NIST SP 800-213 et IR 8259A : socle américain IoT

Hugues Orgitello mis à jour le 7 oct. 2026 18 min de lecture

Le socle américain de cybersécurité IoT est une famille de publications du NIST : NISTIR 8259A (capacités de l'équipement, mai 2020), NISTIR 8259B (soutien du fabricant, août 2021), SP 800-213 et SP 800-213A (exigences fédérales et catalogue, novembre 2021), et depuis avril 2026 NIST IR 8259 Rev. 1, qui a remplacé le 8259 d'origine. Le levier juridique est l'IoT Cybersecurity Improvement Act de 2020 (Public Law 116-207), qui encadre ce que les agences fédérales peuvent acheter, pas ce qui peut être vendu aux autres clients. La branche grand public, NIST IR 8425 et le Cyber Trust Mark de la FCC, reprend les mêmes capacités. Ce guide lit chaque document et la loi section par section, donne le statut de chaque document en octobre 2026, et met 8259A en correspondance avec ETSI EN 303 645 et le Cyber Resilience Act.

Statut des documents NIST IoT (octobre 2026)

Document	Publication	Public visé	Statut au 7 octobre 2026
NISTIR 8259, Foundational Cybersecurity Activities for IoT Device Manufacturers	Mai 2020	Fabricants	Retiré le 20 avril 2026, remplacé par IR 8259 Rev. 1
NIST IR 8259 Rev. 1, Foundational Cybersecurity Activities for IoT Product Manufacturers	Avril 2026 (projets du 13 mai 2025 et du 30 septembre 2025)	Fabricants	En vigueur
NISTIR 8259A, IoT Device Cybersecurity Capability Core Baseline	Mai 2020	Fabricants, intégrateurs, acheteurs	En vigueur (non révisé)
NISTIR 8259B, IoT Non-Technical Supporting Capability Core Baseline	Août 2021	Fabricants et parties de soutien	En vigueur (non révisé)
Projet NISTIR 8259C, Creating a Profile Using the IoT Core Baseline and Non-Technical Baseline	Projet initial, décembre 2020	Toute organisation qui construit un profil	Projet uniquement, commentaires clos le 26 février 2021
Projet NISTIR 8259D, profil fédéral	Projet initial, décembre 2020	Gouvernement fédéral	Retiré le 29 novembre 2021, contenu repris dans une annexe de SP 800-213A
NIST SP 800-213	Novembre 2021	Organisations qui intègrent des équipements IoT dans leurs systèmes	En vigueur
NIST SP 800-213A	Novembre 2021	Idem	En vigueur
NIST SP 800-216, lignes directrices fédérales de divulgation des vulnérabilités	Mai 2023	Agences fédérales	En vigueur
NIST IR 8425, profil IoT grand public	Septembre 2022	Fabricants d'IoT grand public	En vigueur, base technique du Cyber Trust Mark
NIST IR 8425A, profil des routeurs grand public	Septembre 2024	Fabricants de routeurs	En vigueur

Deux changements des dix-huit derniers mois comptent pour quiconque cite ces textes. D'abord, NIST IR 8259 Rev. 1 décrit désormais neuf activités fondamentales (Activity 0 à Activity 8 : six avant mise sur le marché, trois après), là où l'édition 2020 en décrivait six (quatre avant, deux après). Il passe aussi de « IoT device » à « IoT product », c'est-à-dire l'équipement avec ses applications compagnons, son back-end cloud et ses autres composants. Le NIST présente cette révision comme une réponse à l'obligation de la loi de réexaminer ses lignes directrices IoT tous les cinq ans. Ensuite, NISTIR 8259A et 8259B n'ont pas été révisés en même temps : la page de la Rev. 1 les cite toujours comme ses parties.

L'IoT Cybersecurity Improvement Act, section par section

H.R. 1668 a été adopté par la Chambre des représentants le 14 septembre 2020 et par le Sénat le 17 novembre 2020, puis promulgué le 4 décembre 2020 sous le numéro Public Law 116-207. Son titre est étroit : des normes minimales de sécurité pour les équipements IoT « owned or controlled by the Federal Government ».

