Objets radio connectés : la cybersécurité est obligatoire depuis le 1er août 2025

Non : son application est volontaire. Ce sont les exigences de cybersécurité de la directive qui sont obligatoires, depuis le 1er août 2025, pour les équipements visés. Sans la norme, vous devez passer par un organisme notifié (directive 2014/53/UE, article 17, paragraphe 4).

La partie 1 vise tout produit radio capable de communiquer sur internet. La partie 2 s'y ajoute s'il peut traiter des données personnelles. Elle vise aussi, même sans internet, les jouets, les équipements de garde d'enfants et les objets portés qui le peuvent. La partie 3 s'ajoute si le produit permet de transférer de l'argent. Les catégories exactes sont à l'article premier du règlement délégué (UE) 2022/30.

Pas si vous appliquez la norme en entier : le contrôle interne vous reste ouvert. Il en faut un si vous ne l'appliquez qu'en partie, ou pas du tout (directive 2014/53/UE, article 17, paragraphes 3 et 4). Selon la Commission, il en faut un aussi quand une restriction de la citation touche votre produit.

Oui, dans deux cas. Le premier : votre produit est capable de communiquer sur internet, directement ou par un autre appareil. Le texte retient la capacité, pas la connexion effective. Un produit qui exécute les protocoles nécessaires pour échanger des données avec internet reste visé, même si votre client ne le relie pas. Le second : c'est un jouet, un équipement de garde d'enfants ou un objet porté, et il peut traiter des données personnelles. La protection des données et de la vie privée s'applique alors, même sans internet. Hors de ces deux cas, les trois exigences ne visent pas un produit radio incapable de joindre internet. Selon la Commission, c'est à votre analyse de risque d'établir cette incapacité. Les deux cas se lisent à l'article premier et au considérant 5 de l'acte délégué (UE) 2022/30.

Pas nécessairement. Le marquage CE couvre les exigences applicables au moment où vous avez établi votre déclaration. Votre évaluation date d'avant le 1er août 2025 et ne traite pas les points d), e) et f) de l'article 3, paragraphe 3 ? Alors le volet cybersécurité n'est pas couvert.

Non, et personne ne peut l'affirmer aujourd'hui. Les EN 18031 sont des normes harmonisées au titre de la directive 2014/53/UE, pas du règlement (UE) 2024/2847. Elles donnent une présomption de conformité dans le premier cadre, sous les restrictions de la décision d'exécution (UE) 2025/138. Elles n'en donnent aucune dans le second.

Le règlement délégué qui active ces exigences est abrogé avec effet au 11 décembre 2027 : le CRA prend le relais. Une attestation d'examen UE de type déjà obtenue reste valable jusqu'au 11 juin 2028, sauf si elle expire avant. C'est l'article 69, paragraphe 1, du règlement (UE) 2024/2847. Pour les normes elles-mêmes, la Commission dit prévoir de retirer leurs références de la liste, sans l'avoir fait à ce jour. À ce jour, elles ne donnent aucune présomption au titre du CRA.

Non, mais il faudra reprendre et compléter. Le CRA ajoute des obligations que le RED ne porte pas : le signalement des vulnérabilités activement exploitées, la nomenclature des logiciels, la période d'assistance et son affichage au moment de l'achat. Le socle d'analyse de risque et de contrôles produit, lui, se transporte.

Commencez par l'analyse de risque du produit et par l'état des lieux des mesures déjà en place. La plupart des entreprises ont déjà une partie des contrôles demandés, sans les avoir documentés ni rattachés à une analyse de risque. Le retard porte le plus souvent sur la preuve, pas sur la technique.

En France, AFNOR Éditions les publie sous les références NF EN 18031-1, NF EN 18031-2 et NF EN 18031-3, datées d'août 2024. Prenez la ou les parties qui visent votre produit.