Cyber Resilience Act : ce que ça change pour l’industrie
Cyber Resilience Act :
ce que ça change pour l’industrie
Automates, capteurs, passerelles IIoT, SCADA, équipements de contrôle — le CRA s’applique à tous les fabricants d’équipements industriels connectés vendus en Europe. Ce que ça impose concrètement, secteur par secteur.
L’industrie manufacturière est au cœur du Cyber Resilience Act. Les équipements industriels connectés — automates programmables, passerelles IIoT, systèmes de supervision, capteurs intelligents — sont précisément les produits que le CRA cible. Beaucoup de fabricants industriels pensent que le CRA concerne surtout les éditeurs de logiciels ou les fabricants de smartphones. Ce n’est pas le cas.
Un automate programmable avec interface réseau est un produit numérique au sens du CRA. Dès lors qu’un équipement industriel embarque un composant logiciel et dispose d’une interface de communication — Ethernet, Wi-Fi, Bluetooth, OPC-UA, Modbus TCP — il entre dans le périmètre du règlement.
1. Quels équipements industriels sont concernés
Le CRA couvre tout produit comportant des « éléments numériques » connectables à un réseau. Dans l’industrie, cela inclut :
Les équipements legacy ne sont pas exemptés : si vous mettez à jour le firmware d’un équipement existant ou le remettez sur le marché après une modification substantielle, les exigences CRA s’appliquent. La mise à jour logicielle peut déclencher la conformité même sur du matériel ancien.
2. Les spécificités industrielles face au CRA
Les fabricants d’équipements industriels font face à des contraintes particulières que les éditeurs de logiciels grand public ne rencontrent pas :
Durées de vie très longues
Un automate industriel peut rester en service 15 à 25 ans. Le CRA impose de définir une durée de support pendant laquelle les correctifs de sécurité sont fournis. Pour l’industrie, cette obligation crée un engagement commercial et technique sur le très long terme — avec des coûts de maintenance logicielle qui n’étaient pas prévus dans les modèles économiques traditionnels.
Contraintes de mise à jour en environnement opérationnel
Dans un environnement de production industrielle, une mise à jour firmware ne se déploie pas comme une mise à jour Windows. Elle nécessite des fenêtres de maintenance planifiées, des tests en environnement de qualification, une validation par le client. Le délai entre la publication d’un correctif et son déploiement chez les clients peut être de plusieurs semaines à plusieurs mois.
Ce que le CRA accepte : le règlement ne demande pas des correctifs déployés instantanément. Il demande que les correctifs soient disponibles rapidement et que les clients soient informés — via un VEX — de la disponibilité et des conditions de déploiement. La responsabilité du déploiement revient à l’opérateur industriel.
Composants tiers et open source embarqués
Les équipements industriels embarquent souvent des systèmes d’exploitation temps réel (VxWorks, QNX, FreeRTOS), des piles réseau, des bibliothèques de communication industrielle — parfois développées il y a 10 ou 15 ans, avec des vulnérabilités connues non corrigées. Le SBOM CRA va exposer ces dépendances de façon transparente.
3. Obligations CRA selon le type d’équipement
| Type d’équipement | Classe CRA probable | SBOM | Notification 24h | Audit tiers |
|---|---|---|---|---|
| Capteur connecté simple | Par défaut | ✓ Obligatoire | ✓ Si exploitée | Auto-évaluation |
| Passerelle IIoT / routeur industriel | Classe I | ✓ Obligatoire | ✓ Si exploitée | |
| Automate programmable (PLC) | Classe I | ✓ Obligatoire | ✓ Si exploitée | |
| Système SCADA / supervision | Classe I ou II | ✓ Obligatoire | ✓ Si exploitée | ✗ Audit obligatoire |
| Équipement sécurité fonctionnelle | Classe II | ✓ Obligatoire | ✓ Si exploitée | ✗ Audit obligatoire |
4. Cas concrets par sous-secteur industriel
Un fabricant d’onduleurs industriels avec interface de monitoring réseau est soumis au CRA (produit connecté) et potentiellement à NIS 2 (secteur énergie). Ses onduleurs embarquent généralement un OS embarqué Linux, une pile HTTPS et des bibliothèques de communication propriétaires.
