NISTIR 8425 : exigences IoT et label US Cyber Trust Mark

Auteur Hugues Orgitello Mis à jour le 12 juillet 2026 ~19 min de lecture

Guide - NISTIR 8425 / US Cyber Trust Mark

NISTIR 8425 définit 10 capacités de sécurité pour l'IoT consommateur : 6 capacités techniques du produit et 4 capacités organisationnelles, plus une période de support déclarée obligatoire. La FCC a construit sur cette baseline le label volontaire US Cyber Trust Mark en mars 2024, avec CLA, CyberLAB et registre QR public. Publié en septembre 2022 par le National Institute of Standards and Technology sous le titre "Profile of the IoT Core Baseline for Consumer IoT Products", NISTIR 8425 est le document de référence sur lequel s'appuie le label. Le label, materialise par un logo et un QR code imprimes sur l'emballage des produits IoT grand public, est administre par la FCC, instruit par des Cybersecurity Label Administrators accredites et evalue par des laboratoires CyberLABs. Ce guide expose le contenu de NISTIR 8425, l'architecture du programme, le contenu obligatoire du registre, et la comparaison avec le Cyber Resilience Act européen et le PSTI Act britannique. Il distingue NISTIR 8425 de NIST SP 800-213, le document jumeau qui couvre les acquisitions fédérales américaines.

En résumé :

• NISTIR 8425 (NIST, septembre 2022) définit 6 capacités techniques + 4 capacités organisationnelles pour l'IoT consommateur, plus une période de support sécurité déclarée.
• Le US Cyber Trust Mark est volontaire, adopté par le Report and Order FCC 24-26 du 14 mars 2024.
• L'évaluation passe par des CyberLABs accrédités et des CLA ; le fabricant ne peut pas auto-déclarer le label.
• Le QR code de l'emballage doit résoudre vers une fiche registre publique (période de support, canal de vulnérabilités, politique de fin de support).

Origine: Executive Order 14028 et la commande politique

Le 12 mai 2021, le président des Etats-Unis a signe l'Executive Order 14028 intitule "Improving the Nation's Cybersecurity". Ce décret réagissait aux compromissions logicielles documentées de 2020 et 2021 (SolarWinds, Kaseya, Colonial Pipeline) et confiait au NIST plusieurs missions de doctrine: cadre Software Bill of Materials, critères de cybersécurité pour les logiciels critiques, et labellisation des produits IoT et des logiciels consommateur.

La section 4(s) du décret demandait explicitement au NIST de définir, en concertation avec la Federal Trade Commission et d'autres agences, un programme volontaire de labellisation cybersécurité pour les produits IoT vendus au grand public. La logique était celle d'une information du consommateur: les acheteurs ne disposaient d'aucun moyen simple de comparer la posture de sécurité de deux camera IP, deux thermostats connectes ou deux serrures intelligentes.

Le NIST a répondu en deux temps. Un premier document, NISTIR 8259 (2020), avait déjà décrit les capacités de cybersécurité attendues d'un dispositif IoT, dans une formulation générale. NISTIR 8259A en avait derive un profil minimal de capacités techniques. NISTIR 8425, publie en 2022, applique cette demarche au cas du produit IoT consommateur, en simplifiant et en orientant le vocabulaire vers le grand public.

En parallèle, la FCC a engage en 2023 une procédure réglementaire (Notice of Proposed Rulemaking, FCC 23-65) pour porter le programme. Apres consultation publique, la FCC a adopte le Report and Order FCC 24-26 le 14 mars 2024, établissant officiellement le US Cyber Trust Mark comme programme administre par l'agence, sous le visa de son chair de l'époque, Jessica Rosenworcel.

NISTIR 8425: le profil et son périmètre

NISTIR 8425 est un document court, organise autour d'un objectif unique: définir ce qu'un produit IoT consommateur doit être capable de faire, et ce que l'organisation qui le commercialise doit être capable de fournir, pour merite la confiance d'un acheteur grand public.

