ETSI EN 303 645 : cybersécurité IoT consommateur

Hugues Orgitello mis à jour le 7 oct. 2026 21 min de lecture

ETSI EN 303 645 est la norme socle de cybersécurité pour les objets connectés grand public. Publiée comme norme européenne en juin 2020 (V2.1.1) puis révisée en septembre 2024 (V3.1.3), elle compte aujourd'hui 78 provisions, dont 36 obligatoires. Elle n'est pas harmonisée au titre de la directive RED article 3.3, où la présomption de conformité passe par la série EN 18031, mais c'est le texte sur lequel s'appuient les règlements britanniques PSTI, le label de Singapour et l'ancien label finlandais. Ce guide détaille ce que la norme exige réellement, provision par provision, la façon dont ETSI TS 103 701 l'évalue, et sa place à côté de la RED et du Cyber Resilience Act.

Versions et dates

Le serveur ETSI deliver liste toutes les versions publiées. L'historique de l'annexe C de la V3.1.3 et les dates de transposition nationale de son avant-propos donnent la chronologie ci-dessous. Aucune version postérieure à la V3.1.3 n'est publiée au 7 octobre 2026.

Date	Document	Événement
Février 2019	TS 103 645 V1.1.1	Première publication, sous forme de spécification technique ETSI
Juin 2020	EN 303 645 V2.1.1	Publication comme norme européenne, « expansion to 68 provisions » (annexe C)
Juin 2020	TS 103 645 V2.1.2	Même contenu technique qu'EN 303 645 V2.1.1
Août 2021	TS 103 701 V1.1.1	Première spécification d'évaluation de conformité
Janvier 2024	TS 103 645 V3.1.1	Révision visant à améliorer l'applicabilité et la testabilité
11 juin au 9 septembre 2024	EN 303 645 V3.1.2	Procédure d'approbation EN
11 septembre 2024	EN 303 645 V3.1.3	Adoption, puis publication en septembre 2024
31 décembre 2024	EN 303 645 V3.1.3	Date d'annonce (doa)
30 juin 2025	EN 303 645 V3.1.3	Date limite de publication nationale (dop/e) et de retrait des normes nationales divergentes (dow)
Mai 2025	TS 103 701 V2.1.1	Méthode d'évaluation alignée sur TS 103 645 V3.1.1 et EN 303 645 V3.1.3

Deux conséquences en découlent. Un rapport d'essai « EN 303 645 » n'a de sens qu'avec son numéro de version, car la liste des provisions a changé entre la V2.1.1 et la V3.1.3. Et le règlement britannique vise la V2.1.1 datée du 19 juin 2020 : la version qui donne la conformité présumée au Royaume-Uni n'est pas la version en vigueur.

Origine

L'introduction de la norme liste les documents dont elle est issue, parmi lesquels le rapport du DCMS britannique « Secure by Design: Improving the cyber security of consumer Internet of Things » (mars 2018), les recommandations de base de l'ENISA pour l'IoT, le cadre de l'IoT Security Foundation, les IoT Security Guidelines de la GSMA, la DIN SPEC 27072 et l'OWASP IoT Top 10. Son objectif déclaré vise les « elementary attacks on fundamental design weaknesses (such as the use of easily guessable passwords) », et non les attaques prolongées, sophistiquées ou nécessitant un accès physique durable. Le botnet Mirai de 2016, constitué de routeurs domestiques et de caméras IP, est l'illustration habituelle de cette catégorie de faiblesses.

Les provisions sont « primarily outcome-focused, rather than prescriptive » : elles disent ce qui doit être obtenu, pas quelle technologie employer. L'introduction annonce aussi la direction prise : les révisions futures rendront obligatoires des provisions qui sont aujourd'hui des recommandations.

Champ d'application

La clause 1 couvre les « consumer IoT devices that are connected to network infrastructure (such as the Internet or home network) and their interactions with associated services ». Sa liste d'exemples, non exhaustive :

• jouets connectés et babyphones ;
• détecteurs de fumée, serrures et capteurs d'ouverture connectés ;
• passerelles IoT, stations de base et hubs auxquels se connectent plusieurs objets ;
• caméras, enceintes et téléviseurs connectés avec leurs télécommandes ;
• trackers de santé portés ;
• systèmes domotiques et d'alarme connectés ;
• appareils électroménagers connectés, comme lave-linge et réfrigérateurs ;
• assistants domestiques.

