Les exigences de cybersécurité des équipements radio s'appliquent-elles à votre produit?

À qui cela s'applique

Fabricants, importateurs et distributeurs d'équipements radioélectriques connectés, portés, qui sont des jouets ou destinés à la garde d'enfants.

Les dates

Contraignant depuis le 1 août 2025.

La seule chose à faire

Déterminer lesquelles des trois exigences de l'article 3, paragraphe 3, atteignent le produit, puis constituer la documentation technique et la déclaration qui montrent comment il les respecte.

La détermination sur sa propre page(en anglais)

Les exigences, dans les mots du Journal officiel

• 3(3)(d)

  Ne pas nuire au réseau ni abuser de ses ressources

  les équipements radioélectriques ne portent pas atteinte au réseau ou à son fonctionnement ni ne font une mauvaise utilisation des ressources du réseau, provoquant ainsi une détérioration inacceptable du service;

• 3(3)(e)

  Intégrer des sauvegardes pour les données et la vie privée

  les équipements radioélectriques comportent des sauvegardes afin d'assurer la protection des données à caractère personnel et de la vie privée des utilisateurs et des abonnés;

• 3(3)(f)

  Prendre en charge des fonctions contre la fraude

  les équipements radioélectriques sont compatibles avec certaines caractéristiques assurant la protection contre la fraude;

Ces exigences prennent fin et le Cyber Resilience Act reprend

Commission Delegated Regulation (EU) 2026/339 abroge l'acte qui a activé ces trois exigences, avec effet au 11 décembre 2027. C'est le jour où le Cyber Resilience Act s'applique pleinement.

Le relais est voulu. Selon la Commission, l'annexe I de ce règlement couvre déjà tous les éléments des points d), e) et f). L'abrogation évite donc qu'un même produit relève des deux textes.

Conservez malgré tout les dossiers. La surveillance du marché au titre de la directive sur les équipements radioélectriques reste intacte pour les équipements mis sur le marché entre le 1 août 2025 et la veille du 11 décembre 2027. Les preuves de conception et d'essai survivent à l'acte qui les exigeait.

Ce qui change le 11 décembre 2027, unité par unité

Ce qui active chaque exigence

Les deux dérogations, et jusqu'où va chacune

• Les dispositifs médicaux sont hors des trois exigences

  Par dérogation à l’article 1, les exigences essentielles énoncées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE ne s’appliquent pas aux équipements radioélectriques auxquels s’applique également l’un des actes législatifs suivants de l’Union: a) le règlement (UE) 2017/745; b) le règlement (UE) 2017/746.

• Aviation, véhicules et péage ne perdent que e) et f)

  Par dérogation à l’article 1, paragraphes 2 et 3, les exigences essentielles énoncées à l’article 3, paragraphe 3, points e) et f), de la directive 2014/53/UE ne s’appliquent pas aux équipements radioélectriques auxquels s’applique également l’un des actes législatifs suivants de l’Union: a) le règlement (UE) 2018/1139; b) le règlement (UE) 2019/2144; c) la directive (UE) 2019/520.

La procédure de conformité, et ce que vaut la norme

• Directive 2014/53/EU, 17(3)

  Norme citée appliquée: le contrôle interne reste possible

  Lorsque le fabricant a appliqué des normes harmonisées dont la référence est parue au Journal officiel de l'Union européenne pour évaluer la conformité des équipements radioélectriques avec les exigences essentielles établies à l'article 3, paragraphes 2 et 3, il utilise l'une des procédures suivantes: a) le contrôle interne de la production, prévu à l'annexe II; b) l'examen UE de type, suivi par la conformité au type sur la base du contrôle interne de la production, prévu à l'annexe III; c) la conformité sur la base de l'assurance complète de la qualité énoncée à l'annexe IV.