Le périmètre cible "consumer IoT products", c'est-a-dire les produits connectes destines a un usage domestique, personnel ou de loisir. La définition s'aligne sur celle d'ETSI EN 303 645, sans la décalquer mot pour mot:

• équipements de la maison connectée: thermostats, éclairages, prises, serrures, capteurs, détecteurs de fumée, cameras IP grand public, sonnettes vidéo, assistants vocaux ;
• équipements portes: montres connectées, bracelets de sport, dispositifs de suivi de sommeil ou de santé grand public ;
• équipements pour enfants: moniteurs de bébé, jouets connectes ;
• équipements de loisir connectes: stations météo, balances, équipements sportifs.

Sont hors périmètre les dispositifs médicaux reglementes par la FDA, les vehicules automobiles, les équipements industriels et professionnels, et les produits acquis par les agences fédérales (qui relèvent de NIST SP 800-213).

NISTIR 8425 établit une distinction structurante entre deux familles de capacités: les capacités techniques du produit, intégrées a l'objet et a son logiciel, et les capacités non techniques de l'organisation, qui relèvent du processus, de la documentation et de l'assistance.

Quelles sont les 6 capacités techniques de NISTIR 8425 ?

Le coeur de NISTIR 8425 tient en six capacités techniques. Chacune est décrite en termes de résultat attendu, sans imposer de technologie particuliere. Cette formulation "outcome-based" rejoint l'approche d'EN 303 645 et a vocation a rester stable face a l'évolution des technologies.

Capacite	Resultat attendu
Asset Identification	Le produit s'identifie de maniere unique et logique sur le réseau et dans l'inventaire utilisateur.
Product Configuration	La configuration du produit est modifiable de maniere authentifiée par l'utilisateur autorise.
Data Protection	Les données stockées et transmises par le produit sont protégées en confidentialité et intégrité.
Interface Access Control	Toute interface logique ou physique exposée est protégée par un controle d'accès approprie.
Software Update	Le produit peut recevoir des mises a jour logicielles signées et vérifiées, pendant la période de support déclarée.
Cybersecurity State Awareness	Le produit, ou son service compagnon, fournit a l'utilisateur un état de sa posture de sécurité (présence d'une mise a jour, état des credentials, intégrité).

Une lecture rapide montre la proximité avec les provisions 5.1 a 5.13 d'EN 303 645. La capacité "Software Update" recouvre la provision 5.3 et son exigence de période de support. "Interface Access Control" rejoint les provisions 5.1, 5.4 et 5.6. "Data Protection" se chevauche avec 5.5 et 5.8. Cette convergence est intentionnelle, et plusieurs documents NIST citent EN 303 645 comme reference comparative.

NISTIR 8425 ne fixe pas de liste d'exigences atomiques verifiables. C'est le programme Cyber Trust Mark, via les critères techniques publies par la FCC et les CLA, qui transforme ces six capacités en cas de test concrets. Cette construction en deux etages, baseline doctrinaire d'un cote, critères opérationnels de l'autre, vise un double objectif: stabiliser la baseline dans le temps tout en laissant la FCC ajuster les critères au rythme des menaces émergentes et des retours d'expérience de terrain.

L'approche fonctionnelle a un autre merite. Elle facilite l'intégration de profils sectoriels (jouets connectes, santé grand public, équipements pour enfants) sans remettre en cause la structure de NISTIR 8425. Le NIST a publie en 2024 des notes préparatoires évoquant ces déclinaisons, qui pourraient prendre la forme de profils complémentaires sous numérotation 8425-1, 8425-2, etc., selon une logique analogue a la serie 800-213A pour les marches fédéraux.

Les capacités non techniques de l'organisation

NISTIR 8425 reconnaît que la cybersécurité d'un produit IoT ne se réduit pas a ce que fait l'objet lui-même. Un équipement parfaitement conçu cesse de l'être si son fabricant ne traite pas les vulnérabilités remontées, ne publie pas de mises a jour, ou ne documente pas l'arrêt de support.

Quatre capacités non techniques sont définies:

• Documentation: le fabricant tient une documentation accessible sur les fonctions de sécurité du produit, sa configuration, ses interfaces, et la durée de support.
• Information and Query Reception: le fabricant publie un canal de réception des requêtes (utilisateurs, chercheurs, autorités) sur la sécurité du produit, et y répond dans des délais documentes.
• Information Dissemination: le fabricant diffuse de maniere active les informations pertinentes (mises a jour, alertes, fin de support) vers les utilisateurs et le registre Cyber Trust Mark.
• Product Education and Awareness: le fabricant fournit a l'utilisateur les éléments lui permettant d'utiliser le produit de maniere sécurisée (guide de configuration, bonnes pratiques, signification du label).

