Notre appareil connecté face aux règles de cybersécurité

La directive 2014/53/UE sur les équipements radioélectriques contient depuis toujours des exigences de cybersécurité à l'article 3, § 3 : les équipements radioélectriques ne doivent pas nuire au réseau ni utiliser abusivement ses ressources (point d)), doivent comporter des garanties pour la protection des données à caractère personnel et de la vie privée (point e)) et doivent prendre en charge des fonctionnalités de protection contre la fraude (point f)). Ces exigences ne s'appliquent toutefois qu'aux catégories que la Commission désigne par acte délégué.^[1]

Le règlement délégué (UE) 2022/30 les désigne. Le point d) s'applique aux équipements radioélectriques connectés à internet ; le point e) s'applique aux équipements radioélectriques connectés à internet, aux équipements radioélectriques de puériculture, aux jouets radioélectriques et aux équipements radioélectriques portables susceptibles de traiter des données à caractère personnel, des données relatives au trafic ou des données de localisation ; le point f) s'applique aux équipements radioélectriques connectés à internet qui permettent au détenteur de transférer de l'argent, une valeur monétaire ou une monnaie virtuelle (article 1er). Les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro sont exclus, et les équipements radioélectriques également couverts par le règlement (UE) 2018/1139 (aviation civile), par le règlement (UE) 2019/2144 (réception par type des véhicules à moteur) ou par la directive (UE) 2019/520 (télépéage routier électronique) sont exclus des points e) et f) (article 2). Après une modification par le règlement délégué (UE) 2023/2444, il s'applique à partir du 1er août 2025 (article 3).^[2]

Les normes harmonisées EN 18031-1, -2 et -3:2024 ont été publiées avec des restrictions. Elles ne confèrent aucune présomption de conformité pour leurs sections consacrées à la justification et aux lignes directrices, ni lorsque l'utilisateur peut ne définir ni utiliser aucun mot de passe, et l'EN 18031-2 n'en confère pas pour les équipements visés par ses points 6.1.3 à 6.1.6 lorsque le contrôle d'accès par un parent ou un tuteur n'est pas assuré (décision d'exécution (UE) 2025/138, annexe). Lorsqu'un fabricant n'a pas appliqué, ou n'a appliqué qu'en partie, les normes harmonisées relatives aux exigences de l'article 3, § 3, l'équipement doit faire l'objet d'un examen UE de type ou d'une assurance qualité complète (directive sur les équipements radioélectriques, article 17, § 4).^[3]

Le règlement sur la cyberrésilience, règlement (UE) 2024/2847, constitue la couche suivante. Il s'applique aux produits comportant des éléments numériques dont l'utilisation prévue ou raisonnablement prévisible inclut une connexion de données directe ou indirecte à un appareil ou à un réseau (article 2, § 1). Il s'applique à partir du 11 décembre 2027, mais les obligations de signalement de l'article 14 s'appliquent à partir du 11 septembre 2026 et les règles relatives aux organismes notifiés à partir du 11 juin 2026 (article 71, § 2). Les fabricants signalent les vulnérabilités activement exploitées par une alerte précoce dans les 24 heures et une notification dans les 72 heures à compter du moment où ils en ont connaissance, puis par un rapport final dans les 14 jours suivant la disponibilité d'un correctif (article 14, § 1 et 2) ; les incidents graves sont signalés de la même manière (article 14, § 3 et 4). Le règlement délégué (UE) 2026/339 abroge le règlement délégué (UE) 2022/30 avec effet au 11 décembre 2027 (article 1er).^[4][5]