Directive RED et EN 18031 : la cybersécurité des équipements radio depuis août 2025

Avant même le Cyber Resilience Act, un premier texte a rendu la cybersécurité obligatoire pour une large famille de produits connectés : la directive RED (Radio Equipment Directive, 2014/53/UE), complétée par le règlement délégué (UE) 2022/30. Ses exigences de cybersécurité s’appliquent depuis le 1er août 2025.

Quels produits sont concernés ?

Les équipements radio capables de communiquer sur Internet, directement ou indirectement, ainsi que certaines catégories traitant des données personnelles ou des transactions financières. En pratique : capteurs et passerelles sans fil, équipements industriels communicants en Wi-Fi, Bluetooth ou réseau cellulaire.

Les trois exigences

• Protéger le réseau : l’équipement ne doit pas nuire au réseau ni à son fonctionnement.
• Protéger les données personnelles et la vie privée des utilisateurs.
• Protéger contre la fraude pour les équipements concernés par des transactions financières.

Les normes EN 18031

Les normes harmonisées EN 18031-1, -2 et -3 traduisent ces exigences en mécanismes vérifiables : gestion de l’authentification, mises à jour sécurisées, protection des communications et des données stockées, journalisation. Elles ont été référencées au Journal officiel de l’UE début 2025, avec certaines restrictions : selon les choix de conception, notamment en matière de mots de passe, l’intervention d’un organisme notifié peut rester nécessaire.

Et le CRA ?

Le Cyber Resilience Act élargit ensuite la logique à tous les produits comportant des éléments numériques, avec des exigences complètes au 11 décembre 2027. Les travaux menés pour la RED (analyse de risques, mises à jour, gestion des secrets) sont directement réutilisables.

Pour un fabricant de machines ou d’équipements connectés, le plus efficace est de traiter RED, CRA et Règlement Machines dans une même analyse d’écart.

Article informatif à jour au 29 septembre 2026. Les textes réglementaires et leurs calendriers évoluent : il ne constitue pas un avis juridique.