A ces quatre capacités s'ajoute une exigence transversale: la déclaration et la tenue d'une période de support sécurité, exprimée en durée calendaire a compter de la mise sur le marche. Cette déclaration est obligatoire pour apposer le label et figure dans le registre.

L'imbrication entre capacités techniques et capacités non techniques est une réponse explicite aux défaillances répétées observées depuis 2016. Le botnet Mirai n'a pas exploite des vulnérabilités cryptographiques sophistiquées, il a tire parti de mots de passe par défaut connus, d'interfaces telnet exposées et d'absence de mises a jour. La cause n'était pas seulement technique, elle était organisationnelle: aucun canal pour signaler la vulnérabilité, aucun engagement public sur la maintenance, aucune information aux utilisateurs sur l'arrêt de support. NISTIR 8425 traite les deux dimensions de maniere couplee.

Comment fonctionne le programme US Cyber Trust Mark ?

Le programme adopte une architecture a quatre niveaux, formalisée par le Report and Order FCC 24-26.

Acteur	Role	Source de l'autorité
FCC	Administrateur du programme, autorité de dernière instance, gestion du registre et des sanctions	47 CFR Part 8, sous-chapitre dedie
CLA (Cybersecurity Label Administrator)	Instruction des demandes, surveillance du marche, tenue opérationnelle des fiches registre	Accreditation par la FCC
CyberLAB	Evaluation technique du produit contre la baseline NISTIR 8425 et les critères FCC	Accreditation ISO/IEC 17025 étendue, reconnue par la FCC
Fabricant	Conception, demande, déclaration de la période de support, maintenance	Accord d'engagement signe au dépôt

La FCC ne realise pas elle-même les évaluations. Elle accredite les CLA et reconnaît les CyberLABs, qui exécutent l'instruction et les essais. Le fabricant choisit un CLA, lequel mandate ou accepte un CyberLAB. Le CyberLAB execute l'évaluation, produit un rapport, le transmet au CLA. Le CLA, apres revue, decide de la délivrance du droit d'usage du label et de la publication de la fiche registre.

Ce schéma demultiplie les capacités d'instruction tout en maintenant un point unique d'autorité. Il rappelle le modele Notified Body européen, sans en avoir la base juridique transversale.

Les CLA sont selectionnes par appel a candidature ouvert par la FCC. Le Report and Order detaille les critères d'éligibilité: expérience démontrée en cybersécurité IoT, capacité a tenir un registre public, séparation des fonctions commerciales et d'instruction, regles de conflit d'intérêt. Plusieurs organismes déjà actifs dans la certification produit (UL Solutions, TUV, Intertek, organismes de certification specialises en cybersécurité) ont annonce leur candidature des 2024. La première vague d'accréditation a ete annoncée fin 2024.

Les CyberLABs sont des laboratoires d'essai accredites contre une extension de la norme ISO/IEC 17025 spécifique au programme. La FCC reconnaît l'accréditation délivrée par un organisme tiers (typiquement A2LA ou NVLAP aux Etats-Unis). Un CyberLAB peut être interne a un CLA (modele integre) ou indépendant (modele separe). Le marche supporte les deux configurations.

Cette architecture cree une chaine de responsabilité traceable. En cas d'incident grave sur un produit étiqueté, l'enquete peut remonter de la fiche registre au CLA, du CLA au CyberLAB, du CyberLAB au fabricant. La FCC conserve la capacité d'auditer chaque maillon et de prononcer des sanctions spécifiques selon le niveau de responsabilité.

Le label et le QR code

L'apposition physique du label sur le produit, son emballage ou sa documentation suit un gabarit visuel défini par la FCC. Le label comprend deux éléments obligatoires:

• une marque graphique Cyber Trust Mark, un logotype défini par la FCC, lisible sans équipement particulier et accompagne d'une légende courte ;
• un QR code unique, scannable par tout smartphone, pointant vers la fiche du produit dans le registre Cybersecurity Information Registry.

