Cyber Trust Mark : la FCC propose label et renouvellement

Hugues Orgitellomis à jour le 28 oct. 20268 min de lecture

Le 27 octobre 2026, le Public Safety and Homeland Security Bureau de la FCC a publié l'avis public DA 26-1162 dans le PS Docket No. 23-239. Il soumet à commentaires les recommandations déposées en juin 2025 par le premier Lead Administrator sur la conception du label FCC IoT, le registre des produits, le renouvellement des certifications et la surveillance après mise sur le marché, et il joint un projet de règles pour la partie 8 du 47 CFR. Le Bureau propose d'adopter l'essentiel de ces recommandations avec des modifications, dont un renouvellement tous les trois ans au lieu des cinq ans recommandés par les parties prenantes. Il s'agit de propositions : le programme volontaire US Cyber Trust Mark n'accepte toujours aucune demande produit, et les exigences techniques seront soumises à commentaires dans un avis public ultérieur.

En résumé :

Label : le label FCC IoT (Cyber Trust Mark et QR code) mesurerait au moins 1 pouce sur 2, imprimé sur l'emballage ou apposé en étiquette adhésive, et figurerait aussi dans la documentation du produit, en ligne et papier.
Fiche cyber : les informations derrière le QR code seraient en anglais et en espagnol et indiqueraient les capacités caméra/vidéo, audio et de localisation. La mention de la tenue d'une HBOM ou d'une SBOM resterait au premier niveau.
Renouvellement : tous les trois ans, demande déposée au moins 90 jours calendaires avant l'expiration, décision du CLA sous 90 jours calendaires.
Surveillance : chaque CLA contrôlerait au moins 3 % des produits certifiés ou renouvelés l'année civile précédente, et les titulaires devraient fournir des échantillons dans les 30 jours suivant la demande.
Calendrier : commentaires 30 jours et réponses 45 jours après publication au Federal Register, qui n'avait pas eu lieu au 28 octobre 2026.

Où en est le programme

FCC 24-26 (mars 2024) a chargé le Lead Administrator de recommander notamment les exigences techniques pour au moins une catégorie de produits, la fréquence de renouvellement, les procédures de surveillance après mise sur le marché, les mises à jour du registre et la conception du label (47 CFR 8.221(a)(4)). L'avis rappelle qu'UL Solutions, alors Lead Administrator, a déposé ces recommandations en juin 2025 avant de se retirer, et que le Bureau a retenu l'ioXt Alliance comme nouveau Lead Administrator en avril 2026. DA 26-1162 soumet à commentaires les recommandations de juin 2025 sur le label, le renouvellement et la surveillance. L'avis ajoute qu'ioXt a remis le 26 octobre 2026 de nouvelles recommandations techniques (un « 2026 National Label Profile, version 3.0 ») et que le Bureau sollicitera des commentaires sur les deux jeux d'exigences techniques dans un avis public ultérieur.

Le label proposé

Sujet	Proposition de DA 26-1162
Emplacement	Sur l'emballage, imprimé ou en étiquette adhésive (projet de § 8.223(a)) ; étiquette volante ou présentoir possibles pour les produits exposés sans emballage
Taille minimale	1 pouce sur 2 pour le Cyber Trust Mark et le QR code (projet de § 8.223(b))
Disposition	Horizontale ou verticale selon CTA-2120, avec une « Bounding Box »
Corps minimal	4 points proposés ; commentaires sollicités sur 5 points, valeur de CTA-2120
QR code	ISO/IEC 18004, de 21 x 21 à 177 x 177 modules (pas de micro QR), modules d'au moins 0,254 mm, marge de quatre modules ; qualité d'impression selon ISO/IEC 15415
Documentation	Label repris dans la documentation en ligne et papier, par exemple le guide d'utilisation (projet de § 8.223(e))
Communication	Usage du Cyber Trust Mark dans le marketing et la publicité autorisé ; commentaires sollicités sur l'obligation d'y joindre le QR code

