Exigences de cybersécurité de la directive RED : la série EN 18031 désormais obligatoire

La directive RED 2014/53/UE portait depuis des années trois objectifs de protection en matière de cybersécurité dans son texte, mais ils n'étaient pas appliqués. Le règlement délégué (UE) 2022/30 de la Commission a rendu ces articles applicables pour certaines classes d'équipements radio à compter du 1er août 2025.

Les trois objectifs entrés en vigueur sont : 3.3(d) protection du réseau, 3.3(e) protection des données personnelles et de la vie privée, 3.3(f) protection contre la fraude. Les trois peuvent s'appliquer ensemble au même produit, et lesquels s'appliquent dépend de la fonction du produit.

Cela signifie qu'une nouvelle section est ajoutée au dossier de conformité des produits radio connectés à internet. Le volet radio et CEM ne change pas ; une évaluation de cybersécurité s'y ajoute.

En tant que norme harmonisée, l'EN 18031-1:2024 définit des exigences de sécurité communes pour les équipements radio connectés à internet. L'EN 18031-2:2024 couvre les équipements traitant des données personnelles, des données de trafic ou de localisation, tandis que l'EN 18031-3:2024 couvre les équipements traitant de la monnaie virtuelle ou de la valeur monétaire.

Le fait que la série soit harmonisée confère au fabricant qui l'applique intégralement une présomption de conformité : il est réputé satisfaire aux exigences, et le dossier peut être clos par autodéclaration.

La présomption de conformité de la série n'est pas inconditionnelle. Si un produit déclenche l'une des clauses restreintes — par exemple une conception permettant à l'utilisateur d'omettre la définition d'un mot de passe — la présomption automatique de conformité ne naît pas.

Lorsque la présomption ne naît pas, la voie passe par un organisme notifié. C'est une différence qui change à la fois le calendrier et le coût : un dossier qui aurait été clos par autodéclaration se transforme en évaluation par tiers à cause d'un seul choix de conception.

C'est pourquoi lire les clauses restreintes de la norme au stade de la conception est bien moins coûteux qu'au stade des essais. Les mots de passe par défaut, une configuration initiale qu'on peut sauter et l'absence de mécanisme de mise à jour sont les déclencheurs les plus fréquents.

La législation de l'UE énonce les exigences essentielles, les normes en donnent l'équivalent technique. Lorsqu'une exigence entre en vigueur alors que la norme harmonisée n'est pas encore publiée, le fabricant se trouve dans une situation difficile : il doit démontrer le respect de l'exigence essentielle par son propre dossier technique ou recourir à un organisme notifié.

Lorsque la norme harmonisée est publiée, une PRÉSOMPTION de conformité naît : un produit conforme à la norme est présumé satisfaire à l'exigence essentielle, et la charge de la preuve est inversée. Le fabricant devient en mesure de faire sa propre déclaration.

C'est pourquoi le fait que les articles sur la cybersécurité disposent désormais d'une norme harmonisée revêt une importance distincte de l'obligation elle-même : l'obligation existait déjà, il existe désormais un moyen normalisé de la satisfaire.

La rubrique protection du réseau exige que le produit ne nuise pas au réseau auquel il se connecte et n'abuse pas des ressources réseau. Des identifiants par défaut faibles, des ports ouverts inutiles et un accès distant non authentifié sont des constatations typiques sous cette rubrique.

La rubrique protection des données personnelles exige que le produit protège les données personnelles qu'il traite et la vie privée de l'utilisateur : chiffrement de la transmission des données, protection du stockage local, contrôle de l'utilisateur sur ses données.

La rubrique protection contre la fraude exige l'intégrité et l'autorisation des transactions dans les produits ayant une fonction de paiement ou de transfert de valeur. Les trois rubriques s'appliquent à des groupes de produits différents ; quelle rubrique s'applique à quel produit relève de la détermination du champ d'application.

La preuve de cybersécurité n'est pas un résultat de mesure ; elle se compose de la liste des exigences appliquées, des interfaces couvertes, des contrôles effectués et de l'enregistrement de la façon dont les constatations ont été corrigées. Un rapport sans déclaration de périmètre ne peut être lu.

Les éléments que le rapport doit consigner sont : quelle version matérielle, quelle version logicielle, quelles interfaces et quelle configuration ont été testées. Une preuve sans information de version ne peut défendre sa validité après la prochaine mise à jour logicielle.

Le dossier ne se clôt pas à la mise sur le marché : l'obligation de surveillance ouverte et de mises à jour perdure pendant toute la période de support, et c'est la partie vivante du dossier technique.