Le QR code est central. Il garantit que l'information présentée a l'acheteur est fraîche, contrôlée et tracable. Une étiquette papier vieillit, un QR code résolu cote serveur est mis a jour en quasi temps réel par le CLA.

La fiche cible du QR contient au minimum les éléments suivants:

• nom du fabricant et du produit, references commerciales ;
• identifiant CLA, identifiant CyberLAB, dates d'évaluation ;
• baseline appliquée (NISTIR 8425 dans sa version en vigueur, le cas échéant accompagnée de profils sectoriels) ;
• durée de support sécurité déclarée, date d'expiration prévue ;
• canal de signalement des vulnérabilités ;
• procédure de configuration sécurisée initiale ;
• politique de fin de support (notamment, ce qui se passe a expiration de la durée déclarée) ;
• historique des évolutions matérielles de la fiche.

Le fabricant a l'obligation de tenir la fiche a jour. Tout changement significatif (passage d'une version majeure du firmware, modification de la période de support résiduelle, découverte d'une vulnérabilité traitée) declenche une mise a jour cote registre.

La conception graphique du label fait l'objet d'un cahier des charges précis: hauteur minimale, contraste, position relative aux autres marquages réglementaires (FCC ID, marquage CE pour les produits multi-marches, marquages électriques), et coexistence avec le QR code. Le label peut figurer sur le produit lui-même, sur l'emballage primaire, sur l'emballage secondaire et dans la documentation electronique. Le fabricant choisit l'emplacement le plus pertinent compte tenu du format produit, sous reserve de visibilité pour l'acheteur avant l'achat.

Cette articulation entre marquage physique et registre numérique résout un problème structurel des labels papier: l'obsolescence informationnelle. Un produit reste en vente plusieurs années apres impression de l'emballage. Avec un QR code, le contenu informationnel evolue cote serveur tandis que la marque graphique reste stable. Cette logique de "label vivant" est l'une des principales innovations du programme par rapport aux schémas anterieurs.

Representation schématique de la chaine

[ Fabricant ]
      |
      | depose
      v
[ CLA accredite ] -- mandate --> [ CyberLAB accredite ]
      |                                      |
      | revoit rapport <----- transmet ------+
      v
[ Droit d'usage du label ]
      |
      | publie fiche
      v
[ Cybersecurity Information Registry (FCC) ]
      ^
      | scanne QR
      |
[ Consommateur ] <-- voit label --- [ Produit / emballage ]

La FCC conserve un droit d'audit sur les CLA, sur les CyberLABs et indirectement sur les fabricants. Une violation peut conduire au retrait du droit d'usage et a des sanctions réglementaires de droit commun (47 USC).

La période de support, point critique

La déclaration de la période de support sécurité est l'innovation majeure du programme par rapport aux schémas anterieurs. Trois principes s'appliquent.

Principe d'engagement. La durée déclarée par le fabricant est un engagement public. Le label n'est pas accorde si la durée n'est pas déclarée. Aucune durée minimale n'est imposée par la FCC, le marche étant suppose récompenser les engagements longs.

Principe de visibilité. La durée est visible avant achat, sur l'emballage et dans la fiche registre. Cette transparence vise a permettre au consommateur d'intégrer le critère dans sa décision d'achat.

Principe de transparence en fin de course. L'expiration de la période déclarée n'est pas une cause d'interdiction de vente. Elle declenche une mise a jour du registre, qui passe en statut "support ended" pour le produit concerne. Le label devient caduc pour les nouveaux acheteurs. Le fabricant doit informer les utilisateurs existants par les canaux declares.

Maintenir un label sans honorer la période de support annoncée constitue une infraction au programme. La FCC peut retirer le droit d'usage et sanctionner sur le fondement des regles de loyauté commerciale.

Comparaison avec les autres régimes

Le programme américain n'est pas isole. Il s'inscrit dans un mouvement international de régulation et de labellisation de la cybersécurité IoT. Le tableau ci-dessous synthetise les principales differences.

