Règlement UE 2024/2847 · Produits connectés

Vos produits connectés seront-ils encore vendables en Europe en 2028 ?

Le Cyber Resilience Act impose de nouvelles exigences de sécurité à tous les produits connectés vendus dans l'Union européenne. MCDev met en conformité la partie logicielle de vos produits : applications, mises à jour du firmware et plateformes associées.

Demander un diagnostic

C.01

Une obligation légale, avec des échéances fixes

Le Cyber Resilience Act (règlement UE 2024/2847) s'applique à tout produit comportant des éléments numériques mis sur le marché européen : appareils connectés, logiciels, firmwares, et les plateformes en ligne nécessaires à leur fonctionnement. Les fabricants suisses qui exportent vers l'UE sont directement concernés.

Trois dates à retenir :

  • 11 septembre 2026 : les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves. Alerte précoce sous 24 heures, notification sous 72 heures.
  • 11 décembre 2027 : seuls les produits conformes et portant le marquage CE peuvent être mis sur le marché européen.
  • Pendant au moins 5 ans : le fabricant doit fournir gratuitement les mises à jour de sécurité de ses produits.

La Suisse prépare de son côté une législation sur la cyberrésilience des produits numériques, alignée sur le droit européen.

C.02

Ce que nous trouvons le plus souvent

Sur les produits qui associent un appareil, une application mobile et un serveur, les mêmes problèmes reviennent :

  • Une connexion Bluetooth non authentifiée : n'importe quel téléphone à proximité peut lire ou modifier la configuration de l'appareil.
  • Des clés secrètes intégrées dans l'application, identiques pour tout le parc, et récupérables en quelques minutes.
  • Des mises à jour du firmware non signées : l'appareil accepte un logiciel modifié ou le retour à une version vulnérable.
  • Un parc invisible : le fabricant ne sait pas quelles versions tournent chez ses clients, donc qui est exposé quand une faille apparaît.
  • Aucune liste des composants logiciels utilisés (SBOM), donc aucune alerte quand une dépendance devient vulnérable.
  • Aucun processus de signalement des vulnérabilités, alors que les délais légaux se comptent en heures.
C.03

Une démarche en trois étapes

1. Diagnostic

Nous analysons la chaîne logicielle de votre produit : application iOS et Android, communication avec l'appareil, mécanisme de mise à jour du firmware, serveur et dépendances. Vous recevez un rapport clair : ce qui est conforme, ce qui ne l'est pas, et un plan d'action priorisé.

2. Mise en conformité

Nous réalisons les corrections : appairage authentifié, autorisations vérifiées par l'appareil, mises à jour signées avec protection contre le retour en arrière, suivi des versions du parc, génération automatique du SBOM, surveillance des vulnérabilités et processus de signalement. Nous fournissons la documentation technique nécessaire à votre dossier de conformité.

3. Maintenance de sécurité

Nous assurons la veille sur les vulnérabilités, les correctifs et la publication des mises à jour pendant toute la durée de support exigée par le règlement, sous forme d'abonnement.

C.04

Nous construisons ce type de produit

Une expérience concrète

Nous avons conçu et mis en production des applications iOS et Android qui pilotent des équipements industriels en Bluetooth, avec mise à jour du firmware à distance, fonctionnement hors ligne et traçabilité complète des actions.

Toute la chaîne

Applications mobiles, backend, infrastructure et DevOps au sein d'une même équipe.

Hébergement suisse

Nous privilégions des solutions hébergées en Suisse et des outils sans dépendance à un fournisseur unique.

Une agence de proximité

Basée à Savièse, en Valais, nous travaillons avec les fabricants de toute la Suisse.

MCDev réalise le travail technique de mise en conformité. Pour les produits qui exigent une évaluation par un organisme tiers, nous travaillons avec vos partenaires juridiques et de certification.

?

Questions fréquentes

Mon entreprise est suisse, suis-je concernée ?

Oui, dès que vous vendez vos produits connectés dans l'Union européenne. Le règlement s'applique à tout produit mis sur le marché européen, quel que soit le pays du fabricant.

Mes produits déjà vendus doivent-ils être modifiés ?

Les produits mis sur le marché avant le 11 décembre 2027 ne sont pas soumis rétroactivement à toutes les exigences. En revanche, l'obligation de signaler les vulnérabilités activement exploitées s'applique déjà, et une modification substantielle d'un produit existant peut le faire entrer dans le champ du règlement.

Mon application est-elle concernée, ou seulement l'appareil ?

Le règlement couvre le produit dans son ensemble : l'appareil, son firmware, mais aussi les logiciels et plateformes nécessaires à son fonctionnement. L'application compagnon et la chaîne de mise à jour sont donc au cœur du sujet.

Délivrez-vous une certification ?

Non. Pour la plupart des produits, le fabricant réalise lui-même l'évaluation de conformité. Notre rôle est de rendre la partie logicielle conforme et de vous fournir les éléments techniques de votre dossier.

Combien de temps faut-il prévoir ?

Le diagnostic prend quelques jours. La durée de la mise en conformité dépend de l'état de votre produit. Avec l'échéance de décembre 2027 et les cycles de développement matériel, il est préférable de commencer dès maintenant.

Voir tous nos services →