Section	Ce qu'elle dit	Ce qui a suivi
2	Sense of Congress ; équipements IoT décrits en référence au second projet de NISTIR 8259 (janvier 2020) : au moins un transducteur, au moins une interface réseau, pas d'informatique classique comme les smartphones et ordinateurs portables	Même périmètre repris dans SP 800-213
4(a)	Le NIST publie, sous 90 jours après la promulgation, des normes et lignes directrices sur l'usage et la gestion des équipements IoT par les agences, y compris des exigences minimales de sécurité de l'information	Projets publiés en décembre 2020 ; SP 800-213 et SP 800-213A définitifs en novembre 2021
4(b)	L'OMB revoit les politiques des agences dans les 180 jours suivant l'achèvement de ces normes, en consultation avec la CISA ; systèmes de sécurité nationale exclus	Politique de l'OMB
4(c)	Le NIST réexamine et révise les normes au moins tous les 5 ans ; l'OMB met à jour ses politiques dans les 180 jours suivant une révision du NIST	Le NIST invoque ce cycle pour IR 8259 Rev. 1
4(d) et 6(d)	Révision de la Federal Acquisition Regulation si nécessaire
5	Lignes directrices du NIST, sous 180 jours, sur le signalement et la réception d'informations de vulnérabilité, pour les agences et pour les contractants et sous-traitants à tout niveau, alignées « to the maximum extent practicable » sur ISO/IEC 29147 et 30111	SP 800-216 (mai 2023)
6	L'OMB fixe, sous 2 ans, des politiques de divulgation des vulnérabilités pour les systèmes d'information des agences
7(a)	Interdiction pour le chef d'agence d'acheter, de renouveler ou d'utiliser un équipement IoT si le CIO constate que son usage empêche la conformité aux normes de la section 4 ou aux lignes directrices de la section 5 ; s'applique aussi sous le seuil d'acquisition simplifiée
7(b)	Dérogation par le chef d'agence si le CIO constate qu'elle est nécessaire à la sécurité nationale, à la recherche, ou que l'équipement est sécurisé par des méthodes alternatives et efficaces	L'OMB fixe une procédure de dérogation standardisée
7(c)	Rapports du GAO au Congrès tous les 2 ans pendant les 6 ans suivant la promulgation
7(d)	Interdiction applicable 2 ans après la promulgation	4 décembre 2022
8	Briefing (1 an) et rapport (2 ans) du GAO sur la convergence IT, IoT et OT

Deux conséquences en découlent. La loi ne s'applique pas aux ventes commerciales, et elle ne cite pas NISTIR 8259A : le lien contraignant passe par les normes de la section 4 (SP 800-213) et par la décision du CIO de l'agence. Et la divulgation des vulnérabilités est une obligation propre aux contractants (section 5), ce qui explique pourquoi la capacité de 8259B consacrée à la réception des informations de vulnérabilité compte autant qu'une fonction de l'équipement.

L'Executive Order 14028 du 12 mai 2021 est une voie distincte. Sa section 4(e) cite, parmi les pratiques de développement logiciel sécurisé, la fourniture à l'acheteur d'un Software Bill of Materials (SBOM) et la participation à un programme de divulgation des vulnérabilités ; ses sections 4(s) et 4(t) demandaient au NIST de lancer des pilotes d'étiquetage IoT grand public et d'identifier des critères IoT pour un label grand public, ce qui a produit NIST IR 8425.

NISTIR 8259A : les six capacités de l'équipement, élément par élément

8259A définit un « core baseline » comme « a default for minimally securable devices ». Deux phrases du texte encadrent son usage : la mise en œuvre de toutes les capacités « n'est pas considérée comme obligatoire », et le socle « ne précise pas comment » les capacités doivent être obtenues (traduction). Le tableau ci-dessous reprend les éléments communs que le document donne pour chaque capacité, et les dispositions d'ETSI TS 103 645 V1.1.1 qu'il cite comme références associées.