Dimension	US Cyber Trust Mark	EU Cyber Resilience Act	UK PSTI Act 2022
Statut	Volontaire	Obligatoire	Obligatoire
Autorite	FCC + CLA + CyberLABs	Commission + autorités nationales de surveillance	OPSS (UK)
Perimetre	IoT consommateur	Tout produit avec éléments numériques	IoT consommateur
Baseline technique	NISTIR 8425	Normes harmonisées CRA, en cours	EN 303 645 (3 premières provisions)
Periode de support déclarée	Obligatoire pour apposer le label	Obligatoire (au moins 5 ans en regle générale)	Obligatoire
Date	Adopte mars 2024, déploiement 2025-2026	Applicable 11 décembre 2027	Applicable 29 avril 2024
Sanctions	Retrait du label, sanctions FCC	Amendes jusqu'a 15 M EUR ou 2,5% du CA mondial	Amendes jusqu'a 10 M GBP ou 4% du CA mondial
Reconnaissance internationale	Discussions en cours avec UE	Reconnaissance via EUCC en construction	Convergence avec CRA en cours

Au-dela de ces trois régimes, d'autres juridictions ont mis en place des labels consommateur volontaires:

• Singapour, Cybersecurity Labelling Scheme (CLS), quatre niveaux, obligatoire pour les routeurs Wi-Fi vendus a Singapour depuis 2020, base sur EN 303 645.
• Finlande, label cybersécurité Traficom, depuis 2019, valable trois ans, base sur EN 303 645.
• Australie, Code of Practice: Securing the Internet of Things for Consumers, volontaire, base sur EN 303 645.
• Inde, programme CCS for IoT opere par STQC, base sur EN 303 645.

L'ensemble de ces schémas converge vers une même grammaire technique: identification, configuration, mise a jour, protection des données, controle d'accès, gestion des vulnérabilités, déclaration de la période de support. Les écarts portent sur le statut juridique, sur l'organe d'administration et sur le degré de détail des critères.

Cette convergence n'est pas accidentelle. La plupart des participants aux travaux ETSI sur EN 303 645 ont également contribue aux consultations du NIST sur NISTIR 8425 et a la procédure FCC. Les régulateurs eux-mêmes échangent dans le cadre du Cybersecurity Tech Accord, du Global Forum on Cyber Expertise et de l'OCDE. Cette circulation des experts produit une homogénéisation progressive des baselines, en attendant des accords formels de reconnaissance mutuelle.

Le contraste entre statut volontaire et statut obligatoire merite d'être lu correctement. Un fabricant qui vise le marche européen et britannique n'a pas le choix: il devra se conformer au CRA et au PSTI Act. Un fabricant qui vise uniquement le marche américain peut, en théorie, ignorer le US Cyber Trust Mark. En pratique, plusieurs distributeurs et plates-formes de commerce en ligne ont annonce une préférence pour les produits étiquetés, ce qui transforme le label volontaire en quasi-obligation commerciale. La frontière entre régulation et pression marche se brouille rapidement sur ce type de programme.

Alignement avec ETSI EN 303 645

NISTIR 8425 et ETSI EN 303 645 sont nes de demarches parallèles, autour des mêmes constats. Leur niveau de convergence est eleve, ce qui a deux conséquences pratiques.

D'une part, un produit déjà evalue contre EN 303 645 couvre une part substantielle des attentes NISTIR 8425. Le travail résiduel concerne surtout la documentation spécifique attendue par la FCC, le mappage des cas de test du CyberLAB, et la maintenance de la fiche registre. Un fabricant qui a déjà mene une évaluation TS 103 701 dispose d'un avantage opérationnel net.

D'autre part, la perspective d'un accord de reconnaissance mutuelle entre les Etats-Unis et l'Union européenne est ouverte. Le Cybersecurity Act européen (régulation UE 2019/881) prévoit la possibilité pour l'ENISA de signer des accords avec des autorités tierces dans le cadre du futur schéma EUCC. La FCC a indique en 2024 et 2025 son intérêt pour ce type d'accord. A la date de rédaction, aucun accord formel n'est entre en vigueur.

Le fabricant qui vise les deux marches doit donc, jusqu'a nouvel ordre, conduire deux processus distincts: un dossier RED 3.3 / EN 18031 pour l'UE et une demande Cyber Trust Mark auprès d'un CLA pour les Etats-Unis. Les artefacts d'évaluation (politiques, journaux, configuration, listes de vulnérabilités) sont en grande partie communs.