La seule exclusion du texte vise les équipements « primarily intended to be used in manufacturing, healthcare or other industrial applications » ; les équipements de contrôle industriel relèvent d'autres séries comme l'IEC 62443. La définition d'objet IoT grand public ajoute deux notes utiles en pratique : un objet grand public utilisé dans un contexte professionnel reste un objet IoT grand public, de même qu'un objet installé par un professionnel. Les « services associés » (applications mobiles, cloud, API tierces choisies par le fabricant) font partie du produit IoT, et le « fabricant » désigne tout opérateur économique concerné de la chaîne d'approvisionnement, pas seulement celui qui assemble l'objet.

Structure et notation des statuts

Clause	Contenu
1 à 3	Domaine d'application, références (aucune référence normative), termes et abréviations
4	Mise en œuvre de la norme : les provisions s'appuient sur l'analyse de risques et la modélisation des menaces du fabricant ; la norme « does not define a testing or certification method »
5	Provisions de cybersécurité : 5.0 (rapport de mise en œuvre) et 5.1 à 5.13
6	Provisions de protection des données
Annexe A	Architectures, états de l'objet, interfaces (informative)
Annexe B	Modèle de déclaration de conformité de l'implémentation (ICS), tableau B.1 (informative)
Annexe C	Historique des modifications

Le tableau B.1 affecte à chaque provision une ou plusieurs notations :

• M : exigence obligatoire (« shall »).
• R : recommandation (« should »). La provision 5.0-1, elle-même obligatoire, impose de consigner une justification pour chaque recommandation non applicable ou non satisfaite.
• C : conditionnelle ; si la condition (note numérotée) n'est pas remplie, la provision est marquée N/A.
• F : ne s'applique que si une fonction, capacité ou mécanisme existe (note lettrée), par exemple « debug interfaces exist on the device ». La notation F est nouvelle en V3 ; la V2.1.1 n'utilisait que M, R et C.

Les provisions, clause par clause

Les décomptes ci-dessous proviennent du tableau B.1 de chaque version. Les entrées « Void » de la V3.1.3 (5.3-4, 5.3-6, 5.3-15, 5.6-4, 5.13-1, 6-3) ne sont pas comptées : chacune a été scindée en provisions « A » et « B ».

Clause	Titre (traduit)	V2.1.1 (M / R)	V3.1.3 (M / R)	Provisions obligatoires en V3.1.3
5.0 (4 en V2)	Rapport de mise en œuvre	1 / 0	1 / 0	5.0-1
5.1	Pas de mot de passe par défaut universel	5 / 0	5 / 1	5.1-1 à 5.1-5
5.2	Gérer les signalements de vulnérabilités	1 / 2	1 / 2	5.2-1
5.3	Maintenir le logiciel à jour	7 / 9	7 / 12	5.3-2, -3, -7, -8, -10, -13, -16
5.4	Stocker de façon sécurisée les paramètres de sécurité sensibles	4 / 0	4 / 0	5.4-1 à 5.4-4
5.5	Communiquer de façon sécurisée	4 / 4	4 / 4	5.5-1, -5, -7, -8
5.6	Réduire les surfaces d'attaque exposées	3 / 6	3 / 7	5.6-1, -2, -4A
5.7	Garantir l'intégrité du logiciel	0 / 2	0 / 2	aucune
5.8	Sécuriser les données personnelles	2 / 1	2 / 1	5.8-2, -3
5.9	Rendre les systèmes résilients aux pannes	0 / 3	0 / 3	aucune
5.10	Examiner les données de télémétrie	0 / 1	0 / 1	aucune
5.11	Faciliter la suppression des données utilisateur	1 / 3	1 / 3	5.11-1
5.12	Faciliter l'installation et la maintenance	0 / 3	0 / 3	aucune
5.13	Valider les données d'entrée	1 / 0	2 / 0	5.13-1A, -1B
6	Protection des données	4 / 1	6 / 3	6-1, 6-2, 6-3A, 6-3B, 6-5, 6-6
Total		33 / 35 (68)	36 / 42 (78)

Quatre des treize clauses (5.7, 5.9, 5.10, 5.12) ne contiennent que des recommandations. Un produit peut être conforme à EN 303 645 sans démarrage sécurisé, à condition de consigner la justification exigée par la provision 5.0-1.