Capacité (définition de 8259A)	Éléments communs dans 8259A	Références ETSI TS 103 645 citées
Device Identification : l'équipement peut être identifié de façon unique, logiquement et physiquement	1. identifiant logique unique ; 2. identifiant physique unique accessible aux entités autorisées	aucune
Device Configuration : la configuration logicielle peut être modifiée, par des entités autorisées uniquement	1. modifier les paramètres de configuration ; 2. réserver les modifications aux entités autorisées ; 3. restaurer une configuration sécurisée définie par une entité autorisée	aucune
Data Protection : protéger les données stockées et transmises contre l'accès et la modification non autorisés	1. modules cryptographiques d'une sécurité démontrable pour des algorithmes normalisés ; 2. rendre toutes les données de l'équipement inaccessibles (effacement, destruction des clés) ; 3. configuration de la cryptographie, par exemple la longueur de clé	4.4-1, 4.5-1, 4.5-2, 4.11-1, 4.11-2, 4.11-3
Logical Access to Interfaces : restreindre l'accès aux interfaces locales et réseau aux entités autorisées	1. désactiver les interfaces locales et réseau inutiles ; 2. restreindre l'accès à chaque interface réseau (authentification de l'équipement ou de l'utilisateur) ; 3. verrouillage ou délai configurable après des échecs d'authentification	4.1-1, 4.4-1, 4.6-1, 4.6-2
Software Update : mise à jour par des entités autorisées uniquement, par un mécanisme sécurisé et configurable	1. mise à jour à distance et/ou locale ; 2. vérifier et authentifier avant installation ; 3. revenir à une version antérieure ; 4. réserver la mise à jour aux entités autorisées ; 5. activer ou désactiver la mise à jour ; 6. configurer mises à jour automatiques ou manuelles et notifications	4.3-1, 4.3-2, 4.3-7
Cybersecurity State Awareness : signaler l'état de cybersécurité, accessible aux seules entités autorisées	1. signaler l'état ; 2. distinguer le fonctionnement attendu d'un état dégradé ; 3. restreindre l'accès à l'indicateur d'état ; 4. empêcher la modification non autorisée de l'état ; 5. rendre l'état disponible pour un autre équipement, par exemple un serveur de journaux	4.7-2, 4.10-1

Trois points sont souvent mal cités. La capacité Data Protection demande des « demonstrably secure cryptographic modules » et ne cite ni FIPS 140-3, ni SP 800-175B, ni élément sécurisé, ni environnement d'exécution de confiance. Le retour arrière est un élément, mais la justification ajoute que d'autres organisations « may prefer to eliminate the risk » de revenir à une version vulnérable. Et les ports de débogage matériels (UART, JTAG, SWD) ne sont pas cités : l'élément le plus proche est la capacité à désactiver les interfaces locales inutiles.

8259A liste aussi ses sources de référence : AgeLight, BITAG, CSA, CSDE, CTIA, ENISA, ETSI, GSMA, IEC 62443-4-2, IIC, IoTSF, ISOC/OTA, NEMA, OCF et PSA Certified.

NISTIR 8259B : les quatre capacités non techniques

8259B décrit « four recommended non-technical supporting capabilities » que les fabricants, ou des parties de soutien comme un fournisseur cloud ou un prestataire de services sous contrat, fournissent autour de l'équipement.

Capacité	Ce que le texte y range
Documentation	Les informations dont les clients et autres acteurs (y compris auditeurs et évaluateurs) ont besoin avant l'achat et tout au long du cycle de vie ; un pilier utilisé par les trois autres
Information and Query Reception	Après l'achat, clients et autres acteurs (chercheurs, organismes de notation de produits) peuvent soumettre questions et informations, y compris des signalements de vulnérabilité, et le fabricant y répond
Information Dissemination	Flux continu d'information : divulgation des vulnérabilités nouvellement découvertes, et notifications sur les mises à jour, changements d'algorithmes, nouveaux protocoles ou changements de fournisseurs
Education and Awareness	Contenus qui aident les clients à utiliser de façon sûre l'équipement et ses capacités de cybersécurité

L'ancienne version de cette page faisait de la divulgation des vulnérabilités une capacité à part et attribuait à 8259B ISO/IEC 29147, ISO/IEC 30111, SP 800-50 et SP 800-150. 8259B ne les cite pas : pour les informations de vulnérabilité, il renvoie à SP 800-216 (alors en projet). ISO/IEC 29147 et 30111 viennent de la section 5 de la loi.

SP 800-213 : le point de vue de l'intégrateur et de l'acheteur

SP 800-213 vise les organisations qui intègrent des équipements IoT dans un système d'information existant, en tant qu'éléments du système. Sont concernés les équipements dotés d'au moins un transducteur et d'au moins une interface réseau. Le document est structuré comme suit.