• Directive 2014/53/EU, 17(4)

  Sans norme citée, un organisme notifié est requis

  Lorsque le fabricant n'a pas appliqué ou n'a appliqué qu'en partie des normes harmonisées dont la référence est parue au Journal officiel de l'Union européenne pour évaluer la conformité des équipements radioélectriques avec les exigences essentielles énoncées à l'article 3, paragraphes 2 et 3, ou lorsqu'il n'existe pas de normes harmonisées, les équipements radioélectriques sont soumis, pour ce qui a trait à ces exigences essentielles, à l'une des procédures suivantes: a) l'examen UE de type, suivi par la conformité au type sur la base du contrôle interne de la production, prévu à l'annexe III; b) la conformité sur la base de l'assurance complète de la qualité visée à l'annexe IV.

EN 18031, et pourquoi elle est nommée et non citée

La série de normes harmonisées écrite pour ces trois exigences est l'EN 18031. C'est une norme payante, donc cette page la nomme et n'en reproduit rien. Ce que la page porte, c'est la référence ci-dessous, dans les mots du Journal officiel. Elle dit quelle partie soutient quelle exigence, et jusqu'où la présomption de conformité ne va pas.

Une norme harmonisée citée fonde la présomption

Les équipements radioélectriques conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l'Union européenne sont présumés conformes aux exigences essentielles qui sont énoncées à l'article 3 et couvertes par ces normes ou parties de normes.

Les trois parties, et où s'arrête la présomption

• EN 18031-1:2024

  Soutient l'article 3(3)(d)

  Ne pas nuire au réseau ni abuser de ses ressources

  2 limites à la présomption

  • Les sections intitulées «Rationale» (Justification) et «Guidance» (Orientations) de la présente norme harmonisée ne confèrent pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point d), de la directive 2014/53/UE.
  • La présente norme harmonisée ne confère pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point d), de la directive 2014/53/UE si, par l’application de ses clauses 6.2.5.1 et 6.2.5.2, l’utilisateur est autorisé à ne pas définir et utiliser de mot de passe.

• EN 18031-2:2024

  Soutient l'article 3(3)(e)

  Intégrer des sauvegardes pour les données et la vie privée

  3 limites à la présomption

  • Les sections intitulées «Rationale» (Justification) et «Guidance» (Orientations) de la présente norme harmonisée ne confèrent pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point e), de la directive 2014/53/UE.
  • La présente norme harmonisée ne confère pas de présomption de conformité à l’article 3, paragraphe 3, premier alinéa, point e), de la directive 2014/53/UE si, par l’application de ses clauses 6.2.5.1 et 6.2.5.2, l’utilisateur est autorisé à ne pas définir et utiliser de mot de passe.
  • Pour les classes ou catégories d’équipements radioélectriques couvertes par la clause 6.1.3, 6.1.4, 6.1.5 ou 6.1.6 de la présente norme harmonisée, la présente norme harmonisée ne confère pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point e), de la directive 2014/53/UE si, par l’application de ses clauses 6.1.3.4.2, 6.1.4.4.2, 6.1.5.4.2 et 6.1.6.4.2, le contrôle d’accès par les parents ou tuteurs n’est pas assuré.

• EN 18031-3:2024

  Soutient l'article 3(3)(f)

  Prendre en charge des fonctions contre la fraude

  3 limites à la présomption

  • Les sections intitulées «Rationale» (Justification) et «Guidance» (Orientations) de la présente norme harmonisée ne confèrent pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point f), de la directive 2014/53/UE.
  • La présente norme harmonisée ne confère pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point f), de la directive 2014/53/UE si, par l’application de ses clauses 6.2.5.1 et 6.2.5.2, l’utilisateur est autorisé à ne pas définir et utiliser de mot de passe.
  • En ce qui concerne les critères d’évaluation énoncés dans la clause 6.3.2.4 de la présente norme harmonisée, la présente norme harmonisée ne confère pas de présomption de conformité à l’exigence essentielle énoncée à l’article 3, paragraphe 3, premier alinéa, point f), de la directive 2014/53/UE.»

Les références et les notes ci-dessus sont citées du Commission Implementing Decision (EU) 2025/138, qui les a ajoutées à Annex I to Commission Implementing Decision (EU) 2022/2191. Lu le 17 octobre 2026. Cette liste est modifiée de temps à autre: vérifiez-la avant de vous fier à une présomption.