5.1 Pas de mot de passe par défaut universel

Lorsque des mots de passe sont utilisés, dans tout état autre que l'état usine, ils « shall be unique per device or defined by the user » (5.1-1). Les mots de passe uniques préinstallés doivent être générés de façon à réduire le risque d'attaques automatisées (5.1-2). La V3 ajoute une recommandation de ne pas utiliser de mots de passe pour l'authentification de machine à machine (5.1-2A). L'authentification doit reposer sur une cryptographie conforme aux bonnes pratiques (5.1-3), l'utilisateur ou un administrateur doit disposer d'un moyen simple de changer la valeur d'authentification (5.1-4), et les attaques par force brute via les interfaces réseau doivent être rendues impraticables, sauf contrainte de ressources liée au cas d'usage (5.1-5).

5.2 Signalement des vulnérabilités

Le fabricant « shall make a vulnerability disclosure policy publicly available » (5.2-1), avec au minimum des coordonnées de contact et les délais d'accusé de réception et de suivi jusqu'à résolution. Traiter les vulnérabilités dans des délais adaptés (5.2-2) et assurer une veille continue (5.2-3) sont des recommandations. La norme cite l'ISO/IEC 29147 parmi ses références informatives.

5.3 Maintenir le logiciel à jour

Les points obligatoires comprennent un mécanisme de mise à jour sécurisé sauf contrainte de ressources liée au cas d'usage (5.3-2), des mises à jour simples à appliquer (5.3-3), une cryptographie conforme aux bonnes pratiques pour les mises à jour (5.3-7), des mises à jour de sécurité dans des délais adaptés (5.3-8), la vérification d'authenticité et d'intégrité des mises à jour livrées par une interface réseau (5.3-10), la publication de la « defined support period » (5.3-13) et une désignation de modèle clairement identifiable (5.3-16). La période de support définie est la durée minimale, exprimée en durée ou par une date de fin, pendant laquelle des mises à jour de sécurité seront fournies ; la norme ne fixe aucune durée minimale.

5.4 Paramètres de sécurité sensibles

Les paramètres de sécurité sensibles en stockage persistant doivent être stockés de façon sécurisée (5.4-1) ; une identité unique codée en dur doit résister à la falsification (5.4-2) ; les paramètres de sécurité critiques codés en dur dans le code source sont interdits (5.4-3) ; et les clés servant à l'intégrité des mises à jour et aux communications avec les services associés doivent être uniques par objet (5.4-4). Les environnements d'exécution de confiance (TEE) et les éléments sécurisés apparaissent comme exemples, pas comme exigences.

5.5 Communiquer de façon sécurisée

L'objet « shall use best practice cryptography to communicate securely » (5.5-1). La norme ne nomme aucune version de protocole : la « best practice cryptography » est définie comme une cryptographie adaptée au cas d'usage et sans indice d'attaque réalisable avec des techniques couramment disponibles. Les modifications de configuration touchant à la sécurité via une interface réseau exigent une authentification (5.5-5), les paramètres de sécurité critiques transmis via des interfaces réseau accessibles à distance doivent rester confidentiels (5.5-7) et être gérés par des processus sécurisés (5.5-8).

5.6 Surface d'attaque

Les interfaces réseau et logiques inutilisées doivent être désactivées (5.6-1), la divulgation non authentifiée d'informations utiles à la sécurité réduite au minimum (5.6-2), et les interfaces de débogage (points de test, UART, SWD, JTAG) « disabled or protected via a best practice authentication or access control mechanism » (5.6-4A). La protection physique des ports de débogage, le moindre privilège, la réduction du code, le contrôle matériel d'accès à la mémoire et les processus de développement sécurisé sont des recommandations.

