Développement sécurisé de logiciels & produits

Non. Les produits relevant du MDR ou de l’IVDR sont exclus du Cyber Resilience Act. Leur cybersécurité est encadrée par ces deux règlements sur les dispositifs médicaux ; le guide MDCG 2019-16 Rev. 1 et la norme IEC 81001-5-1, toujours non harmonisée, servent de référence. Les logiciels et équipements sans destination médicale – l’informatique hospitalière générale, par exemple – peuvent en revanche tout à fait relever du CRA.

Pas aux voitures, bus, camions et remorques homologués : ils relèvent de l’homologation de type de l’UE, qui encadre la cybersécurité par l’UN R155 et les mises à jour logicielles par l’UN R156. L’exclusion couvre en général aussi les systèmes et composants homologués pour ces véhicules. Depuis 2025, un acte délégué exclut en outre deux-roues, trois-roues et quads ; pour les nouveaux types de cette catégorie, l’UN R155 s’applique à partir du 11 décembre 2027. Produits de seconde monte, équipements de recharge ou applications hors homologation peuvent en revanche relever du CRA. Les cycles à pédales de la catégorie L1e restent également soumis au CRA.

Non, l’IEC 62443 est une série de normes internationales, pas une loi. Elle fait toutefois figure d’état de l’art pour les composants industriels et est en cours d’adaptation au CRA – notamment par des amendements d’EN IEC 62443-4-1 et -4-2 et par des profils propres à certains produits. La présomption de satisfaire aux exigences légales (présomption de conformité) ne naît qu’une fois une version harmonisée citée au Journal officiel de l’UE ; en octobre 2026, ce n’est pas le cas.

Depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves au CSIRT national compétent via la plateforme centrale de l’ENISA (Single Reporting Platform). Les délais : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’un correctif – pour les incidents, dans le mois qui suit la notification. L’obligation vaut aussi pour les produits mis sur le marché avant cette date.

L’UN R155 est un règlement d’homologation de type contraignant : sans système de management de la cybersécurité (CSMS) certifié, un type de véhicule n’est pas homologué. L’ISO/SAE 21434 est, elle, la norme d’ingénierie avec laquelle constructeurs et équipementiers mettent en œuvre les processus exigés, comme l’analyse des menaces et l’évaluation des risques (Threat Analysis and Risk Assessment, TARA). Elle n’est pas imposée par la loi, mais constitue la voie de preuve habituelle ; les lacunes, comme le catalogue de menaces de la R155, sont couvertes séparément.

Pas encore. La demande de normalisation de la Commission porte sur 41 normes horizontales et spécifiques aux produits. Selon un projet de modification, non adopté en octobre 2026, les premières normes horizontales devraient être disponibles fin octobre 2026 et les normes spécifiques fin décembre 2026. Tant qu’aucune version n’est citée au Journal officiel, il n’y a pas de présomption de conformité : les fabricants justifient eux-mêmes le respect des exigences, et les produits importants de classe I doivent alors passer par un organisme notifié.