Le Label Standard propose trois formats réduits pour les produits qui ne peuvent accueillir 1 pouce sur 2 : un label de 1 pouce sur 1 avec le logo en forme de bouclier sans le texte « U.S. Cyber Trust Mark », un label de ⅝ de pouce sur ⅝ avec le logo dans un cadre de QR code, ou seulement le logo et une URL lorsqu'aucune surface plane ne s'y prête. Le Bureau ne les propose pas en l'état. Il rappelle que FCC 24-26 impose aux produits portant le label FCC IoT de porter aussi le QR code correspondant, et demande si les formats sans QR code sont contraires aux règles, ou si les petits produits devraient plutôt présenter le label complet sur un support de présentation. Il demande aussi si une URL imprimée à côté du QR code est compatible avec FCC 24-26. Le Bureau ne propose pas d'incorporer CTA-2120 par référence dans son intégralité.

La fiche cyber et le registre

Le QR code mène à une page à deux niveaux inspirée de CTA-2120 : le niveau 1 pour les consommateurs, le niveau 2 pour les lecteurs techniques. Le Bureau propose :

Langues : anglais et espagnol (projets de § 8.222(a) et § 8.223(d)), y compris le texte traduit sur tout site du fabricant vers lequel la fiche renvoie, selon les bonnes pratiques d'accessibilité et avec prise en charge de la synthèse vocale.
Capteurs : un nouvel élément du registre indiquant les capacités caméra/vidéo, audio et de localisation (projet de § 8.222(b)(11)). Des commentaires sont sollicités sur l'ajout des données physiologiques et biométriques.
HBOM et SBOM : CTA-2120 place cette mention au niveau 2 ; le Bureau propose de la garder au niveau 1, avec les autres éléments obligatoires.
Période de support : la rubrique « Security Updates » deviendrait « Support Period », avec la date de fin affichée sous la forme « At least until » suivie d'une date.
Liens externes : aucun, sauf pour expliquer comment configurer l'appareil de façon sécurisée.
Certification échue : la page serait remplacée par un avis indiquant que le produit « does not have a valid U.S. Cyber Trust Mark certification », avec le motif (absence de renouvellement, retrait, inscription sur la Covered List).

Le renouvellement

Les parties prenantes ont recommandé un renouvellement tous les cinq ans, tout en relevant que trois ans est une durée courante pour de nombreux programmes de certification en cybersécurité dans le monde. Le Bureau craint que cinq ans ne suivent pas l'évolution des menaces IoT et propose trois ans (projet de § 8.224(a)). Il demande si certains produits ou catégories de produits justifient une autre périodicité.

Étape	Recommandation (juin 2025)	Proposition du Bureau
Cycle	5 ans	3 ans
Dépôt	Au moins 6 mois avant l'expiration, plus un délai de grâce de 6 mois	Au moins 90 jours calendaires avant l'expiration ; décision du CLA sous 90 jours calendaires
Réévaluation par le CLA	Toutes les exigences nouvelles ou révisées, plus au moins 50 % de l'ensemble des exigences applicables	Toutes les exigences nouvelles ou révisées, plus au moins 70 % des autres, 100 % si une non-conformité est relevée

Le Bureau propose aussi que le titulaire joigne au renouvellement un rapport d'essai d'un CyberLAB couvrant les exigences nouvelles ou révisées et 70 % des autres, et qu'une certification prenne fin automatiquement à sa date d'expiration si le renouvellement n'a pas été demandé à temps. La demande de renouvellement comprendrait les dates de chaque autorisation antérieure, le CLA qui l'a accordée, une description des modifications depuis la dernière évaluation et tous les documents antérieurs, rapports des CyberLAB compris. Le CLA suivrait les échéances et les rappellerait aux titulaires, mais un rappel manqué n'excuserait pas un dépôt tardif.