5.7 à 5.13

• 5.7 Intégrité logicielle : la vérification par démarrage sécurisé (5.7-1), qui part d'une racine de confiance, et l'alerte en cas de modification non autorisée (5.7-2) sont toutes deux des recommandations.
• 5.8 Données personnelles : les données personnelles sensibles envoyées aux services associés doivent être protégées par une cryptographie conforme aux bonnes pratiques (5.8-2), et toutes les capacités de captation externes (caméra, microphone, etc.) doivent être documentées pour l'utilisateur (5.8-3).
• 5.9 Résilience : les trois provisions, dont le maintien d'un fonctionnement local après perte du réseau, sont des recommandations.
• 5.10 Télémétrie : l'examen de la télémétrie pour y détecter des anomalies de sécurité est une recommandation.
• 5.11 Suppression des données utilisateur : les utilisateurs « shall be provided with functionality such that all their user data can be erased from the consumer IoT device in a simple manner » (5.11-1) ; le reste est recommandé.
• 5.12 Installation et maintenance : recommandations uniquement.
• 5.13 Validation des entrées : les données saisies via les interfaces utilisateur (5.13-1A) et via les interfaces réseau (5.13-1B) doivent être validées.

Clause 6 : protection des données

La clause 6 est une liste unique de provisions numérotées 6-1 à 6-8 (le tableau B.1 écrit 6.1, 6.2...). La norme indique qu'elle « can help » pour la conformité au RGPD ; elle ne reprend pas les articles du RGPD.

Provision	Exigence (V3.1.3)	Statut
6-1	Information claire et transparente sur les données personnelles traitées, les finalités, par qui et pour combien de temps, y compris les tiers comme les annonceurs	M
6-2	Moyen de recueillir un consentement valide, lorsque le traitement repose sur le consentement	M (F)
6-3A	Moyen de retirer le consentement à tout moment	M (F)
6-3B	Moyen de conserver l'information sur le consentement	M (F)
6-4	Traitement des données personnelles de télémétrie limité au nécessaire	R (F)
6-5	Information sur la télémétrie collectée, son usage, par qui et pourquoi	M (F)
6-6	Données limitées au nécessaire pour les finalités de 6-1, et supprimées lorsqu'elles ne sont plus nécessaires	M (F)
6-7	Pour un résultat agrégé : données minimales, agrégation précoce, conservation minimale	R (F)
6-8	Recours aux technologies d'anonymisation	R (F)

Les provisions 6-3B, 6-6, 6-7 et 6-8 n'existent pas dans la V2.1.1, qui comptait cinq provisions en clause 6.

Évaluation de conformité : ETSI TS 103 701

La clause 4 d'EN 303 645 précise que la norme ne définit pas de méthode d'essai et qu'une façon d'évaluer la conformité est donnée par TS 103 701, intitulée « Conformance Assessment of Baseline Requirements ». La V2.1.1 en vigueur (mai 2025) renvoie à TS 103 645 V3.1.1 et à EN 303 645 V3.1.3. Ses traits principaux :

• Qui évalue : le laboratoire peut faire partie du fournisseur (première partie, auto-évaluation), d'une organisation utilisatrice (deuxième partie) ou être un organisme indépendant (tierce partie). Les exigences de compétence comme l'ISO/IEC 17025 sont « out of the scope » du document, tout comme la définition d'un schéma de certification.
• Apports du fournisseur : l'ICS (tableau B.1 d'EN 303 645, avec Y, N ou N/A et une justification pour chaque N/A ou N) et l'IXIT, informations complémentaires sur l'implémentation nécessaires aux essais, base d'une méthodologie en boîte grise.
• Profondeur : les scénarios de test visent un « basic effort » ; l'analyse invasive des modules matériels et logiciels est hors champ.

Phase (clause 4.3)	Acteur	Contenu
1	Fournisseur	Identification de l'objet testé
2	Fournisseur	ICS complété
3	Fournisseur	IXIT pour chaque provision revendiquée « Yes »
4	Laboratoire	Validation de l'ICS : aucune provision obligatoire revendiquée « N », déclarations N/A plausibles
5	Laboratoire	Plan de test et groupes de tests pour chaque provision revendiquée « Yes »
6	Laboratoire	Verdict global

Les verdicts sont PASS, FAIL ou INCONCLUSIVE, au niveau du cas de test, du groupe de tests et du verdict global. Un PASS global exige un ICS valide et un PASS pour chaque provision revendiquée. Si une provision recommandée échoue, les résultats peuvent être réutilisés pour un PASS sur un ICS qui ne la revendique plus, avec justification. Le contenu du rapport d'évaluation est laissé au schéma qui l'utilise.

