Le Cyber Resilience Act (CRA) est le règlement (UE) 2024/2847. Il impose des exigences de cybersécurité aux produits comportant des éléments numériques mis sur le marché européen — matériels connectés comme logiciels. En vigueur depuis fin 2024, il applique l'essentiel de ses obligations à l'horizon fin 2027.
Ce que le texte demande
Le CRA raisonne en sécurité dès la conception et sur tout le cycle de vie du produit :
- pas de mot de passe par défaut, et configuration sûre à la livraison ;
- protection de la confidentialité et de l'intégrité des données et des commandes ;
- réduction de la surface d'attaque et minimisation des données traitées ;
- gestion documentée des vulnérabilités, mises à jour de sécurité, nomenclature logicielle ;
- obligations de notification des vulnérabilités activement exploitées.
Pour l'authentification, l'implication est directe : un produit livré avec un identifiant administrateur générique, ou dont le seul mécanisme de reprise en main repose sur un secret partagé, sera difficile à défendre au regard du texte.
À ne pas confondre avec NIS2
NIS2 s'adresse à des entités — leurs risques, leur gouvernance, leur chaîne d'approvisionnement. Le CRA s'adresse à des produits et à ceux qui les fabriquent ou les distribuent. Un même industriel peut donc relever de NIS2 pour son système d'information et du CRA pour les équipements qu'il commercialise. Les deux textes se rejoignent sur un point : l'authentification par défaut, faible et partagée n'est plus tenable.
Aller plus loin : ce que les textes exigent de l'authentification · les obligations CRA liées à l'authentification · définition de NIS2 · le 4ᵉ facteur cognitif