Objets connectés : l’Union européenne durcit les règles de cybersécurité

Dans le cadre du Cyber Resilience Act, l’Union européenne travaille sur des normes communes de cybersécurité des objets connectés afin de renforcer la confiance des consommateurs dans ces produits.

Outre des exigences portant sur les propriétés et vulnérabilités des objets désignés, le texte législatif prévoit des obligations de transparence et d’information des utilisateurs.

Rendre des comptes sur les failles de sécurité

Présentée le 15 septembre par la Commission européenne, la proposition de loi sur la cyber-résilience compte obliger les fabricants et développeurs d’objets connectés à fournir des correctifs et des mises à jour de sécurité pendant toute la durée du produit ou cinq ans après sa mise sur le marché.

De plus, les entreprises devront documenter de manière la plus transparente possible les failles éventuelles et les incidents constatés. La proposition de loi prévoit aussi de les obliger à rendre compte de la façon dont ces incidents et failles ont été traités.

Sont concernés « tous les produits connectés directement ou indirectement à un autre objet ou réseau », c’est-à-dire les ordinateurs, téléphones, appareils ménagers, jouets, etc.

Ils devront tous porter une étiquette indiquant qu’ils sont conformes aux nouvelles règles européennes. Les clients seront ainsi informés des normes de cybersécurité des produits qu’ils achètent et utilisent.

Des fortes amendes

Les entreprises ne respectant pas ces nouvelles exigences s’exposeront à des amendes pouvant aller jusqu’à 15 millions d’euros ou 2,5% du chiffre d’affaires mondial.

Les États membres désigneront des autorités de surveillance du marché qui seront chargées de faire respecter les obligations de la loi sur la cyber-résilience.

En cas de non-conformité, ces autorités pourront demander aux organisations,d’éliminer le risque, d’interdire ou de restreindre la mise à disposition du produit sur le marché, d’ordonner son retrait ou son rappel.

Si elle est votée en l’état cette législation sera obligatoire dans toute l’Union européenne, mais aura aussi probablement des répercussions à l’échelle mondiale.

Toutes les entreprises vendant des objets connectés en Europe devront s’y conformer.