Régimes nationaux qui s'appuient sur EN 303 645

Royaume-Uni : PSTI

La partie 1 du Product Security and Telecommunications Infrastructure Act 2022 est rendue opérationnelle par le SI 2023/1007, en vigueur depuis le 29 avril 2024. L'annexe 1 fixe trois exigences de sécurité pour les fabricants de produits connectables concernés ; l'annexe 2 précise quand un fabricant est « treated as complying ».

Exigence PSTI (annexe 1)	Conformité présumée (annexe 2, condition A)
Mots de passe uniques par produit ou définis par l'utilisateur, non fondés sur des compteurs incrémentaux ou des informations publiques	EN 303 645 V2.1.1, provision 5.1-1 et, le cas échéant, 5.1-2
Point de contact publié pour les problèmes de sécurité, avec délais d'accusé de réception et de suivi	Provision 5.2-1, ou ISO/IEC 29147:2018 paragraphes 6.2.2, 6.2.5 et 6.5
Période de support définie publiée, exprimée avec une date de fin, jamais raccourcie	Provision 5.3-13, avec la définition britannique de la période de support

Évolutions depuis l'entrée en vigueur :

• SI 2025/211 (en vigueur le 25 février 2025) : lorsqu'un fabricant prolonge la période de support, la nouvelle période doit être publiée dès que possible ; les véhicules à moteur, les véhicules à deux ou trois roues et quadricycles, et les véhicules agricoles et forestiers couverts par les règlements européens de réception correspondants sont exclus en Grande-Bretagne.
• SI 2025/1267 (pris le 3 décembre 2025, en vigueur le 4 décembre 2025) : un produit titulaire d'un label non expiré, à n'importe quel niveau du Cybersecurity Labelling Scheme de Singapour (spécification version 1.4, avril 2025), ou d'un label japonais JC-STAR (niveau STAR-1) est présumé conforme aux trois exigences (conditions B et C), et présumé satisfaire l'exigence de déclaration de conformité (nouvelle annexe 2A).

Autres points des textes : la déclaration de conformité doit contenir les éléments de l'annexe 4, dont la période de support définie et, en cas de conformité présumée via une norme, son numéro, sa version et sa date ; fabricants et importateurs la conservent 10 ans ou pendant la période de support définie, la plus longue des deux durées étant retenue. Sont exclus notamment les ordinateurs de bureau et portables et les tablettes sans connexion cellulaire (sauf s'ils sont conçus pour les enfants de moins de 14 ans), les dispositifs médicaux relevant des Medical Devices Regulations 2002, les bornes de recharge intelligentes et certains compteurs intelligents. La sanction maximale prévue à la section 38 de la loi est le montant le plus élevé entre 10 millions de livres et 4 % du chiffre d'affaires mondial éligible (« qualifying worldwide revenue »).

Singapour : Cybersecurity Labelling Scheme

La Cyber Security Agency of Singapore gère quatre niveaux, chacun exigeant les paliers d'évaluation inférieurs :

Palier	Contenu selon la CSA
1	Exigences de base « based on ETSI EN 303 645 » : pas de mot de passe par défaut, mises à jour de sécurité, signalement des vulnérabilités
2	Respect de « all mandatory requirements within the ETSI EN 303 645 »
3	Exigences de cycle de vie fondées sur l'IMDA IoT Cyber Security Guide, plus analyse binaire du logiciel par un laboratoire
4	Tests d'intrusion par un laboratoire

Le schéma a commencé par les routeurs Wi-Fi et les hubs domotiques et couvre désormais toutes les catégories d'objets IoT grand public. La CSA mentionne des reconnaissances mutuelles avec la Finlande (niveau 3), l'Allemagne (IT Security Label du BSI, niveau 2), la Corée (CIC Basic, niveau 3) et le Royaume-Uni (conformité PSTI reconnue comme niveau 1).

Australie : règles obligatoires depuis le 4 mars 2026

Les Cyber Security (Security Standards for Smart Devices) Rules 2025, prises en application du Cyber Security Act 2024 et enregistrées le 4 mars 2025, appliquent leur norme de sécurité depuis le 4 mars 2026. L'annexe 1 couvre les trois mêmes sujets que le PSTI : mots de passe, signalement des problèmes de sécurité, périodes de support définies et mises à jour de sécurité. Le texte ne cite pas ETSI EN 303 645.

