Le Cyber Resilience Act et la directive NIS 2 imposent un renforcement de la sécurité du matériel et des logiciels

À partir de décembre 2027, le Cyber Resilience Act (CRA), conjointement avec la directive Network and Information Systems Security (NIS2), obligera les fabricants à intégrer dès la phase de conception des mesures de sécurité strictes dans le matériel et les logiciels.

Agissez dès maintenant pour préparer votre organisation. Tout report peut entraîner des perturbations coûteuses, des délais de traitement plus longs et de lourdes amendes en cas de non-conformité. Il est donc important de préparer votre production à cette échéance suffisamment tôt. Êtes-vous prêt à satisfaire aux exigences ?

Qu’est-ce que le Cyber Resilience Act et la directive sur la sécurité des réseaux et des systèmes d’information (directive NIS2) ?

Le Cyber Resilience Act (CRA) est un règlement européen qui impose des exigences strictes en matière de cybersécurité aux fournisseurs de tous les produits matériels et logiciels dotés d’éléments numériques mis sur le marché européen. L’objectif du CRA est d’améliorer la sécurité numérique et de réduire les vulnérabilités des produits en obligeant les fabricants à prendre en compte la sécurité dès la phase de conception (« security by design »). En outre, ils doivent fournir des mises à jour et notifier les vulnérabilités pendant toute la durée de vie du produit.

Le CRA est partiellement entré en vigueur le 11 septembre 2026, avec une obligation de notification pour les vulnérabilités gravement exploitées et les incidents graves. À partir du 11 décembre 2027, tout nouveau produit numérique vendu devra être conforme au CRA et porter le marquage CE. Comme le CRA est un règlement, ses règles s’appliquent directement et sans modification dans tous les États membres de l’UE, et le non-respect peut entraîner de lourdes amendes ou des interdictions de vente.

Outre le CRA, il existe la directive Network and Information Systems Security Directive 2 (NIS2), une directive de l’UE qui renforce encore le niveau de cybersécurité au sein des secteurs essentiels et des entreprises de taille moyenne à grande. NIS2 étend le champ d’application de l’ancienne directive NIS1, qui visait les grandes entreprises et les infrastructures critiques telles que l’énergie, les transports, la santé et le secteur bancaire.

Les organisations relevant de NIS2 sont tenues d’adopter une obligation de diligence, de signaler les incidents cyber dans les 24 heures et de sécuriser leur chaîne d’approvisionnement (supply chain). NIS2 doit être transposée par les États membres de l’UE dans leur législation nationale.

En résumé, le CRA et NIS2 contribuent ensemble à créer un écosystème numérique plus sûr en Europe. Le CRA vise à garantir la sécurité des produits numériques et à maîtriser les vulnérabilités pendant toute leur durée de vie, tandis que NIS2 renforce la cyberrésilience des organisations et des réseaux critiques en imposant des exigences de sécurité et des obligations de notification plus strictes.

Cyber Resilience Act et directive NIS2 - Différence entre les législations

Quelle est la différence entre ces deux législations ?

Bien que le CRA et la NIS2 semblent, à première vue, comparables, il s’agit de deux législations européennes distinctes qui se complètent justement. Le CRA se concentre sur les fournisseurs de systèmes numériques et sur la sécurité des produits numériques tels que le matériel et les logiciels, tandis que la directive NIS2 vise les organisations fournissant des services essentiels et importants et impose des exigences en matière de cyberrésilience.

Les deux législations se renforcent mutuellement : les organisations soumises à la NIS2 sont tenues d’acheter des produits numériques sûrs. Grâce au CRA, les fournisseurs de ces produits satisfont à des exigences strictes en matière de cybersécurité et leurs produits portent le marquage CE. Cela permet aux organisations relevant de la NIS2 de maintenir plus facilement la sécurité de leurs réseaux et systèmes et de se conformer efficacement à leurs propres obligations.

Les exigences du CRA pour les fabricants et les fournisseurs

Le Cyber Resilience Act (CRA) impose des exigences strictes en matière de cybersécurité pour les produits comportant des composants numériques. Les obligations varient en fonction de votre rôle dans la chaîne de valeur. En tant que fabricant, vous portez la principale responsabilité, mais ces obligations sont également directement transmises aux fournisseurs et s’appliquent aussi lorsque vous intervenez en tant que fournisseur.

