17 normes techniques pour le Cyber Resilience Act : l'ETSI lance la consultation publique

L'ETSI a lancé le 13 août 2026 la procédure d'approbation de 17 normes européennes de cybersécurité destinées à traduire en exigences techniques concrètes les obligations du Cyber Resilience Act. De l'OS aux jouets connectés en passant par les VPN et les gestionnaires de mots de passe, ces standards fixeront la barre minimale de sécurité que les fabricants devront respecter avant la pleine application du règlement, en décembre 2027.

Ce qui s'est passé

L'European Telecommunications Standards Institute (ETSI), l'un des trois organismes de normalisation officiellement reconnus par l'Union européenne aux côtés du CEN et du CENELEC, a mis en consultation publique les projets finaux de 17 normes couvrant 17 catégories de produits : systèmes d'exploitation, routeurs, modems et switchs, pare-feu, VPN, conteneurs de virtualisation, systèmes de gestion de réseau, SIEM, antivirus, gestionnaires de démarrage, interfaces réseau, navigateurs, gestionnaires de mots de passe, logiciels d'infrastructure à clés publiques (PKI), objets connectés domestiques, systèmes de sécurité pour la maison connectée, jouets connectés et objets portables.

Ces projets de normes ont été transmis à 41 organisations membres à travers l'Europe, dont les organismes nationaux de normalisation de l'Espace économique européen. La consultation publique court jusqu'à mi-septembre ou mi-novembre 2026 selon les familles de produits, pour une publication des versions définitives attendue en décembre 2026 — un an avant l'entrée en application des obligations de fond du Cyber Resilience Act, le 11 décembre 2027.

Sur le fond, plusieurs standards imposent déjà des orientations précises : cryptographie moderne, paramètres sécurisés par défaut, nomenclature logicielle exploitable par machine (SBOM) et capacité de mise à jour post-commercialisation.

Pourquoi c'est important

Le Cyber Resilience Act s'articule directement avec l'article 32 du RGPD, qui impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles « appropriées au regard de l'état de l'art ». Or ces 17 normes ETSI vont précisément redéfinir cet état de l'art pour une large part du parc logiciel et matériel utilisé par les organisations : pare-feu, VPN, gestionnaires de mots de passe, systèmes d'exploitation. Une fois publiées, elles deviendront la référence technique à laquelle un DPO ou un RSSI devra pouvoir se rattacher pour démontrer sa conformité.

Cette dynamique de normalisation technique s'inscrit dans un calendrier CRA déjà documenté par ailleurs : le reporting obligatoire des vulnérabilités exploitées démarre le 11 septembre 2026, avant les obligations de sécurité par conception de décembre 2027. La synergie avec la directive NIS 2 est également directe : les deux textes partagent la même logique de gestion documentée du risque cyber, avec des autorités de contrôle et des délais de notification distincts.

Pour les organisations qui s'appuient sur des briques open source, la question de la gouvernance de ces dépendances devient elle aussi structurante — un enjeu déjà exploré à propos de l'articulation entre CRA, AI Act et gouvernance de l'open source.

Ce que ça change pour les organisations

Le calendrier laisse un an de visibilité, mais la préparation doit commencer dès la phase de consultation. Trois actions concrètes se dégagent :

Cartographier le parc de produits concernés : tout achat ou renouvellement de pare-feu, VPN, SIEM, antivirus ou gestionnaire de mots de passe engagera bientôt une exigence de conformité CRA, et donc un critère supplémentaire dans le choix des fournisseurs. Documenter dès maintenant les exigences attendues (chiffrement, SBOM, mises à jour) auprès des éditeurs et prestataires, pour éviter un rattrapage en urgence fin 2027. Vérifier la clause de sécurité des contrats de sous-traitance (article 28 du RGPD) afin d'y intégrer, à terme, une référence aux normes CRA une fois qu'elles seront publiées.

Les entreprises qui développent elles-mêmes des logiciels ou objets connectés entrant dans l'une des 17 catégories ont un intérêt direct à suivre la consultation publique de l'ETSI, ouverte jusqu'à l'automne : c'est la dernière fenêtre pour faire remonter des observations avant que ces standards ne deviennent la référence opposable du marché européen.

Ce que Leto pense de cette décision

Le Cyber Resilience Act cesse d'être un texte de principe pour devenir un référentiel technique daté et opposable. C'est une bonne nouvelle pour les équipes conformité : des normes précises, plutôt qu'une obligation générale de « sécurité appropriée », donnent enfin une grille concrète pour arbitrer les achats et documenter la conformité à l'article 32. Mais le revers de cette précision, c'est l'exigence de suivi qu'elle impose : 17 normes, sur 17 catégories de produits, avec des calendriers de consultation différenciés, cela ne se pilote pas au fil de l'eau. Les organisations qui attendront décembre 2027 pour s'y intéresser découvriront un parc entier de produits à requalifier dans l'urgence.

Sources : Infosecurity Magazine, ETSI