Finlande : label fermé aux nouvelles demandes

Traficom a lancé son label de cybersécurité en 2019. Le 21 octobre 2024, l'agence a annoncé qu'elle cessait de délivrer de nouveaux labels, en invoquant les exigences de cybersécurité de la RED applicables à partir du 1er août 2025 et le Cyber Resilience Act ; les labels existants restent valables au moins jusqu'à la fin de 2024.

EN 303 645 dans l'UE : RED 3.3, EN 18031 et CRA

Le règlement délégué (UE) 2022/30 active l'article 3(3)(d), (e) et (f) de la RED pour les équipements radio connectés à internet (ainsi que certains équipements de puériculture, jouets et objets portés) à partir du 1er août 2025. La décision d'exécution (UE) 2025/138 du 28 janvier 2025 (JO du 30 janvier 2025) cite trois normes harmonisées élaborées par le CEN et le CENELEC :

• EN 18031-1 : article 3(3)(d), protection du réseau ;
• EN 18031-2 : article 3(3)(e), données personnelles et vie privée ;
• EN 18031-3 : article 3(3)(f), protection contre la fraude pour les équipements traitant de la monnaie virtuelle ou de la valeur monétaire.

La citation comporte des restrictions. L'une porte sur le même sujet que la provision 5.1-1 : les clauses 6.2.5.1 et 6.2.5.2 des trois normes permettent à l'utilisateur de ne définir ni utiliser aucun mot de passe, et si cette option est mise en œuvre, la présomption de conformité ne s'applique pas. EN 303 645 ne prévoit pas cette option : un mot de passe, s'il est utilisé, doit être unique par objet ou défini par l'utilisateur.

EN 303 645 n'est pas citée au titre de la RED : l'appliquer ne donne aucune présomption. Elle garde des usages dans l'UE : catalogue de provisions pour l'analyse de risques, élément de preuve dans le dossier technique à côté d'EN 18031, et référence pour les produits sans radio (objets uniquement filaires, sans Wi-Fi, BLE ni interface cellulaire), que la RED ne couvre pas.

Le calendrier évolue. Le règlement délégué (UE) 2026/339 abroge le règlement 2022/30 avec effet au 11 décembre 2027, date d'application complète du Cyber Resilience Act (règlement (UE) 2024/2847). Les obligations de signalement du CRA pour les vulnérabilités activement exploitées et les incidents graves s'appliquent déjà depuis le 11 septembre 2026, aux produits radio comme non radio.

Dimension	EN 303 645 V3.1.3	EN 18031-1/-2/-3:2024
Producteur	ETSI, TC CYBER	CEN et CENELEC
Effet juridique dans l'UE	Aucun à elle seule, non citée au JO	Présomption de conformité à la RED 3(3)(d)(e)(f), avec restrictions, jusqu'au 11 décembre 2027
Produits	Objets IoT grand public et services associés	Équipements radio relevant du règlement délégué 2022/30
Structure	78 provisions, M ou R, dans les clauses 5.0 à 5.13 et 6	Une partie par exigence essentielle de la RED
Mots de passe par défaut	Uniques par objet ou définis par l'utilisateur, sans dérogation	L'option sans mot de passe fait perdre la présomption (décision 2025/138)
Méthode d'évaluation	ETSI TS 103 701	Dans les parties d'EN 18031
Utilisée par	Conformité présumée PSTI (V2.1.1), paliers du CLS de Singapour	Marquage CE au titre de la RED

Quel texte s'applique où

Marché et produit	Exigence légale	Rôle d'EN 303 645
UE, produit radio connecté à internet	RED 3(3)(d)(e)(f) jusqu'au 10 décembre 2027, puis CRA ; signalement CRA depuis le 11 septembre 2026	Pas une voie de présomption ; utile comme catalogue de provisions
UE, produit sans radio	Signalement CRA depuis le 11 septembre 2026, application complète le 11 décembre 2027	Pas une voie de présomption
Royaume-Uni, produit connectable grand public	PSTI, SI 2023/1007	Les provisions 5.1-1, 5.1-2, 5.2-1, 5.3-13 de la V2.1.1 valent conformité présumée
Singapour, label CLS	Schéma de la CSA	Base des paliers 1 et 2
Australie, objet connecté grand public	Smart Devices Rules 2025, depuis le 4 mars 2026	Non citée par le texte

