Depuis le 11 septembre 2026, les fabricants doivent déclarer les vulnérabilités exploitées. Le marquage CE cybersécurité suit en décembre 2027. Voici comment vous y préparer, avec des équipements IEC 62443.
LE CONTEXTE
Le CRA est le règlement européen qui rend les fabricants responsables de la cybersécurité de leurs produits, de la conception à la fin du support. NIS et NIS2, elles, protègent les organisations.
Adoptée en 2016, appliquée dès 2017
Cible les entités essentielles :
Énergie, transports, infrastructures numériques, eau, santé, services financiers, administration publique.
Applicable depuis octobre 2024
Élargit aux entités importantes :
Postes, chimie, agroalimentaire, fabrication, recherche. Ces clients exigeront des équipements fiables.
Application complète le 11 déc. 2027
Vise tout produit avec éléments numériques vendu dans l’UE :
Matériel comme logiciel. Fabricants, importateurs et distributeurs sont tenus de s’y conformer.
CE QUE LE CRA EXIGE
DÉJÀ EN VIGUEUR
Alerte précoce sous 24 heures
Notification détaillée sous 72 heures
Rapport final dans les 14 jours suivant le correctif
Cela concerne aussi les produits déjà sur le marché.
Il vous faut un processus de gestion des vulnérabilités prêt à servir.
D’ICI LE 11 DÉCEMBRE 2027
Sécurité dès la conception et par défaut
Mises à jour de sécurité durant le support
Documentation technique et nomenclature logicielle (SBOM)
Évaluation de conformité et marquage CE
Des produits conçus selon IEC 62443-4-x offrent une base solide pour démontrer votre démarche.
LE PÉRIMÈTRE
Oui, si vous fabriquez, importez ou vendez dans l’UE un produit qui contient du numérique : matériel ou logiciel, connecté ou non à un réseau.
Conçoit et met le produit sur le marché. Il porte la responsabilité de la conformité.
Introduit dans l’UE un produit fabriqué hors UE. Il vérifie que le fabricant a rempli ses obligations.
Revend le produit. Il contrôle le marquage CE et la documentation avant la vente.
LE CONTEXTE CLIENT
Vos clients de ces secteurs doivent sécuriser leurs réseaux. Ils vont donc exiger des équipements conformes au CRA.
Dispositifs médicaux, informatique, systèmes électroniques, machines lourdes, véhicules.
Infrastructures fibre, cuivre et radio, plateformes de services, centres d’exploitation réseau.
Hébergement, alimentation et climatisation, gestion des accès, infrastructures cloud.
Surveillance des réservoirs, stations de pompage, qualité de l’eau, assainissement.
Suivi de satellites, télémesure, centres de contrôle de mission et de lancement.
Lignes automatisées, chaîne du froid, contrôle qualité, entrepôts et logistique.
Tri automatisé des colis, convoyeurs, vidéosurveillance, suivi de flotte.
Réseaux départementaux critiques, gestion du trafic et des services publics locaux.
Pour les fabricants, importateurs et distributeurs de produits connectés.
Cartographiez vos produits
Listez tout ce qui contient du numérique et placez-le dans le périmètre du CRA.
Montez votre processus de vulnérabilités
Surveillance, correctifs et canal de déclaration capables de tenir le délai de 24 h.
Appuyez-vous sur IEC 62443-4-x
Développement sécurisé (-4-1) et exigences techniques des composants (-4-2).
Documentez et préparez le marquage CE
Documentation technique, SBOM et évaluation de conformité avant décembre 2027.
DÉCRYPTAGE
Cette normeoffre un cadre éprouvé pour concevoir et prouver la sécurité d’un produit industriel.
Les produits SPHINX suivent la partie 4 de la norme (IEC 62443-4-x), celle des fabricants : -4-1 pour le développement sécurisé, -4-2 pour les exigences techniques des composants.
Fruit d’une collaboration entre industries, 123 exigences, regroupées en 7 familles :
Seuls les utilisateurs et appareils légitimes entrent.
Chacun ne fait que ce qui lui est autorisé.
Seules les personnes autorisées peuvent modifier le système.
Les informations sensibles restent protégées.
Les échanges suivent des chemins autorisés.
Détecter, alerter, réagir sans attendre.
La production continue, même sous attaque.
Un niveau de sécurité indique la capacité d’un équipement à résister à un adversaire. Les cinq niveaux, de SL0 à SL4, correspondent à des exigences techniques croissantes, adaptées à la motivation et aux moyens de l’attaquant visé.
Pour la plupart des applications industrielles, SL2 est jugé suffisant, les niveaux supérieurs entraînant davantage de contraintes d’exploitation et de maintenance ainsi que des coûts plus élevés.
Pour prouver la sécurité d’un produit, deux démarches existent. Elles n’offrent pas la même garantie.
Auto-évaluation par le fabricant.
Beaucoup moins coûteuse à obtenir, elle peut suffire pour des usages peu exposés.
Réalisée par un organisme tiers.
Elle garantit au client final que la norme est respectée. Le coût du produit augmente avec le niveau de sécurité visé.
NOS GAMMES
Trois constructeurs partenaires, sept familles d’équipements.
| Famille de produits | Advantech | InHand | Moxa |
|---|---|---|---|
| PC embarqués (RISC) | Oui | Oui | Oui |
| Passerelles Edge | Non | Oui | Oui |
| Routeurs | Non | Oui | Oui |
| Switchs manageables | Oui | Non | Oui |
| Point d’accès sans fil | Non | Non | Oui |
| Panel PC | Oui | Non | Non |
| Logiciels de gestion (non certifiables) | Oui | Non | Oui |
QUESTIONS FRÉQUENTES
Le CRA vise les produits avec éléments numériques mis à disposition dans l’UE : matériel comme logiciel, connectés ou non à un réseau. Fabricants, importateurs et distributeurs sont concernés. Nos experts peuvent vous aider à situer vos équipements.
Depuis le 11 septembre 2026 : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final dans les 14 jours suivant la disponibilité d’un correctif. Cela vaut aussi pour les produits déjà sur le marché.
NIS et NIS2 s’adressent aux organisations des secteurs concernés. Le CRA s’adresse aux produits eux-mêmes et à leurs fabricants, importateurs et distributeurs. Les deux se complètent : vos clients sous NIS2 attendront des produits conformes au CRA.
Pour la plupart des applications industrielles, SL2 est jugé suffisant. Les niveaux supérieurs alourdissent l’exploitation et la maintenance, et coûtent beaucoup plus cher à produire.
La conformité est une auto-évaluation du fabricant : moins chère, elle peut suffire pour des usages peu exposés. La certification est délivrée par un tiers et garantit au client final que la norme est respectée, avec un coût qui monte avec le niveau de sécurité.
La partie 4 s’adresse aux fabricants de composants, et c’est notre métier de distributeur de matériel industriel. Les produits que nous proposons relèvent donc de la norme 62443-4-x, qui couvre le développement du produit (-1) et ses exigences techniques de sécurité (-2).
PC embarqués, passerelles Edge, routeurs, switches manageables, équipements sans fil et Panel PC, selon le constructeur (Advantech, InHand ou Moxa). Les logiciels de gestion complètent la gamme, mais ils ne sont pas certifiables.
Nos conseillers vous aident à choisir le bon niveau de sécurité et les bons équipements, sans surcoût inutile.
