À retenir
- À partir du 11 septembre 2026, les fabricants devront signaler les failles exploitées sous 24 heures.
- Les caméras et alarmes sont classées comme produits importants de classe I.
- Les fabricants devront intégrer la cybersécurité dès la conception des produits à partir du 11 décembre 2027.
- La durée de support des mises à jour devra être indiquée lors de l’achat, avec un suivi d’au moins cinq ans.
Une première obligation dès septembre 2026
Le Cyber Resilience Act est entré en vigueur le 10 décembre 2024. Ce règlement européen fixe un socle commun de cybersécurité pour une grande partie des produits numériques vendus dans l’Union européenne.
Son application se fera en plusieurs étapes. La première arrive le 11 septembre 2026.
À partir de cette date, un fabricant qui découvre qu’une faille de sécurité est déjà exploitée devra lancer une première alerte sous 24 heures. Une notification plus détaillée devra suivre sous 72 heures, puis un rapport final une fois le problème traité.
La même logique s’appliquera aux incidents graves qui compromettent la sécurité du produit.
Toutes les vulnérabilités ne seront donc pas concernées par le délai de 24 heures. L’obligation vise les failles dont le fabricant sait qu’elles sont activement exploitées, ainsi que les incidents les plus sérieux.
Pourquoi les caméras et alarmes sont davantage surveillées
Le règlement distingue plusieurs niveaux de produits. Les caméras de sécurité et les systèmes d’alarme connectés ne sont pas rangés parmi les objets numériques les plus ordinaires.
Lorsqu’ils assurent principalement une fonction de sécurité, ils sont classés parmi les produits importants de classe I. Leur conformité sera donc contrôlée de manière plus exigeante.
Ce choix n’a rien d’étonnant. Une faille dans une caméra ou une alarme peut avoir des conséquences très concrètes : accès à des images privées, désactivation d’un système de protection ou prise de contrôle à distance.
Une nuance reste importante. Un appareil qui intègre une caméra comme simple fonction secondaire ne sera pas automatiquement classé dans cette catégorie.
Le Cyber Resilience Act ne remplacera pas non plus les normes déjà connues dans le secteur. La norme EN 50131 et la certification NF&A2P renseignent notamment sur la fiabilité et les performances d’un système d’alarme. Le nouveau règlement européen encadrera surtout la partie numérique : le logiciel, les mises à jour, les communications et la gestion des vulnérabilités.
Ce qui changera vraiment pour les acheteurs en 2027
Les obligations les plus visibles pour le public arriveront le 11 décembre 2027, date d’application complète du règlement.
Les fabricants devront alors intégrer la cybersécurité dès la conception de leurs produits. Ils devront aussi mieux protéger les données, limiter les accès inutiles et corriger les vulnérabilités pendant une période clairement annoncée.
La date de fin du support devra être indiquée au moment de l’achat, au minimum avec le mois et l’année.
En principe, ce suivi devra durer au moins cinq ans. Il pourra être plus court si la durée de vie normale du produit l’est également. Les correctifs de sécurité resteront gratuits pendant toute cette période.
Pour l’acheteur, ce sera un changement important. Une caméra ou une alarme ne pourra plus être jugée seulement sur son prix, son autonomie ou la qualité de ses capteurs. Il faudra aussi regarder combien de temps elle restera protégée contre les nouvelles failles.
Les bons réflexes à adopter dès maintenant
Il n’est pas nécessaire d’attendre 2027 pour vérifier la sécurité d’une caméra ou d’une alarme connectée.
Avant d’acheter, regardez d’abord si le fabricant annonce une durée de support. Consultez aussi l’historique des mises à jour et la fréquence des correctifs.
D’autres points méritent votre attention :
- la présence d’une authentification à deux facteurs ;
- le chiffrement des communications et des flux vidéo ;
- la possibilité de changer facilement les identifiants par défaut ;
- la transparence du fabricant lorsqu’une faille est découverte ;
- le fonctionnement du système en cas de coupure d’Internet ou d’indisponibilité du cloud.
Ces éléments sont moins visibles que la définition d’une caméra ou l’autonomie d’un détecteur. Pourtant, ils déterminent la capacité du produit à rester fiable et sûr dans le temps.
Pour une caméra, il faut aussi vérifier où les images sont stockées, combien de temps elles sont conservées et qui peut y accéder.
Un règlement qui relève le niveau minimal de sécurité
Le Cyber Resilience Act ne rendra pas toutes les caméras et alarmes invulnérables. Aucun règlement ne peut supprimer complètement le risque de faille.
Il obligera en revanche les fabricants à mieux préparer leurs produits, à réagir plus vite lorsqu’un problème est découvert et à annoncer clairement la durée du suivi de sécurité.
La première échéance arrive le 11 septembre 2026. Les changements les plus visibles suivront en décembre 2027. D’ici là, un nouveau réflexe peut déjà s’imposer : ne plus choisir une alarme uniquement pour ce qu’elle promet le jour de l’achat, mais aussi pour la manière dont elle sera protégée plusieurs années plus tard.
Pour aller plus loin, notre guide pour bien choisir une alarme maison détaille les critères à examiner avant de s’équiper.