Affirmations que les textes contredisent

Affirmation courante (y compris dans les versions antérieures de cette page)	Ce que dit le texte primaire
« Treize provisions »	Treize clauses (5.1 à 5.13), plus 5.0 et la clause 6 : 78 provisions en V3.1.3, 68 en V2.1.1 (tableau B.1, annexe C)
La clause 6 compte cinq familles : consentement, transparence, paramètres par défaut, télémétrie identifiante, données sensibles de l'article 9 du RGPD	La clause 6 contient les provisions 6-1 à 6-8 : information, consentement, retrait et trace du consentement, télémétrie, minimisation, agrégation et anonymisation ; aucune provision sur les données de l'article 9
Le démarrage sécurisé, la résilience aux pannes et l'examen de la télémétrie sont obligatoires	Les clauses 5.7, 5.9 et 5.10 ne contiennent que des recommandations
La norme cite TLS 1.2, IPsec, LoRaWAN OTAA, Zigbee Pro ou Thread comme mécanismes acceptés	Elle exige une « best practice cryptography » et ne nomme aucune version de protocole
TS 103 701 utilise un PIXIT	Elle utilise l'IXIT (informations complémentaires sur l'implémentation pour les essais) ; le PIXIT est un terme des essais de protocoles
Les évaluations TS 103 701 se font sous accréditation ISO/IEC 17025	Les exigences de compétence du laboratoire sont hors champ ; l'auto-évaluation de première partie est admise
Le PSTI britannique applique EN 303 645 V3.1.3	Le SI 2023/1007 définit « ETSI EN 303 645 » comme la V2.1.1 (19 juin 2020)
Les sanctions PSTI atteignent 10 millions de livres ou 4 % du chiffre d'affaires	Le maximum est le montant le plus élevé entre 10 millions de livres et 4 % du chiffre d'affaires mondial éligible (section 38)
Les niveaux 3 et 4 du CLS de Singapour ajoutent une évaluation TS 103 701	La CSA décrit le palier 3 comme exigences de cycle de vie plus analyse binaire et le palier 4 comme tests d'intrusion ; TS 103 701 n'est pas mentionnée
EN 18031 est « obligatoire pour les produits radio depuis le 1er août 2025 »	Les exigences essentielles sont obligatoires ; les normes harmonisées sont un moyen de démontrer la conformité, et leur citation comporte des restrictions
EN 18031 est publiée par le seul CENELEC	La décision 2025/138 indique que le CEN et le CENELEC ont élaboré les trois normes
Hors champ : véhicules à moteur, infrastructures critiques (NIS2)	La norme n'exclut que les équipements principalement destinés à la fabrication, à la santé ou à d'autres usages industriels ; les exclusions de véhicules viennent du PSTI britannique, pas d'EN 303 645
Une V4 est attendue en 2027	L'ETSI n'a publié aucune version après la V3.1.3 ; les documents cités ici ne donnent aucune date de future révision

Pour un fabricant : une démarche pratique

1. Fixer la version et les marchés. Noter la version attendue par chaque marché : provisions de la V2.1.1 pour la conformité présumée au Royaume-Uni, V3.1.3 pour une évaluation TS 103 701 actuelle, EN 18031 pour la présomption RED dans l'UE. Voir notre checklist RED pour le volet européen.

2. Remplir le tableau B.1 tôt. L'ICS oblige à trancher sur les 78 provisions. Chaque « N » ou « N/A » doit être justifié (provision 5.0-1), et le socle obligatoire (mots de passe, politique de divulgation des vulnérabilités, mise à jour sécurisée, période de support publiée, stockage sécurisé, interfaces de débogage, validation des entrées, information sur les données) oriente les choix d'architecture.

3. Évaluer et conserver les preuves. Mener une évaluation TS 103 701, en auto-évaluation ou avec une tierce partie, en parallèle des tests RED si le produit comporte une radio. Conserver l'ICS, l'IXIT et les verdicts avec le dossier technique ; au Royaume-Uni, conserver la déclaration de conformité 10 ans ou pendant la période de support définie, la plus longue des deux durées étant retenue.