Distinction avec NIST SP 800-213

NIST SP 800-213 et la serie associée 800-213A définissent une baseline IoT pour les acquisitions du gouvernement fédéral américain. Cette baseline est plus exigeante que celle de NISTIR 8425, parce qu'elle vise des cas d'usage gouvernementaux (controle d'accès multi-niveaux, journalisation centralisée, intégration avec les outils fédéraux de gestion des identités, conformité FIPS).

Confondre les deux references est une erreur frequente. Un produit conforme NIST SP 800-213 est probablement conforme NISTIR 8425, mais la réciproque n'est pas vraie. Le tableau suivant clarifie.

Critere	NISTIR 8425	NIST SP 800-213 / 800-213A
Public cible	Consommateur grand public	Agences fédérales américaines
Source législative	EO 14028	IoT Cybersecurity Improvement Act 2020
Statut	Volontaire (via Cyber Trust Mark)	Obligatoire pour les acquisitions fédérales
Profondeur	Baseline minimale	Baseline + capacités étendues
Verification	CyberLAB + CLA	Verification par l'agence acheteuse

Pour un fabricant qui cible uniquement le marche consommateur américain, NISTIR 8425 est le seul document a maitriser. Pour un fabricant qui vise aussi le secteur public fédéral, l'examen de NIST SP 800-213 est nécessaire.

Pour un fabricant: demarche pratique

Un projet Cyber Trust Mark s'articule en cinq phases dans la perspective d'un produit déjà en developpement.

1. Cadrage et choix du CLA. Identifier les CLA accredites par la FCC au moment de la demande, évaluer leurs procédures, leurs délais et leurs coût indicatifs. Confirmer le périmètre du produit (versions de firmware, options matérielles, services compagnons).

2. Auto-évaluation contre NISTIR 8425. Cartographier le produit contre les six capacités techniques et les quatre capacités non techniques. Pour chaque capacité, lister les preuves disponibles, identifier les écarts et planifier les actions correctives. Un fabricant qui a déjà mene une évaluation EN 303 645 réutilisé une part substantielle du materiel.

3. Évaluation par un CyberLAB. Le CyberLAB execute le programme de test, examine la documentation, verifie la présence des canaux de signalement et la cohérence de la période de support déclarée. Les non-conformites donnent lieu a actions correctives et retest partiel.

4. Décision du CLA et publication. Le CLA revoit le rapport du CyberLAB, statue sur la délivrance du droit d'usage du label, et publie la fiche dans le registre. Le fabricant peut alors apposer le label et le QR code sur le produit et son emballage.

5. Maintien. Le fabricant tient la fiche a jour pendant la durée de validité du label, applique les mises a jour annoncées, communique sur les vulnérabilités et la fin de support, et conserve les artefacts d'évaluation pour audit.

Voir aussi

• NIST SP 800-213 et 8259A: socle cybersécurité IoT américain
• Common Criteria (ISO/IEC 15408) : sécurité IT
• FIPS 140-3 : validation des modules cryptographiques
• CSPN et ANSSI Visa : cybersécurité française

Un cas concret de la preparation d'un dossier US Cyber Trust Mark ou la cartographie NISTIR 8425 d'un produit IoT ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter →

Pieges fréquents observes

Trois classes d'erreurs reviennent dans les premiers dossiers prepares par les fabricants en 2024 et 2025.

Croire que le label est mandatory. Le US Cyber Trust Mark est volontaire. Aucune obligation légale fédérale n'exige son apposition pour vendre un produit IoT consommateur aux Etats-Unis. Cette confusion conduit certains importateurs a sur-prioriser le label par rapport a d'autres obligations effectives (FCC Part 15, FCC Part 18, certifications électriques NRTL).

Omettre la publication de la fiche registre. Le label imprime ne tient pas seul. Sans fiche publique résolue par le QR code, le label n'est pas valide. Un produit étiqueté dont la fiche n'est pas publiée, ou pointe vers une fiche périmée, est en infraction au programme.

Declarer une période de support intenable. La période de support est un engagement contractuel. Un fabricant qui annonce dix ans pour se distinguer commercialement, sans budget réaliste de maintenance firmware sur dix ans, s'expose a la caducité anticipée et a la perte de crédibilité. Une durée courte mais honorée vaut mieux qu'une durée longue non tenue.

