normakte / CRA pour objets connectés
Les appareils domestiques connectés sont le cas type du Cyber Resilience Act. L'essentiel est de savoir si l'appareil a une fonction de sécurité : c'est ce qui détermine la procédure.
| Appareil | Catégorie | Procédure |
|---|---|---|
| Serrure, caméra, babyphone, alarme | important, classe I | module A avec normes harmonisées ; sinon B+C ou H |
| Assistant vocal domestique | important, classe I | idem |
| Prise, thermostat, lampe sans fonction de sécurité | en général standard | contrôle interne (module A) |
Les produits domotiques dotés de fonctions de sécurité, comme les serrures, caméras de sécurité, babyphones et systèmes d'alarme, ainsi que les assistants virtuels pour la maison intelligente, sont des produits importants de classe I. Il en va de même des jouets connectés avec interaction sociale ou localisation et des objets portés pour le suivi de la santé ou destinés aux enfants. Les autres appareils, comme prises, thermostats ou lampes sans fonction de sécurité, relèvent en général de la catégorie standard.
Pas de mot de passe par défaut identique pour tous, paramètres sûrs dès la sortie d'usine, mises à jour de sécurité (automatiques le cas échéant, avec désactivation simple), minimisation des données et une période de support reflétant la durée d'utilisation prévue. Le point de contact pour les vulnérabilités figure dans les informations aux utilisateurs.
Les appareils Wi-Fi, Bluetooth ou réseau mobile doivent déjà respecter depuis le 1er août 2025 les exigences de cybersécurité de la directive équipements radio (EN 18031). Le CRA s'y ajoute en décembre 2027 ; les preuves sont réutilisables.
Registre, classification, SBOM, signalements avec délais et page cible pour les utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.