Voir aussi

• Cybersécurité produit : obligation, évaluation, label
• PSA Certified: sécurité IoT pilotée par Arm
• NISTIR 8425 et US Cyber Trust Mark : label IoT US
• NIST SP 800-213 et 8259A: socle cybersécurité IoT américain
• Common Criteria (ISO/IEC 15408) : sécurité IT
• FIPS 140-3 : validation des modules cryptographiques
• Cyber Resilience Act (CRA)

Un cas concret de l'évaluation EN 303 645 ou EN 18031 d'un produit IoT consommateur ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Limites de la norme

EN 303 645 est un socle. Elle ne traite pas les attaques prolongées ou sophistiquées, et sa rédaction orientée résultats (« best practice cryptography », « timely ») laisse place à l'interprétation, que TS 103 701 resserre par l'IXIT et les groupes de tests sans imposer d'outils. Elle n'a pas non plus d'effet juridique par elle-même : son poids vient des régimes qui y renvoient, et ces régimes renvoient à des versions différentes. Maîtriser les provisions, en lien avec la RED 3.3 et le marquage CE, reste une base technique utile pour mettre un produit IoT grand public sur plusieurs marchés.

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Pour aller plus loin

• Checklist RED : démarche projet de conformité RED phase par phase
• Activation RED 3.3 : règlement délégué 2022/30 applicable depuis le 1er août 2025
• Publication des normes EN 18031 : présomption de conformité RED 3.3
• Abrogation de la RED 3.3 prévue le 11 décembre 2027 : règlement délégué 2026/339
• Début des signalements CRA : obligations à partir du 11 septembre 2026
• Tests RED : panorama des essais 3.1(a), 3.1(b), 3.2 et 3.3
• Marquage CE : cadre transversal européen
• Glossaire : définitions des termes ETSI, ENISA, CENELEC

Sources & références

1. ETSI EN 303 645 V3.1.3 (2024-09), Cyber Security for Consumer Internet of Things: Baseline Requirements, ETSI www.etsi.org/deliver/etsi_en/303600_303699/303645/03.01.03_60/en_303645v030103p.pdf
2. ETSI EN 303 645 V2.1.1 (2020-06), version visée par les règlements PSTI britanniques, ETSI www.etsi.org/deliver/etsi_en/303600_303699/303645/02.01.01_60/en_303645v020101p.pdf
3. ETSI deliver, liste de toutes les versions d'EN 303 645, ETSI www.etsi.org/deliver/etsi_en/303600_303699/303645/
4. ETSI TS 103 701 V2.1.1 (2025-05), Conformance Assessment of Baseline Requirements, ETSI www.etsi.org/deliver/etsi_ts/103700_103799/103701/02.01.01_60/ts_103701v020101p.pdf
5. Product Security and Telecommunications Infrastructure Act 2022 (Royaume-Uni), UK Legislation www.legislation.gov.uk/ukpga/2022/46/contents
6. PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, SI 2023/1007, UK Legislation www.legislation.gov.uk/uksi/2023/1007/contents
7. PSTI Security Requirements (Amendment) Regulations 2025, SI 2025/211, UK Legislation www.legislation.gov.uk/uksi/2025/211/made
8. PSTI Security Requirements (Amendment) (No. 2) Regulations 2025, SI 2025/1267, UK Legislation www.legislation.gov.uk/uksi/2025/1267/made
9. Règlement délégué (UE) 2022/30, article 3(3)(d)(e)(f) de la RED, EUR-Lex eur-lex.europa.eu/eli/reg_del/2022/30/oj
10. Décision d'exécution (UE) 2025/138, citation d'EN 18031-1/-2/-3:2024, EUR-Lex eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202500138
11. Règlement délégué (UE) 2026/339, abrogation du règlement 2022/30 au 11 décembre 2027, EUR-Lex eur-lex.europa.eu/eli/reg_del/2026/339/oj
12. Règlement (UE) 2024/2847, Cyber Resilience Act, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
13. CLS(IoT) pour les fabricants, niveaux et paliers d'évaluation, Cyber Security Agency of Singapore www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme/for-manufacturers/
14. Cyber Security (Security Standards for Smart Devices) Rules 2025, Federal Register of Legislation (Australie) www.legislation.gov.au/F2025L00276/latest/text
15. Traficom cesse de délivrer de nouveaux labels de cybersécurité (21 octobre 2024, en finnois), Traficom www.traficom.fi/fi/uutiset/liikenne-ja-viestintavirasto-traficom-lopettaa-uusien-tietoturvamerkkien-myontamisen