D'autres pieges secondaires concernent la confusion entre marquage FCC Part 15 (compatibilité radioélectrique) et Cyber Trust Mark (cybersécurité), deux programmes administres par la même agence mais régis par des regles distinctes. Les deux peuvent coexister sur un même produit, mais l'un n'implique pas l'autre.

Un quatrième écueil concerne le périmètre evalue. Un produit IoT moderne s'appuie souvent sur un service cloud, sur une application mobile compagnon et sur un firmware embarque. Le programme Cyber Trust Mark couvre l'ensemble fonctionnel nécessaire a la sécurité du dispositif, ce qui inclut les services compagnons critiques. Un fabricant qui declare le seul firmware embarque et omet le service cloud associe presente un dossier incomplet. La revue par le CyberLAB doit englober toute la surface fonctionnelle.

Un cinquième piege touche les produits multi-marches. Un fabricant qui obtient le label aux Etats-Unis et apose le QR code sur un emballage destine également a l'export vers l'UE, le Royaume-Uni ou le Canada doit vérifier que le QR code et la fiche registre n'entrent pas en conflit avec les exigences locales d'etiquetage. La fiche registre est en anglais et hébergée aux Etats-Unis, ce qui peut soulever des questions de droit a l'information consommateur dans certaines juridictions.

Perspectives 2026 et au-dela

Trois évolutions structurent l'agenda du programme.

D'abord, la montée en charge du registre. La FCC et les CLA travaillent a un registre opérationnel a l'échelle de plusieurs milliers de produits, avec des API d'interrogation pour les agrégateurs (places de marche, comparateurs, distributeurs). La qualité de service du registre conditionne la crédibilité du QR code.

Ensuite, les profils sectoriels. NISTIR 8425 a vocation a être complete par des profils sectoriels (santé grand public, jouets, équipements pour enfants, automobile grand public). Le NIST publie des notes préparatoires sur ces déclinaisons, qui pourraient devenir des documents derives.

Enfin, les accords internationaux. Les discussions FCC / ENISA et FCC / UK OPSS sur la reconnaissance mutuelle des évaluations sont annoncées comme prioritaires. Un succès ferait baisser le coût de double conformité pour les fabricants exportateurs.

Pour un bureau d'études qui conçoit aujourd'hui un produit IoT consommateur destine aux marches américain et européen, la trajectoire prudente reste de viser des le départ la convergence: structurer le dossier autour des six capacités NISTIR 8425, qui recouvrent largement les provisions EN 303 645 et les exigences essentielles du futur CRA, et planifier les deux demarches en parallèle.

Besoin d’un appui ?

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Pour aller plus loin

• ETSI EN 303 645: la baseline IoT consommateur mondiale, proche de NISTIR 8425
• NIST SP 800-213: la baseline fédérale américaine, document jumeau de NISTIR 8425
• Cyber Resilience Act: le futur régime européen obligatoire, applicable le 11 décembre 2027
• Certification FCC: cadre transversal FCC, complémentaire et distinct du Cyber Trust Mark
• Glossaire: définitions des termes FCC, NIST, CLA et CyberLAB

Sources & références

1. NISTIR 8425, Profile of the IoT Core Baseline for Consumer IoT Products , NIST csrc.nist.gov/pubs/ir/8425/final
2. FCC Cyber Trust Mark program page , Federal Communications Commission www.fcc.gov/CyberTrustMark
3. FCC Report and Order, FCC 24-26 (March 2024), Cybersecurity Labeling , Federal Communications Commission www.fcc.gov/document/fcc-adopts-voluntary-cybersecurity-labeling-program-iot-products
4. NIST IoT Cybersecurity Program , NIST www.nist.gov/itl/applied-cybersecurity/nist-cybersecurity-iot-program
5. Executive Order 14028, Improving the Nation's Cybersecurity , Federal Register www.federalregister.gov/documents/2021/05/17/2021-10460/improving-the-nations-cybersecurity
6. NIST SP 800-213 and 800-213A, IoT Device Cybersecurity for Federal Agencies , NIST csrc.nist.gov/pubs/sp/800/213/final
7. IoT Cybersecurity Improvement Act of 2020 (Public Law 116-207) , US Congress www.congress.gov/bill/116th-congress/house-bill/1668