Mises à jour de sécurité

Les fournisseurs et les fabricants doivent fournir gratuitement et en temps utile des mises à jour de sécurité pendant toute la durée de vie, ou pendant cinq ans au maximum, afin de mettre à jour les systèmes qu’ils ont fournis.

Cyber Resilience Act - Obligation de notification

Obligation de déclaration

Les incidents et les vulnérabilités du système matériel ou logiciel doivent être signalés dans les 24 heures à l’équipe de réponse aux incidents de sécurité informatique (Computer Security Incident Response Team, CSIRT) et à l’Agence des télécommunications (RDI). En outre, les vulnérabilités doivent également être communiquées clairement au consommateur.

Documentation

Les fabricants et les fournisseurs doivent documenter la sécurité de manière approfondie et la démontrer au moyen d’une évaluation de conformité, souvent matérialisée par un marquage CE.

Software Bill of Materials

Les fabricants sont tenus de fournir une Software Bill of Materials (SBOM) pour les produits numériques. Il s’agit d’une liste numérique détaillée des ingrédients de leur logiciel, dans laquelle tous les composants intégrés au produit sont décrits.

Les exigences de la directive NIS 2 pour les organisations et les entreprises

La directive NIS2 oblige les organisations des secteurs vitaux et critiques à garantir de manière démontrable leur cybersécurité et leur résilience numérique. Cela entraîne quatre obligations essentielles : un devoir de vigilance, une obligation de notification, une obligation d’enregistrement et la responsabilité des dirigeants.

Network and Information Security Directive - Obligation de diligence

Devoir de diligence

Les organisations sont tenues de réaliser une analyse des risques et de prendre des mesures appropriées, telles que le contrôle d’accès, la gestion des sauvegardes, la réponse aux incidents, le chiffrement et la sécurisation de la chaîne d’approvisionnement.

Obligation de déclaration

Les incidents et les vulnérabilités du système matériel ou logiciel doivent être signalés dans les 24 heures à l’équipe d’intervention en cas d’incident de sécurité informatique (CSIRT) ainsi qu’au fournisseur du système.

Obligation d’enregistrement

Les grandes et moyennes organisations relevant des domaines d’application sont tenues de s’enregistrer auprès des autorités ou organismes de contrôle compétents, afin que le gouvernement puisse conserver une vue d’ensemble claire.

Pour obtenir des informations plus détaillées sur ce que le CRA et la directive NIS2 impliquent pour votre organisation, nous vous renvoyons aux sources officielles des autorités publiques. Vous y trouverez des explications détaillées et des directives pratiques spécifiquement adaptées à votre situation.

Cyber Resilience Act & NIS2-directive- Prise en charge des systèmes obsolètes

Support des systèmes de pesage industriels METTLER TOLEDO obsolètes

À partir de décembre 2027, il ne sera plus possible d’effectuer de mises à jour logicielles, de corrections de bugs ou d’autres adaptations pour les systèmes de pesage industriels METTLER TOLEDO obsolètes, car ils ne seront pas conformes. Le terminal de pesage figurant dans le bloc ci-dessous est à ce jour le seul terminal qui répond aux exigences du Cyber Resilience Act (CRA) et de la directive NIS2. Nous continuons à mettre à jour en permanence notre portefeuille afin de mieux répondre aux directives et réglementations en vigueur. Nous souhaitons ainsi soutenir vos processus de manière optimale et garantir un environnement de travail sûr et pérenne.

Si vous utilisez actuellement des systèmes de pesage industriels qui ne sont pas conformes aux législations CRA et NIS2, nous vous conseillons vivement de nous contacter dès que possible afin d’éviter toute non-conformité et les risques qui y sont associés. Cela est particulièrement important pour les systèmes engineer-to-order (ETO), car l’adaptation de nouveaux systèmes à vos besoins spécifiques peut prendre du temps. N’attendez donc plus et assurez-vous que vos systèmes soient conformes en temps voulu, afin que vos processus puissent continuer à fonctionner sereinement.

Disposez-vous de systèmes obsolètes et souhaitez-vous éviter toute non-conformité ? Nous serions ravis d’élaborer avec vous un plan de remplacement et d’examiner la meilleure manière de vous accompagner dans cette démarche. Contactez-nous pour plus d’informations ou pour prendre rendez-vous.