info@nexustest.com.trE-mail+90 506 294 0970
NexusTest
Sécurité critique

Vos actifs numériques sont-ils vulnérables aux cyberattaques ?

Le monde de la cybersécurité est en constante évolution, les attaquants ne se reposent jamais et, dans le monde actuel du commerce électronique, les violations de données personnelles, le vol de propriété intellectuelle et les attaques de ransomwares sont de plus en plus courants.

Obtenez des tests de sécuritéEn savoir plus
Illustration d’un essai de cybersécurité produit : carte électronique embarquée, liaison Ethernet et écran d’analyse réseau
Annonce importante sur le CRA

11 septembre 2026 : début des obligations de déclaration des incidents et vulnérabilités

En vertu du règlement européen sur la cyberrésilience (Cyber Resilience Act — CRA), les fabricants devront déclarer les vulnérabilités activement exploitées et les incidents de cybersécurité graves affectant leurs produits via la plateforme unique de déclaration de l’Union européenne.

1109 / 2026

Calendrier des déclarations

24 heures

Alerte précoce

À compter du moment où le fabricant en prend connaissance.

72 heures

Notification complète

Une première évaluation détaillée de l’incident ou de la vulnérabilité.

Rapport final

14 jours / 1 mois

Dans les 14 jours suivant une mesure corrective pour une vulnérabilité ; dans le mois suivant la notification à 72 heures pour un incident grave.

Quels produits sont concernés ?

Le CRA couvre les « produits comportant des éléments numériques » dont l’utilisation prévue ou raisonnablement prévisible implique une connexion de données logique ou physique, directe ou indirecte, à un appareil ou à un réseau. Les exclusions propres à chaque produit et les interactions avec d’autres textes européens doivent faire l’objet d’une évaluation distincte.

Objets connectés et appareils intelligents
Produits domotiques et appareils électroménagers connectés
Routeurs, passerelles et équipements réseau
Caméras connectées et systèmes de sécurité
Commandes industrielles, automates programmables et produits d’automatisation
Équipements énergétiques intelligents, recharge de véhicules électriques et gestion de l’énergie
Logiciels et produits numériques commercialisés
Composants numériques intégrés aux produits connectés

Les principales obligations du CRA s’appliquent le 11 décembre 2027

Les obligations de déclaration applicables à partir du 11 septembre 2026 s’inscrivent dans la période de transition. La plupart des obligations essentielles relatives à la cybersécurité des produits et à la gestion des vulnérabilités s’appliqueront pleinement à compter du 11 décembre 2027.

Plafond des sanctions

Le non-respect des exigences essentielles de cybersécurité et des articles 13 et 14 peut entraîner des amendes administratives allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Des mesures correctives ou restrictives de surveillance du marché peuvent également s’appliquer.

Commencez votre préparation dès maintenant

NexusTest accompagne les fabricants dans la définition du périmètre du CRA, l’évaluation des risques de cybersécurité des produits, la gestion des vulnérabilités, la préparation aux incidents et aux déclarations, la documentation technique et la planification de l’évaluation de conformité.

Planifier un échange sur le CRA
Sources officielles :Guide de déclaration CRA de la Commission européenneRèglement (UE) 2024/2847

Ce contenu est fourni à titre d’information générale et ne remplace pas un avis juridique ou réglementaire adapté à un produit ou à une entreprise.

Les menaces auxquelles vous êtes exposé

La sécurité des données est la clé du succès à long terme d'une organisation

Violations de données

Exposition de données personnelles et d'entreprise à un accès non autorisé

Rançongiciel

Logiciel malveillant qui verrouille les systèmes et demande une rançon

Vol de propriété intellectuelle

Risque de vol de secrets d'entreprise et de brevets

Menaces persistantes avancées

Cyberattaques complexes et à long terme (APT)

Protégez vos données avec NexusTest

Les organisations responsables investissent massivement pour protéger leurs actifs numériques ; cependant, ils sous-estiment souvent la sécurité de leurs actifs et ne prennent pas de mesures de test pour garantir que leurs défenses sont toujours solides et actuelles.

Les tests de cybersécurité effectués par NexusTest peuvent vous aider à garantir que vos données sont correctement protégées.

ETSI EN 303 645 V3.1.3

La sécurité des objets connectés grand public

La norme définit des dispositions de haut niveau en matière de cybersécurité et de protection des données pour les appareils IoT grand public connectés à Internet ou à un réseau domestique et pour leurs services associés. L'ETSI TS 103 701 est utilisée pour l'évaluation systématique de la conformité.

Appareils IoT couverts :

Jouets et babyphones connectés pour enfants
Détecteurs de fumée, serrures de portes et capteurs de fenêtres connectés
Passerelles, stations de base et hubs IoT
Caméras, téléviseurs et haut-parleurs intelligents
Moniteurs de santé portables
Domotique et systèmes d'alarme connectés
Appareils intelligents comme les machines à laver et les réfrigérateurs
Assistants domestiques intelligents

Que vise la norme ?

