Cybersécurité : la Commission européenne souhaite renforcer la sécurité des produits matériels et logiciels

La Commission a présenté une proposition de nouvel acte législatif sur la cyber-résilience visant à protéger les consommateurs et les entreprises contre les produits dont les caractéristiques de sécurité ne sont pas suffisantes. Cet acte, le premier de ce type dans la législation de l'UE, introduit des exigences obligatoires en matière de cybersécurité applicables aux produits comportant des éléments numériques, sur l'ensemble de leur cycle de vie. Il a pour objectif de garantir que les produits numériques, tels que les produits et logiciels sans fil et filaires, sont plus sécurisés pour les consommateurs dans l'ensemble de l'UE. La responsabilité des fabricants et des vendeurs sera accrue car ils seront obligés de fournir une assistance en matière de sécurité et des mises à jour logicielles pour remédier aux vulnérabilités recensées, et les consommateurs pourront disposer d'informations suffisantes sur la cybersécurité des produits qu'ils achètent et utilisent.

Les nouvelles mesures prévoient :
- des règles relatives à la mise sur le marché de produits comportant des éléments numériques afin de garantir leur conformité aux exigences de cybersécurité ;
- des exigences essentielles relatives à la conception, au développement et à la production des produits comportant des éléments numériques, et des obligations incombant aux opérateurs économiques en ce qui concerne ces produits ;
- des exigences essentielles relatives aux processus de gestion de la vulnérabilité mis en place par les fabricants pour garantir que les produits comportant des éléments numériques sont conformes aux exigences de cybersécurité tout au long de leur cycle de vie, et des obligations incombant aux opérateurs économiques en ce qui concerne ces processus. Les fabricants devront aussi signaler les vulnérabilités activement exploitées et les incidents ;
- des règles relatives à la surveillance du marché et au contrôle de l'application des règles.

Le règlement proposé s'appliquera à tous les produits qui sont connectés directement ou indirectement à un autre appareil ou réseau. Il existe certaines exceptions concernant les produits pour lesquels la législation existante de l'UE fixe déjà des exigences en matière de cybersécurité, tels que les dispositifs médicaux, l'aviation ou les voitures.

Il appartient maintenant au Parlement européen et au Conseil d'examiner le projet d'acte législatif sur la cyber-résilience. Une fois celui-ci adopté, les opérateurs économiques et les États membres disposeront de deux ans pour s'adapter aux nouvelles exigences. L'obligation faite aux fabricants de communiquer des informations concernant les vulnérabilités activement exploitées et les incidents fait exception à cette règle, puisqu'elle s'appliquerait déjà un an après la date d'entrée en vigueur, étant donné qu'elle exige moins d'adaptations organisationnelles que les autres nouvelles obligations. La Commission procédera régulièrement au réexamen de la législation sur la cyber-résilience et rendra compte de son fonctionnement.

Consulter le Questions/Réponses publié par la Commission.