Section	Contenu
2	Contexte : systèmes et éléments, comment les équipements IoT soutiennent la sécurité, comment ils peuvent créer des difficultés
3.1	Considérations de cybersécurité de l'équipement IoT (questions sur le cas d'usage)
3.2	Évaluer le risque et déterminer les mesures requises : effets sur les sources de menace, les vulnérabilités, la vraisemblance, l'ampleur de l'impact, mise à jour de l'évaluation
3.3	Identifier les exigences de cybersécurité de l'équipement, avec SP 800-213A (3.3.1) ou d'autres ressources (3.3.2)
4	Options de gestion du risque : difficultés à satisfaire les exigences (4.1), gestion des écarts (4.2)

Le profil fédéral est le point de départ pratique. C'est l'annexe A de SP 800-213A, il utilise le catalogue de mesures SP 800-53 Rev. 5 comme source, et il vise le socle de mesures à faible impact, en partant du principe que ce socle est le minimum de tout système fédéral. SP 800-213 avertit que cela peut ne pas convenir à un équipement intégré dans un système à impact modéré ou élevé, et dispose que les organisations « shall identify all applicable IoT device cybersecurity requirements ». Lorsqu'un équipement ou son fabricant ne peut pas y répondre, la section 4 renvoie à des options de gestion du risque plutôt qu'à un rejet automatique. Une note ajoute que les fabricants peuvent choisir d'intégrer les exigences du profil fédéral, en particulier lorsque des agences fédérales sont des clients attendus.

SP 800-213A : le catalogue, famille par famille

Famille	Type	Groupes de capacités (tels que listés dans SP 800-213A)
DI, Device Identification	Technique	3 (gestion des identifiants, actions fondées sur l'identité, identifiants physiques)
DC, Device Configuration	Technique	5
DP, Data Protection	Technique	4 (cryptographie, gestion des clés, stockage sécurisé, transmission sécurisée)
LA, Logical Access to Interfaces	Technique	9
SU, Software Update	Technique	2
CS, Cybersecurity State Awareness	Technique	9 (dont journalisation, stockage des journaux d'audit, heure fiable)
DS, Device Security	Technique	6 (exécution sécurisée, communication, usage des ressources, intégrité, intégration réseau, fonctionnement)
DO, Documentation	Non technique	5
IQ, Information and Query Reception	Non technique	2 (informations de vulnérabilité, réponse aux questions)
ID, Information Dissemination	Non technique	2
EA, Education and Awareness	Non technique	6 (dont fin de vie, sauvegarde des données, options de gestion des vulnérabilités)

Cela fait onze familles et 53 groupes de capacités, chacun rattaché aux mesures de SP 800-53. Device Security est la seule famille absente de 8259A. Le catalogue propose un seul profil prédéfini, le profil fédéral ; il ne contient pas de profils sectoriels pour les dispositifs médicaux, industriels ou automobiles.

NIST IR 8425 et le Cyber Trust Mark de la FCC

NIST IR 8425 (septembre 2022) est le profil grand public des socles 8259A et 8259B, élaboré en réponse à l'Executive Order 14028. Ses résultats attendus s'appliquent à l'ensemble du produit IoT, et plusieurs noms changent : Asset Identification, Product Configuration, Data Protection, Interface Access Control, Software Update, Cybersecurity State Awareness, puis Documentation, Information and Query Reception, Information Dissemination et Product Education and Awareness. NIST IR 8425A (septembre 2024) ajoute un profil pour les routeurs grand public.

Date	Étape du Cyber Trust Mark	Source
14 mars 2024	La FCC adopte le Report and Order FCC 24-26 (publié le 15 mars 2024), PS Docket 23-239	FCC 24-26
10 septembre 2024	Fenêtre de dépôt pour les Cybersecurity Label Administrators (CLA) et le Lead Administrator	DA 24-900, cité dans DA 26-18
4 décembre 2024	UL LLC (UL Solutions) choisi comme Lead Administrator	cité dans DA 26-18
11 décembre 2024	11 CLA approuvés sous conditions	DA 24-1241, cité dans DA 26-18
19 décembre 2025	Le retrait d'UL Solutions du rôle de Lead Administrator prend effet	DA 26-18
7 au 28 janvier 2026	Nouvelle fenêtre de dépôt des candidatures Lead Administrator	DA 26-18
13 avril 2026	La FCC choisit ioXt Alliance comme nouveau Lead Administrator, pour finaliser la mise en œuvre du programme	Communiqué de la FCC
28 septembre 2026	A2LA et ANAB reconnus pour accréditer les CLA (ISO/IEC 17065) et les CyberLABs (ISO/IEC 17025)	DA 26-1029

Le programme initial couvre les équipements IoT grand public sans fil (radiateurs intentionnels, au titre de la section 302) et exclut les équipements filaires ; suivant la définition du NIST, il exclut aussi les ordinateurs généralistes, les smartphones et les routeurs. Pour un produit industriel ou fédéral, 8259A, 8259B et SP 800-213 restent la référence ; pour un produit grand public qui vise le label, ce sont les résultats de 8425 et les normes retenues par la FCC.