ETSI EN 303 645 est un cadre de sécurité de base axé sur les résultats. Son objectif est de détecter les faiblesses de conception courantes telles que les mots de passe par défaut, les processus de mise à jour faibles, les services exposés et la mauvaise protection des données avant que les produits n'arrivent sur le marché.

Version actuelle de la norme ENV3.1.3 (septembre 2024)
Spécification d'évaluationTS 103 701 V2.1.1 (mai 2025)
Niveau de sécuritéSécurité de base contre les menaces courantes

Note d'évaluation

La norme se concentre sur les faiblesses les plus courantes et les plus importantes plutôt que sur un accès physique prolongé ou des acteurs de menace hautement sophistiqués. C'est pourquoi l'évaluation combine revue documentaire, déclarations des fournisseurs et vérification fonctionnelle.

L'appareil, l'application mobile, l'API cloud et les services back-end sont évalués ensemble lorsqu'ils font partie de la solution grand public.
La période de support, le mécanisme de mise à jour de sécurité et le canal de signalement des vulnérabilités doivent être clairement définis.
Les flux de données personnelles, de télémétrie et de suppression des données utilisateur sont vérifiés dans le comportement réel du produit, et pas seulement dans l'interface utilisateur.

Ce sur quoi nous nous concentrons pendant les tests

Les 13 sujets de cybersécurité de l'ETSI EN 303 645 et les dispositions associées en matière de protection des données sont traduits dans ces groupes de contrôle dans le laboratoire :

Identifiants par défaut

Nous examinons l'absence de mots de passe universels par défaut, la configuration sécurisée de l'identité lors de l'intégration et les protections contre les attaques par force brute.

Gestion des vulnérabilités

Nous évaluons le processus de divulgation des vulnérabilités du fournisseur, son point de contact en matière de sécurité et sa capacité à répondre aux incidents.

Mises à jour du logiciel

Nous vérifions le mécanisme de mise à jour, les protections d'intégrité, la période de support déclarée et la livraison sécurisée des correctifs de sécurité.

Communications et secrets sécurisés

Les clés, jetons, certificats et autres paramètres de sécurité sensibles sont vérifiés pour un stockage sécurisé, et les communications réseau sont examinées pour des protocoles sécurisés.

Surface d'attaque et intégrité

Nous examinons les services inutiles, les ports ouverts, les interfaces de débogage, le comportement faible des API et les contrôles d'intégrité des logiciels.

Confidentialité, résilience et données utilisateur

Nous vérifions la protection des données personnelles, la transparence de la télémétrie, la résilience aux pannes, la suppression des données utilisateur et le comportement de validation des entrées.

Déroulement d'évaluation selon ETSI TS 103 701

01

Définition du périmètre et de l'architecture

Le dispositif, les services associés, les interfaces, les rôles des utilisateurs et le cas d'usage du consommateur sont clarifiés afin d'identifier les dispositions applicables.

02

Préparation ICS/IXIT

Les déclarations du fournisseur, les fonctionnalités de sécurité prises en charge, la structure de mise à jour, l'authentification, les détails du traitement des données et des informations de test supplémentaires sont collectées.

03

Tests conceptuels et fonctionnels

Sur la base des groupes de tests TS 103 701, nous effectuons une revue des documents, des contrôles de configuration et une vérification fonctionnelle du comportement de l'appareil, y compris les services associés si nécessaire.

04

Constatations et mesures correctives

L'état de conformité, les preuves, le niveau de risque et les recommandations correctives sont signalés pour chaque clause applicable, suivis d'un plan de nouveaux tests si nécessaire.

Livrables du laboratoire et documentation

Matrice d'applicabilité et définition du champ d'application
Dossier d'évaluation technique basé sur ICS / IXIT
Résultats des tests fonctionnels et captures de preuves
Liste d'actions correctives pour les non-conformités
Re-test et vérification de fermeture en option
RED Cybersécurité

La série de normes harmonisées EN 18031

Les normes EN 18031-1, EN 18031-2 et EN 18031-3 font partie des voies techniques les plus claires pour démontrer la conformité à la cybersécurité RED. Ils sont particulièrement pertinents pour gérer la protection du réseau, la confidentialité des données personnelles et les risques de fraude liés aux équipements radio connectés à Internet.

Connexion réglementaire

La série prend en charge les exigences essentielles de l'article 3(3)(d), 3(3)(e) et 3(3)(f) de RED. Ses références ont été publiées au JOUE le 30 janvier 2025 et les exigences RED y afférentes en matière de cybersécurité sont devenues applicables le 1er août 2025.

Portée3 parties / RED 3(3)(d)-(f)
Référence JOUE30 janvier 2025
Date de candidature1er août 2025

Comment NexusTest peut vous accompagner

Nous vous aidons à déterminer quelle partie de la norme EN 18031 s'applique à votre produit, à élaborer le bon plan de test, à structurer le dossier technique et l'analyse des risques, et à gérer le laboratoire et le flux de travail de conformité dans un processus coordonné.

Les trois parties harmonisées de la série

Article 3, paragraphe 3, point d)
EN 18031-1:2024

Équipement radio connecté à Internet

Se concentre sur la prévention des dommages au réseau ou à son fonctionnement. Les attentes en matière de configuration sécurisée, de contrôle d’accès, de gestion des mises à jour et de renforcement des systèmes sont ici concentrées.