Le Bureau propose également d'adopter le « USCTM Qualified Professional » recommandé : une personne désignée par chaque titulaire, qui suit une formation agréée et passe un examen, les renouvelle tous les trois ans et repère les modifications du produit susceptibles d'affecter la conformité. Si cette personne quitte ses fonctions, le titulaire en informe le CLA ; la recommandation prévoit six mois pour pourvoir le poste, et le Bureau demande quel délai retenir.

La surveillance après mise sur le marché

Les CLA conduiraient la surveillance selon ISO/IEC 17065 sur la base d'un Sample Test Plan écrit, que le Bureau propose de faire remettre chaque septembre au Lead Administrator pour approbation. Les points principaux, issus des recommandations et des modifications du Bureau :

au moins 3 % des produits certifiés ou renouvelés par un CLA l'année civile précédente, choisis parmi ceux de l'année en cours et des deux années civiles précédentes, chaque produit n'étant contrôlé qu'une fois par cycle de trois ans sauf demande du Bureau ;
les titulaires tiennent des échantillons de production à disposition jusqu'à la fin de la période de support indiquée au registre ou au moins un an après la dernière date de production, la plus tardive des deux étant retenue ;
ne pas fournir d'échantillon dans les 30 jours peut entraîner le retrait de l'autorisation d'utiliser la marque, et le fait que le produit ne soit plus fabriqué ou vendu aux États-Unis n'est pas une justification recevable ;
l'échantillon provient de la production la plus récente, et les essais ont lieu dans un laboratoire exploité par le CLA ou dans un CyberLAB reconnu, jamais dans le laboratoire interne du fabricant ;
une surveillance ponctuelle après un « large cyber event », que le Bureau pourrait déclencher.

La suite

Les délais de commentaires et de réponses courent à compter de la publication au Federal Register. À l'issue des commentaires, le Bureau pourra adopter des règles, modifiées ou non ; FCC 24-26 lui a délégué ce pouvoir, sous réserve de la procédure de commentaires requise. Par ailleurs, les CLA ne pourront commencer à autoriser l'usage du label qu'après avoir rempli les conditions de leur approbation définitive, dont la signature du Trademark Use Agreement, et les exigences techniques elles-mêmes n'ont pas encore été soumises à commentaires.

Ce qu'il faut faire

Réservez sur l'emballage la place d'un label de 1 pouce sur 2 pour les produits susceptibles de viser le Cyber Trust Mark, sans compter sur les formats réduits, que le Bureau met en doute.
Prévoyez le label dans le guide d'utilisation et dans la documentation en ligne, pas seulement sur la boîte.
Rassemblez dès maintenant les données du registre : capacités des capteurs (caméra, audio, localisation), date de fin de la période de support, mode de livraison des mises à jour, procédure de changement du mot de passe par défaut, tenue ou non d'une HBOM ou d'une SBOM.
Budgétez un renouvellement tous les trois ans avec rapport de CyberLAB, et conservez des échantillons de production pendant la période de support.
Commentez dans le PS Docket No. 23-239 si un point touche vos produits, par exemple la taille des petits produits ou le corps de 4 ou 5 points, une fois connues les dates du Federal Register.

Pour aller plus loin

US Cyber Trust Mark : toujours fermé aux demandes : administrateurs, accréditation et référentiel NIST IR 8425
NIST IR 8425, sécurité des objets connectés : les dix capacités de référence
Marquages multiples : faire tenir plusieurs marquages réglementaires sur un produit
Double certification UE et États-Unis : un seul dossier de preuves pour les deux marchés

Sources & références

Avis public DA 26-1162 du 27 octobre 2026, commentaires sur le label, le renouvellement et la surveillance du marché, PS Docket No. 23-239, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-1162A1.pdf
FCC 24-26, Cybersecurity Labeling for Internet of Things, Report and Order and Further Notice of Proposed Rulemaking, PS Docket No. 23-239, Federal Communications Commission docs.fcc.gov/public/attachments/FCC-24-26A1.pdf
Avis public DA 26-354 du 13 avril 2026, sélection de l'ioXt Alliance comme nouveau Lead Administrator, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-354A1.txt