La date limite de la loi sur la résilience cybernétique est le 11 décembre 2027 : les pièces de rechange sont concernées
Les pièces de rechange contiennent des firmwares, et les firmwares comportent des risques
Une carte de capteur de remplacement pour un bras de robot collaboratif ressemble à un produit de base : un PCB, un connecteur, un boîtier. Mais si cette carte contient un microcontrôleur avec un logiciel embarqué, c’est un « produit contenant des éléments numériques » au sens du règlement (UE) 2024/2847, la loi sur la résilience cybernétique (CRA). Le règlement s’applique à partir du 11 décembre 2027 et n’exempte pas les pièces de rechange mises sur le marché séparément. Pour un réseau de services assemblant un support après-vente pour les fabricants chinois de robotique entrant en Europe, cela change la manière dont les pièces de rechange doivent être documentées, mises à jour et tracées.
La CRA définit un « produit contenant des éléments numériques » comme tout produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément. Un contrôleur moteur livré avec un firmware est un tel produit. Une carte de capteur qui exécute des routines d’étalonnage est un tel produit. Même un module d’E/S simple avec un chargeur de démarrage est concerné. Les seules pièces qui échappent à cette définition sont celles qui ne contiennent aucune logique programmable et aucun logiciel pouvant être mis à jour ou exploité.
Pourquoi une carte de remplacement n’est pas simplement un composant
Dans le contexte de l’après-vente, une pièce de rechange est souvent traitée comme un article de réparation, et non comme un nouveau produit. Mais la CRA examine le moment de la mise sur le marché, et non l’utilisation finale. Lorsqu’un distributeur ou un réseau de services stocke un contrôleur moteur de remplacement et le vend à un prestataire de maintenance, ce contrôleur est mis sur le marché en tant que produit autonome. Il doit répondre aux mêmes exigences essentielles de cybersécurité que l’équipement d’origine.
Cela signifie que la pièce de rechange doit être conçue, développée et produite de manière à être exempte de vulnérabilités exploitables connues, à avoir une configuration de sécurité par défaut et à être prise en charge par des mises à jour de sécurité pendant la durée de vie prévue du produit. Le fabricant doit également fournir une liste des composants logiciels (SBOM) et signaler les vulnérabilités activement exploitées à l’Agence de l’Union européenne pour la cybersécurité (ENISA). Ces obligations ne sont pas facultatives pour les pièces de rechange.
Pièces matérielles uniquement vs pièces avec firmware
La distinction est pratique. Un support métallique, un câble, un filtre passif ou un joint mécanique n’a pas d’éléments numériques. Il ne peut pas être mis à jour, ne peut pas être exploité et n’a pas besoin d’une politique de mise à jour de sécurité. Mais une carte de capteur de remplacement avec un microcontrôleur, un contrôleur moteur avec une pile CAN, ou un module de vision avec un traitement d’image embarqué est une catégorie différente. Le tableau ci-dessous résume les principales différences.
| Aspect | Pièce matérielle uniquement | Pièce avec firmware |
|---|---|---|
| Définition selon la CRA | Pas un produit contenant des éléments numériques | Produit contenant des éléments numériques |
| Exemples | Support, câble, dissipateur thermique, vis | Carte de capteur, contrôleur moteur, module d’E/S |
| Exigences de cybersécurité | Aucune | Conception sécurisée, gestion des vulnérabilités, support de mise à jour |
| Documentation | Fiche technique de base | SBOM, évaluation de la conformité, déclaration UE de conformité |
| Obligation de mise à jour | Non applicable | Mises à jour de sécurité pour la durée de vie prévue |
| Risque de surveillance du marché | Faible | Élevé en cas de non-conformité |
Ce que cela signifie pour les réseaux de services et les fabricants
Pour un réseau de services mis en place pour soutenir les fabricants chinois de robotique, la conséquence pratique est que la logistique des pièces de rechange doit être traitée comme une logistique de conformité des produits. Chaque pièce avec firmware doit être traçable jusqu’à un marquage CE qui inclut les exigences de la CRA. Le fabricant doit avoir un point de contact unique pour les problèmes de sécurité, et le réseau de services doit être en mesure d’identifier quelle version du logiciel est installée sur chaque pièce.