Ce qu'un fabricant produit

• 18(1)Déclarer que les exigences essentielles sont respectées
• 21(1)Constituer la documentation technique de l'annexe V
• 21(2)Avoir la documentation prête avant la mise sur le marché
• 10(4)Conserver le dossier et la déclaration dix ans

Ce que nos intégrations peuvent montrer et ce qu'elles ne peuvent pas

Nos intégrations lisent votre propre environnement cloud, d'identité et d'appareils. Elles ne peuvent pas voir ce que fait l'équipement, et c'est précisément ce que demande l'article 3, paragraphe 3. Les trois exigences essentielles sont donc toujours démontrées par vos enregistrements de conception et d'essai, non par un connecteur. Ce que les connecteurs portent, c'est le système de management autour: les procédures documentées, les enregistrements à conserver et les mesures de développement sécurisé auxquelles le dossier renvoie.

Chaque exigence et dérogation ci-dessus est citée du Journal officiel, dans votre langue, par le catalogue que lit cette page. La date d'application est celle que le règlement délégué (UE) 2023/2444 a substituée; le texte publié en indique une antérieure d'un an. EUR-Lex

Questions fréquentes

Pourquoi des exigences écrites en 2014 ne s'appliquent-elles que depuis 2025?

L'article 3, paragraphe 3, de la directive n'atteint que les catégories d'équipements qu'un acte délégué nomme, et pendant des années aucun ne l'a fait. Le règlement délégué (UE) 2022/30 les a nommées. Son propre article 3 indiquait le 1er août 2024, et Commission Delegated Regulation (EU) 2023/2444 a remplacé ce paragraphe, de sorte que la date applicable est le 1 août 2025.

Un équipement porté est-il concerné sans connexion à l'internet?

Oui, et c'est le point le plus souvent mal lu. La condition de connexion figure au seul point a) de l'article 1er, paragraphe 2. Les équipements destinés à la garde d'enfants, les jouets relevant de la directive 2009/48/CE et tout ce qui est porté sur le corps ou les vêtements, attaché ou suspendu à ceux-ci, sont aux points b), c) et d), et ne portent aucune condition de connexion. Ce qu'il leur faut, c'est la capacité de traiter des données à caractère personnel, des données de trafic ou des données de localisation. À lire l'acte tel que publié, on croirait les données de trafic et de localisation toutes deux requises: le règlement délégué (UE) 2023/2444 a remplacé cette introduction et l'une des deux suffit désormais.

Devons-nous acheter l'EN 18031?

Non. Une norme harmonisée est volontaire et la conformité est due aux exigences essentielles de la directive, pas à la norme. L'article 17 rend le choix coûteux plutôt qu'obligatoire: appliquez les normes citées et le contrôle interne de la production reste ouvert, vous pouvez donc évaluer l'équipement vous-même. Ne les appliquez pas, ne les appliquez qu'en partie, ou constatez qu'il n'en existe aucune, et l'équipement passe à l'examen UE de type ou à l'assurance complète de la qualité, deux voies qui font intervenir un organisme notifié.

Le règlement sur la cyberrésilience remplace-t-il ceci?

Oui, à partir du 11 décembre 2027. Commission Delegated Regulation (EU) 2026/339 abroge l'acte qui a activé ces exigences avec effet à cette date, et le Cyber Resilience Act s'applique pleinement à partir du 11 décembre 2027. Son annexe I couvre tous les éléments des points d), e) et f), si bien qu'un produit ne relève jamais des deux. Les équipements mis sur le marché avant restent sous la surveillance du marché de la directive.

Quels enregistrements cela laisse-t-il?

La documentation technique de l'annexe V, constituée avant la mise sur le marché et tenue à jour, et la déclaration UE de conformité attestant que le respect des exigences essentielles a été démontré. Les deux sont conservées 10 ans à partir de la mise sur le marché.

Voir aussi:Outils gratuitsArticles