Un point de départ essentiel pour les routeurs, les passerelles, les appareils intelligents, les unités de contrôle connectées et les produits similaires connectés à Internet.
Article 3, paragraphe 3, point e)
EN 18031-2:2024

Équipements radio traitant des données

Cible les équipements traitant des données personnelles, des données de trafic ou des données de localisation. Outre les produits connectés à Internet, elle définit des attentes supplémentaires en matière de sécurité pour les équipements de puériculture, les jouets et les appareils portables.

La confidentialité, le contrôle d'accès des parents ou tuteurs et les paramètres par défaut sécurisés deviennent particulièrement importants dans cette partie.
Article 3, paragraphe 3, point f)
EN 18031-3:2024

Appareils traitant de l'argent virtuel ou une valeur monétaire

Vise à réduire les risques de fraude dans les équipements radio connectés à Internet impliqués dans les paiements, la monnaie électronique, les portefeuilles numériques ou des transactions monétaires similaires.

Les contrôles contre les transactions non autorisées, le piratage de compte et l'authentification faible sont essentiels dans cette partie.

Chronologie de conformité

12 janvier 2022

Le règlement délégué (UE) 2022/30 a été publié

Il définit quelles classes d'équipements radio seraient soumises aux exigences essentielles RED de l'article 3(3)(d), 3(3)(e) et 3(3)(f).

30 janvier 2025

Les références EN 18031 ont été publiées sous forme de normes harmonisées

La décision d'exécution (UE) 2025/138 de la Commission a publié les références au JOUE pour les normes EN 18031-1, EN 18031-2 et EN 18031-3.

1er août 2025

Entrée en application obligatoire

Suite au report introduit par le Règlement 2023/2444, les exigences RED en matière de cybersécurité ont commencé à s'appliquer en pratique à partir de cette date.

Notes de mise en œuvre importantes

Les sections intitulées « justification » et « orientations » ne constituent pas à elles seules une présomption de conformité ; l'évaluation principale doit suivre les exigences normatives.

Permettre à l'utilisateur de continuer sans définir et utiliser un mot de passe peut porter atteinte à la présomption de conformité en vertu des avis du JOUE pour les normes EN 18031-1, EN 18031-2 et EN 18031-3.

Pour les équipements de puériculture, les jouets et les appareils portables conformes à la norme EN 18031-2, le contrôle d'accès des parents ou tuteurs doit être soigneusement vérifié.

Pour la norme EN 18031-3, les critères d'évaluation liés à la fraude mis en avant dans les avis du JOUE nécessitent une attention supplémentaire.

Notre approche de la cybersécurité

Notre service d'évaluation de la sécurité est conçu pour identifier les menaces et les risques potentiels pour la sécurité des informations.

Méthode de test complète

Nous utilisons notre connaissance des menaces persistantes avancées (APT) et des outils, tactiques et procédures que de véritables acteurs malveillants exploiteraient pour tester de manière exhaustive les cyberdéfenses de votre organisation.

S'assurer que tous les aspects de la cybersécurité sont couverts
Déterminer le niveau de cybersécurité et l'exposition des actifs critiques
Préparation à la détection et à l'atténuation des cyberattaques

Approche méthodologique

Nos tests d'intrusion sont adaptés aux besoins spécifiques de votre entreprise ou organisation pour fournir une solution rentable.

Approche méthodologique:

  • Élimine la possibilité d'un faux sentiment de sécurité
  • Garantit la cohérence des résultats
  • Garantit que toutes les vulnérabilités sont trouvées

Vos livrables en cybersécurité

Rapport de synthèse

Synthèse claire et orientée action à destination de la haute direction

Analyse des risques fondée sur des preuves

Évaluation des risques et priorisation fondées sur des données probantes

Documentation technique

Documents techniques détaillés pour reproduire les résultats

Recommandations tactiques

Solutions à court terme immédiatement exploitables

Recommandations stratégiques

Feuille de route pour une stratégie de sécurité à long terme

Nos services

Nos services de cybersécurité

Tests d'intrusion

Nous testons vos systèmes avec des scénarios d'attaque réels

Évaluation de la vulnérabilité

Nous identifions les faiblesses de vos systèmes

Tests de sécurité IoT

Test des appareils IoT selon la norme ETSI EN 303 645

Certification de la sécurité de l’information

Conformité à la norme ISO 27001 et autres normes

Certification de la sécurité de l’information

Avec des systèmes de gestion réglementés et certifiés en matière de sécurité de l'information, vous créez une défense à long terme contre les événements inattendus, les accès non autorisés et les modifications indésirables.

Continuité des activités

Prestation de services ininterrompue

Protection de la réputation

Fiabilité et crédibilité

Confiance du client

Fidélisation accrue des clients

Confiez votre cybersécurité à des professionnels

En tant que NexusTest, nous sommes là pour protéger vos actifs numériques et construire une défense solide contre les cybermenaces.

Demander des tests de sécuritéTous les services