Correspondance entre 8259A et ETSI EN 303 645

8259A cite ETSI TS 103 645 V1.1.1 (2019), la spécification devenue EN 303 645. Ses treize recommandations (4.1 à 4.13) sont devenues les dispositions 5.1 à 5.13 d'EN 303 645, avec les mêmes titres dans le même ordre, et la protection des données a reçu sa propre clause 6. La correspondance ci-dessous suit les références que 8259A donne lui-même ; la numérotation des dispositions à l'intérieur de chaque clause a changé entre la TS et l'EN, il faut donc vérifier la version en vigueur de la norme EN avant de citer une disposition.

Capacité 8259A	Clauses de TS 103 645 citées par 8259A	Clause correspondante d'EN 303 645
Device Identification	aucune	aucune citée
Device Configuration	aucune	aucune citée
Data Protection	4.4 identifiants et données sensibles, 4.5 communications sécurisées, 4.11 suppression des données personnelles	5.4, 5.5, 5.11
Logical Access to Interfaces	4.1 pas de mots de passe par défaut universels, 4.4, 4.6 réduire la surface d'attaque exposée	5.1, 5.4, 5.6
Software Update	4.3 maintenir le logiciel à jour	5.3
Cybersecurity State Awareness	4.7 intégrité du logiciel, 4.10 données de télémétrie	5.7, 5.10

La clause 4.2 de TS 103 645 (gestion des signalements de vulnérabilités) n'est pas citée par 8259A car c'est une activité du fabricant : elle correspond à Information and Query Reception dans 8259B. Ni le NIST ni l'ETSI ne publient de pourcentage de recouvrement, et aucun ne devrait être cité.

Articulation avec le Cyber Resilience Act et la RED

Texte	Géographie	Périmètre	Statut
NIST 8259A, 8259B, SP 800-213	États-Unis	Achats et usage fédéraux ; volontaire ailleurs	Interdiction de la section 7 applicable depuis le 4 décembre 2022
ETSI EN 303 645	International (ETSI)	IoT grand public	Norme volontaire
Acte délégué RED article 3(3)(d)(e)(f)	UE	Équipements radio connectés à internet	Applicable depuis le 1er août 2025, EN 18031-1/-2/-3 citées avec restrictions (décision (UE) 2025/138)
Cyber Resilience Act	UE	Produits comportant des éléments numériques	Obligations de signalement depuis le 11 septembre 2026, application complète le 11 décembre 2027
NIST IR 8425 / Cyber Trust Mark	États-Unis	IoT grand public sans fil	Volontaire, programme de la FCC en cours de mise en œuvre par le nouveau Lead Administrator

Le CRA est un règlement avec des exigences essentielles et une évaluation de la conformité obligatoires, ce que les socles du NIST ne sont pas. Le travail fait au regard de 8259A et 8259B est réutilisable, mais il doit être mis explicitement en correspondance avec les exigences essentielles du CRA et, pour les produits radio, avec EN 18031.

