Combien d’objets connectés déployés dans les foyers et les entreprises résistent réellement à une tentative d’intrusion ? Les données récentes sur les vulnérabilités IoT et le nouveau cadre réglementaire européen permettent de mesurer l’écart entre le niveau de sécurité attendu et la réalité du terrain.
Cyber Resilience Act : ce que le règlement européen change pour les objets connectés
Le Cyber Resilience Act (CRA, Règlement UE 2024/2847) est entré en vigueur en décembre 2024. Ce texte transforme la cybersécurité des produits avec éléments numériques en caractère de conformité produit, au même titre que la sécurité électrique ou la compatibilité électromagnétique. Sans conformité, pas de marquage CE.
Les fabricants devront démontrer que leurs appareils IoT sont sécurisés par conception et par défaut, avec une gestion des vulnérabilités couvrant toute la durée de vie du produit. Les sanctions prévues peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel.
| Échéance | Obligation | Acteurs concernés |
|---|---|---|
| Décembre 2024 | Entrée en vigueur du CRA | Tous les fabricants de produits numériques |
| 11 septembre 2026 | Notification obligatoire des failles exploitées et incidents graves | Fabricants d’objets connectés vendus dans l’UE |
| Décembre 2027 | Conformité complète exigée pour le marquage CE | Fabricants, importateurs, distributeurs |
La plupart des guides de sécurité IoT accessibles en ligne restent sur des recommandations générales : changer le mot de passe par défaut, mettre à jour le firmware. Le CRA déplace la responsabilité du consommateur vers le fabricant. C’est un changement structurel.
Notification des failles IoT à l’échelle européenne dès 2026
À partir du 11 septembre 2026, tout fabricant de produit connecté visé par le CRA devra déclarer les vulnérabilités activement exploitées auprès de l’ENISA (Agence de l’Union européenne pour la cybersécurité). Cette obligation vaut aussi pour les incidents de sécurité graves.
L’ENISA a mis en place une plateforme de signalement unique (Single Reporting Platform) pour centraliser ces déclarations. Le dispositif s’ajoute aux obligations existantes sous la directive NIS 2, qui cible les opérateurs de services et les entreprises de secteurs critiques.
En pratique, un fabricant de caméras de surveillance connectées ou de thermostats intelligents qui découvre une faille activement exploitée devra la signaler dans des délais contraints. Ne pas le faire l’expose aux sanctions du CRA.
Ce que cela implique pour les entreprises qui utilisent des objets connectés
Les entreprises qui intègrent des appareils IoT dans leur réseau ne sont pas directement visées par l’obligation de notification. En revanche, elles bénéficieront d’une meilleure visibilité sur les failles connues grâce à la centralisation des signalements par l’ENISA.
Le problème reste la flotte existante. Les objets connectés déjà installés, souvent dépourvus de mécanismes de mise à jour automatiques, ne seront pas rétroactivement couverts par le CRA. La dette de sécurité IoT accumulée persiste même après l’entrée en application du règlement.
Failles des objets connectés : les vecteurs d’attaque les plus exploités
Les chercheurs en cybersécurité de Forescout et JSOF ont documenté, dans le rapport NAME:WRECK publié en avril 2021, neuf failles critiques affectant plusieurs piles protocolaires TCP/IP utilisées par les objets connectés. Ces vulnérabilités permettent de prendre le contrôle d’appareils à distance, voire de les rendre inutilisables.
Les vecteurs d’attaque récurrents sur les appareils IoT se regroupent autour de quelques faiblesses structurelles :
- Mots de passe par défaut ou codés en dur dans le firmware, jamais modifiés par l’utilisateur final et parfois impossibles à changer
- Absence de chiffrement des données transmises entre l’objet et le serveur cloud, ce qui expose les informations personnelles lors du transit sur le réseau
- Mécanismes de mise à jour inexistants ou non sécurisés, permettant l’injection de firmware malveillant lors d’une tentative de patch
- Interfaces de gestion (API, applications mobiles) mal protégées, offrant un point d’entrée direct vers le réseau domestique ou d’entreprise
Ces failles ne relèvent pas d’attaques sophistiquées. La majorité exploite des défauts de conception que le CRA vise précisément à éliminer en imposant la sécurité dès la phase de développement.
Normes harmonisées et marquage CE : le calendrier technique pour les fabricants
L’ETSI a lancé le processus d’approbation de 17 normes européennes destinées à soutenir l’application du Cyber Resilience Act. Parmi elles, la norme EN 303 645, initialement conçue pour la sécurité des objets connectés grand public, devient un socle de référence pour la conformité.
Le marquage CE intègrera des exigences de cybersécurité pour la première fois. Un fabricant de serrure connectée ou d’enceinte intelligente devra fournir une documentation technique prouvant la conformité aux normes harmonisées, exactement comme il le fait pour la sécurité électrique.
Produits classés « critiques » et certification renforcée
Le CRA distingue deux catégories de produits numériques à risque accru. Les produits classés « critiques » (systèmes d’exploitation, routeurs industriels, certains dispositifs médicaux connectés) devront passer par une évaluation de conformité réalisée par un organisme tiers. Les autres produits pourront s’auto-certifier, à condition de respecter les normes harmonisées.
Cette distinction crée deux niveaux d’exigence pour la protection des données IoT. Les fabricants d’objets grand public (montres connectées, ampoules intelligentes, caméras domestiques) auront une charge de conformité plus légère, mais devront malgré tout documenter leur gestion des vulnérabilités sur toute la durée de vie du produit.
Le calendrier laisse moins de marge qu’il n’y paraît. Les normes harmonisées sont encore en cours de finalisation, et les fabricants qui n’ont pas encore entamé leur mise en conformité devront absorber simultanément la refonte technique de leurs produits et la mise en place des processus de notification d’ici septembre 2026. Les entreprises qui vendent des objets connectés dans l’UE sans anticiper ces échéances s’exposent à un blocage commercial, puisque le marquage CE conditionne l’accès au marché européen.