Ce n’est pas seulement une charge de paperasse. La CRA exige que les vulnérabilités soient traitées conformément à l’annexe I du règlement, qui comprend des obligations d’informer les utilisateurs et l’ENISA. Un réseau de services qui remplace un contrôleur moteur doit savoir si la nouvelle pièce a le dernier firmware et si les vulnérabilités connues sont corrigées. Si le réseau installe une pièce obsolète, il pourrait être tenu responsable de l’introduction d’une vulnérabilité dans le système du robot.
Étapes pratiques pour la conformité des pièces de rechange
- Classer chaque pièce de rechange : déterminer si elle contient une logique programmable ou un firmware.
- Pour les pièces avec firmware, obtenir la déclaration UE de conformité et la SBOM du fabricant.
- S’assurer que la période de mise à jour de sécurité de la pièce est clairement indiquée et que le réseau de services a accès aux fichiers de mise à jour.
- Conserver des enregistrements de la version du logiciel installée sur chaque pièce et de la date de mise à jour.
- Vérifier que le fabricant a un processus pour signaler les vulnérabilités à l’ENISA et pour notifier les utilisateurs.
Échéances et périodes de transition
La CRA est entrée en vigueur le 10 décembre 2024. La plupart des obligations s’appliquent à partir du 11 décembre 2027, date à laquelle les produits mis sur le marché doivent être conformes. Il y a une transition plus courte pour les obligations de signalement, qui s’appliquent à partir du 11 septembre 2026. Pour les pièces de rechange, la date clé est la même : à partir du 11 décembre 2027, toute pièce de rechange avec firmware mise sur le marché doit être conforme à la CRA.
Il convient de noter que le règlement ne comporte pas de catégorie distincte pour les pièces de rechange. Elles sont traitées comme tout autre produit contenant des éléments numériques. Cela signifie qu’un fabricant ne peut pas prétendre qu’une pièce de rechange est « uniquement pour réparation » et donc exemptée. Les orientations de la Commission européenne sur la CRA, disponibles sur sa page de stratégie numérique, confirment que le règlement s’applique aux produits mis sur le marché, quel que soit leur usage prévu.
Ce qui varie selon les pays et ce qu’il faut vérifier
Bien que la CRA soit un règlement directement applicable dans tous les États membres de l’UE, la surveillance du marché et l’application sont effectuées par les autorités nationales. Cela signifie que le niveau de contrôle peut varier d’un pays à l’autre. Certaines autorités peuvent se concentrer sur les produits à haut risque, tandis que d’autres peuvent effectuer des contrôles aléatoires. Les réseaux de services devraient vérifier auprès de l’autorité nationale de surveillance du marché de chaque pays où ils opèrent pour comprendre les priorités locales d’application.
De plus, la CRA est alignée sur les normes harmonisées qui sont encore en cours d’élaboration. Jusqu’à ce que ces normes soient publiées, les fabricants peuvent utiliser d’autres spécifications techniques pour démontrer leur conformité. Les réseaux de services devraient demander la documentation technique qui soutient le marquage CE, y compris l’évaluation des risques et les exigences de sécurité qui ont été appliquées.
Conclusion : les pièces de rechange sont une frontière de conformité
La loi sur la résilience cybernétique ne concerne pas seulement les nouveaux robots ou les appareils intelligents. Elle s’étend à l’écosystème de l’après-vente, où des pièces de rechange avec firmware sont mises sur le marché chaque jour. Pour un réseau de services local mis en place pour soutenir les fabricants chinois de robotique, le message est clair : traiter chaque pièce de rechange avec firmware comme un produit qui doit répondre aux mêmes normes de cybersécurité que l’équipement d’origine. Cela signifie demander la documentation appropriée, suivre les versions logicielles et être prêt à soutenir les mises à jour de sécurité. La date limite est le 11 décembre 2027, et elle arrivera plus vite que beaucoup ne le pensent.
Sources
- EUR-Lex — Règlement (UE) 2024/2847 (CRA) — https://eur-lex.europa.eu/eli/reg/2024/2847/oj (consulté le 2025-09-20)
- Commission européenne — Loi sur la résilience cybernétique — https://digital-strategy.ec.europa.eu/ (consulté le 2025-09-20)