Affirmations que les textes contredisent

Affirmation courante (dont certaines faites par d'anciennes versions de cette page)	Ce que dit le texte
NISTIR 8259 (2020) est la référence actuelle pour les fabricants	Retiré le 20 avril 2026, remplacé par NIST IR 8259 Rev. 1 et ses neuf activités
8259A a été publié après 8259, et 8259A, 8259B et SP 800-213 datent de 2020	8259 et 8259A en mai 2020 ; 8259B en août 2021 ; SP 800-213 et 213A en novembre 2021
NIST IR 8425 date de mars 2024	Septembre 2022 ; mars 2024 est la date du Report and Order de la FCC
8259A impose des modules FIPS 140-3, les suites de SP 800-175B et un élément sécurisé matériel	8259A demande des « demonstrably secure cryptographic modules for standardized cryptographic algorithms » et ne cite aucun de ces éléments
Un retour arrière est obligatoire	Le retour arrière est un élément commun, et 8259A note que certaines organisations préfèrent l'éliminer ; aucune capacité n'est obligatoire
8259B comporte une capacité « réception des requêtes et divulgation des vulnérabilités » citant ISO/IEC 29147 et 30111	La capacité s'appelle « Information and Query Reception » ; ISO/IEC 29147 et 30111 sont citées par la section 5 de la loi, pas par 8259B
SP 800-213A compte quatorze familles et des profils prédéfinis médicaux et industriels	Onze familles (sept techniques, quatre non techniques) et un seul profil fédéral en annexe A
SP 800-213 repose sur la catégorisation FIPS 199 en quatre étapes avec des clauses contractuelles types	Il procède par évaluation du risque (section 3.2), identification des exigences (3.3) et gestion des écarts (4) ; il ne contient pas de clauses contractuelles types
8259A recouvre EN 303 645 à « plus de quatre-vingts pour cent »	Aucun chiffre de ce type n'existe dans les textes du NIST ou de l'ETSI
Le NIST a ouvert une révision de 8259A et 8259B en 2024	La révision réalisée est IR 8259 Rev. 1 (projets en 2025, version finale en avril 2026) ; 8259A et 8259B sont inchangés
La loi rend 8259A obligatoire pour vendre aux États-Unis	La loi vise les équipements détenus ou contrôlés par les agences fédérales ; elle ne cite pas 8259A
Le Cyber Trust Mark est administré par UL Solutions	UL Solutions s'est retiré à compter du 19 décembre 2025 ; ioXt Alliance a été choisi le 13 avril 2026

Pour un fabricant : démarche pratique

1. Cadrage des marchés et des référentiels. Distinguer les clients fédéraux (SP 800-213 et le profil fédéral de SP 800-213A), les produits grand public américains qui visent le Cyber Trust Mark (NIST IR 8425), et les marchés européens (acte délégué RED et EN 18031, puis CRA). Une matrice d'exigences unique, avec une colonne par texte, évite de dupliquer le travail d'évaluation.

2. Conception au regard des capacités. Intégrer les six capacités de 8259A : identifiants logique et physique uniques, configuration sécurisée restaurable, protection cryptographique et effacement des données, restriction des interfaces, mises à jour authentifiées, état de sécurité consultable. Des mécanismes comme une racine de confiance matérielle sont des choix de conception, pas des exigences de 8259A, mais ils aident à justifier plusieurs capacités à la fois.

3. Soutien non technique. Mettre en place, avant la mise sur le marché, la documentation, un canal de réception des questions et des signalements de vulnérabilité, un moyen de diffuser les informations de vulnérabilité et de mise à jour, et des contenus de sensibilisation des utilisateurs.

4. Éléments de preuve pour les acheteurs. Selon SP 800-213, l'organisation acheteuse doit déterminer quelles exigences de cybersécurité l'équipement IoT satisfait, et documente tout écart. Le NIST ne certifie pas d'équipements au regard de 8259A : la preuve est donc ce que le fabricant fournit, documentation, rapports d'essai ou attestation écrite. Préparer une réponse capacité par capacité qui reprend les identifiants de SP 800-213A.

Voir aussi

• Common Criteria (ISO/IEC 15408) : sécurité IT
• FIPS 140-3 : validation des modules cryptographiques
• CSPN et ANSSI Visa : cybersécurité française
• CMMC et UK Cyber Essentials: baselines cyber de défense
• IEC 62443 : cybersécurité industrielle
• Cybersécurité produit : obligation, évaluation, label

Un cas concret de l'évaluation 8259A / SP 800-213 ou la double conformité NIST / EN 303 645 d'un produit IoT ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Points à surveiller

• Mises à jour des politiques de l'OMB. La section 4(c)(2) de la loi impose à l'OMB de mettre à jour ses politiques dans les 180 jours suivant une révision des normes de la section 4 du NIST. SP 800-213 lui-même n'a pas été révisé depuis novembre 2021.
• La relance du Cyber Trust Mark. La FCC a présenté le choix d'ioXt comme une étape pour finaliser la mise en œuvre ; le Lead Administrator doit recommander des normes, procédures d'essai et un design d'étiquette complémentaires. Le 28 septembre 2026, la FCC a reconnu l'A2LA et l'ANAB pour accréditer les CLA et les CyberLABs (DA 26-1029) ; aucun CLA n'est encore autorisé à délivrer le label.
• Les rapports du GAO. La section 7(c) prévoit des rapports du GAO tous les deux ans pendant six ans après la promulgation, période qui se termine en décembre 2026.