- SBOM à produire pour chaque référence produit — y compris les composants de la couche firmware
- Processus CVE à connecter aux alertes sur OpenSSL, mbedTLS et autres bibliothèques réseau embarquées
- Durée de support à définir et communiquer — problématique sur des onduleurs avec durées de vie de 20 ans
- Canal de signalement sécurité à publier sur le site fabricant
Un fabricant de bras robotisés avec contrôleur connecté (télédiagnostic, mises à jour OTA, intégration MES) est en classe I CRA. Ses robots embarquent des OS temps réel, des middleware ROS ou propriétaires, et des interfaces réseau multiples.
- Classification des composants par criticité dans le SBOM — différencier les composants de contrôle temps réel et les composants de communication
- Processus de mise à jour firmware sécurisé (signature, vérification d’intégrité) — obligation CRA article 13
- Documentation technique sur le cycle de vie des composants — ROS en particulier avec ses versions à durée de support limitée
- VEX à produire pour les clients industriels qui exigent déjà ce niveau de transparence
Les systèmes de contrôle pour le traitement de l’eau entrent en classe II CRA — ils sont listés dans l’annexe II du règlement comme produits critiques. Un audit par organisme notifié est obligatoire avant la mise sur le marché.
- Audit de conformité CRA par organisme notifié — à anticiper dès maintenant, les capacités d’audit seront sous tension en 2026-2027
- Dossier technique complet requis — analyse de risque cybersécurité, documentation architecture, tests de sécurité
- Notification ENISA en 24h si exploitation active — processus à mettre en place urgemment
- Double conformité CRA + NIS 2 si l’entreprise opère aussi des services de distribution d’eau
SBOM par firmware et version, gestion CVE adaptée aux cycles de mise à jour longs, VEX pour les clients industriels et traçabilité complète pour les audits de classe I et II.
5. Le calendrier vu de l’industrie
Les délais CRA sont particulièrement courts pour l’industrie, où les cycles de développement sont longs et les processus de validation stricts :
- Maintenant → Septembre 2026 : mettre en place le SBOM automatisé, le processus CVE et le canal de signalement PSIRT. C’est la période critique — les équipes R&D industrielles ont besoin de temps pour intégrer ces outils dans leurs workflows.
- Septembre 2026 : notification ENISA en 24h obligatoire. Sans SBOM et processus CVE opérationnels, cette échéance est impossible à tenir pour un portefeuille multi-produits.
- Décembre 2027 : conformité produit complète. Pour les produits de classe I et II, les audits par organismes notifiés doivent être planifiés en 2026 — les capacités seront limitées.
La pénurie d’organismes notifiés : pour les produits de classe II, un audit par organisme notifié accrédité CRA est obligatoire. Ces organismes sont peu nombreux aujourd’hui et leur montée en charge prendra du temps. Les fabricants qui attendent 2027 pour initier leur démarche risquent de ne pas trouver de créneau d’audit à temps.
6. Par où commencer pour un fabricant industriel
- Cartographier vos produits et leur classe CRA : listez vos références avec interface réseau, évaluez leur classe probable. Les produits de classe II ont besoin d’un traitement prioritaire.
- Lancer le SBOM sur vos produits les plus exposés : commencez par le produit avec le plus grand volume installé ou le plus grand risque CVE. Un premier SBOM automatisé vous donnera une vision claire de votre exposition.
- Auditer vos composants legacy : les OS embarqués et bibliothèques réseau anciens sont votre principal risque. Identifiez les composants en fin de support et planifiez leur remplacement ou leur mitigation.
- Définir votre politique de durée de support : c’est une décision commerciale autant que technique. Elle doit être cohérente avec les attentes de vos clients industriels et documentée dans votre dossier technique CRA.
VAST comprend les contraintes de l’industrie
Cycles de vie longs, firmware embarqué, composants legacy, fenêtres de maintenance — VAST est conçu pour la réalité des fabricants d’équipements industriels connectés.