprétation Säfeli)

Ces exigences s’appliquent-elles en Suisse ?

Oui. L'ordonnance de l'OFCOM sur les installations de télécommunication reprend les exigences de cybersécurité de la directive RED, applicables depuis le 1er août 2025. Les EN 18031 sont aussi des normes suisses.

Sources : OOIT, RS 784.101.21, annexe 1, ch. 7 à 9, et art. 10b

Réserver un appel

Parlez-nous de votre équipement radio

Choisissez directement un créneau de 30 minutes avec un ingénieur. Pas d'échange d'e-mails : vous choisissez l'heure, nous préparons l'échange.

Choisir un créneau

Coordonnées

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Téléphone
+41 79 737 37 93
Langues
Français, allemand, anglais
Réserver un appel