Les lois des États fédérés forment une couche distincte : le Code civil de Californie (section 1798.91.04) et l'ORS 646A.813 de l'Oregon imposent des fonctions de sécurité raisonnables aux objets connectés, indépendamment des documents du NIST.

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Pour aller plus loin

• ETSI EN 303 645 : cybersécurité de l'IoT grand public, treize catégories de dispositions plus la protection des données
• Cyber Resilience Act : règlement (UE) 2024/2847, exigences essentielles européennes
• NISTIR 8425 et US Cyber Trust Mark : profil grand public de 8259A et 8259B, label FCC
• FCC : cadre de certification radio et programme Cyber Trust Mark
• Glossaire : définitions des termes NIST, FCC, ENISA, CENELEC

Sources & références

1. NIST Cybersecurity for IoT Program, NIST www.nist.gov/itl/applied-cybersecurity/nist-cybersecurity-iot-program
2. NIST IR 8259 Rev. 1, Foundational Cybersecurity Activities for IoT Product Manufacturers (avril 2026), NIST csrc.nist.gov/pubs/ir/8259/r1/final
3. NISTIR 8259 (mai 2020, retiré le 20 avril 2026), NIST csrc.nist.gov/pubs/ir/8259/final
4. NISTIR 8259A, IoT Device Cybersecurity Capability Core Baseline, NIST csrc.nist.gov/pubs/ir/8259/a/final
5. NISTIR 8259B, IoT Non-Technical Supporting Capability Core Baseline, NIST csrc.nist.gov/pubs/ir/8259/b/final
6. Projet NISTIR 8259D, profil fédéral (retiré le 29 novembre 2021), NIST csrc.nist.gov/pubs/ir/8259/d/ipd
7. NIST SP 800-213, IoT Device Cybersecurity Guidance for the Federal Government: Establishing IoT Device Cybersecurity Requirements, NIST csrc.nist.gov/pubs/sp/800/213/final
8. NIST SP 800-213A, IoT Device Cybersecurity Requirement Catalog, NIST csrc.nist.gov/pubs/sp/800/213/a/final
9. NIST SP 800-216, Recommendations for Federal Vulnerability Disclosure Guidelines, NIST csrc.nist.gov/pubs/sp/800/216/final
10. NIST IR 8425, Profile of the IoT Core Baseline for Consumer IoT Products, NIST csrc.nist.gov/pubs/ir/8425/final
11. NIST IR 8425A, Recommended Cybersecurity Requirements for Consumer-Grade Router Products, NIST csrc.nist.gov/pubs/ir/8425/a/final
12. IoT Cybersecurity Improvement Act of 2020, Public Law 116-207 (texte promulgué), US Government Publishing Office www.govinfo.gov/content/pkg/PLAW-116publ207/html/PLAW-116publ207.htm
13. H.R. 1668, IoT Cybersecurity Improvement Act of 2020 (historique du projet de loi), US Congress www.congress.gov/bill/116th-congress/house-bill/1668
14. Executive Order 14028, Improving the Nation's Cybersecurity, White House bidenwhitehouse.archives.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
15. FCC 24-26, Cybersecurity Labeling for Internet of Things, Report and Order et FNPRM, FCC docs.fcc.gov/public/attachments/FCC-24-26A1.pdf
16. DA 26-18, fenêtre de dépôt des candidatures Lead Administrator du Cyber Trust Mark, FCC docs.fcc.gov/public/attachments/DA-26-18A1.pdf
17. La FCC choisit un nouveau Lead Administrator pour le Cyber Trust Mark (13 avril 2026), FCC docs.fcc.gov/public/attachments/DOC-420764A1.pdf
18. DA 26-1029 (28 septembre 2026), organismes d'accréditation reconnus pour le Cyber Trust Mark, FCC docs.fcc.gov/public/attachments/DA-26-1029A1.txt
19. ETSI TS 103 645 V1.1.1, Cyber Security for Consumer Internet of Things, ETSI www.etsi.org/deliver/etsi_ts/103600_103699/103645/01.01.01_60/ts_103645v010101p.pdf