NIST IR 8425 et le US Cyber Trust Mark en 2026

Hugues Orgitello mis à jour le 7 oct. 2026 21 min de lecture

NIST IR 8425, « Profile of the IoT Core Baseline for Consumer IoT Products », a été publié en septembre 2022. Il fixe six capacités du produit et quatre capacités non techniques, formulées comme des résultats attendus pour le produit IoT entier : l'équipement, son application compagnon, sa passerelle et son serveur dorsal dans le cloud. En mars 2024, la FCC l'a adopté comme base du label volontaire US Cyber Trust Mark et a inscrit le programme dans la sous-partie B du 47 CFR Part 8. Deux ans et demi plus tard, les règles existent, mais aucun produit ne peut encore porter le label : les administrateurs ne sont approuvés que sous condition, le Lead Administrator est passé d'UL Solutions à ioXt Alliance, et les organismes d'accréditation n'ont été reconnus que le 28 septembre 2026. Ce guide lit 8425 capacité par capacité, détaille les règles de la Part 8 section par section, donne l'état du programme au 7 octobre 2026 et distingue 8425 de NIST SP 800-213, du Cyber Resilience Act et du PSTI Act britannique.

En bref :

• NIST IR 8425 (septembre 2022) définit 6 capacités du produit + 4 capacités non techniques ; NIST IR 8425A (septembre 2024) ajoute un profil pour les routeurs.
• Le US Cyber Trust Mark est volontaire (47 CFR 8.203(k)) ; FCC 24-26 a été adopté le 14 mars 2024 et les règles sont en vigueur depuis le 29 août 2024.
• Deux étapes : essais par un laboratoire accrédité et reconnu par le Lead Administrator, puis certification par un CLA. Pas d'autodéclaration.
• État au 7 octobre 2026 : aucun CLA n'est autorisé à accorder le label ; ioXt Alliance est Lead Administrator depuis le 13 avril 2026 ; A2LA et ANAB ont été reconnus comme organismes d'accréditation le 28 septembre 2026.

État des documents et du programme (octobre 2026)

Date	Événement	Source
12 mai 2021	L'Executive Order 14028 demande au NIST des critères d'étiquetage pour l'IoT grand public	EO 14028, sections 4(s) et 4(t)
Février 2022	Le NIST publie Recommended Criteria for Cybersecurity Labeling for Consumer IoT Products, premier support du profil grand public	NIST IR 8425, introduction
17 juin 2022 / 20 septembre 2022	NIST IR 8425 en projet, puis final	Page de publication du NIST, historique
14 mars 2024	La FCC adopte le Report and Order FCC 24-26 (publié le 15 mars 2024), PS Docket 23-239	FCC 24-26
30 juillet 2024	Publication de la règle finale (89 FR 61242), en vigueur le 29 août 2024	Federal Register
10 septembre 2024	NIST IR 8425A, profil des routeurs grand public, final	Page de publication du NIST
4 décembre 2024	UL LLC (UL Solutions) choisi comme Lead Administrator	DA 24-1214, citée dans la DA 26-18
11 décembre 2024	Onze CLA approuvés sous condition	DA 24-1241
6 mai 2025	UL Solutions obtient jusqu'au 13 juin 2025 pour déposer ses recommandations de normes	DA 25-388
15 août 2025	Retrait de CTIA Certification LLC comme CLA	DA 26-75
19 décembre 2025	Prise d'effet du retrait d'UL Solutions comme Lead Administrator	DA 26-18
7 au 28 janvier 2026	Nouvelle fenêtre de candidature Lead Administrator	DA 26-18
13 avril 2026	ioXt Alliance choisi comme Lead Administrator	DA 26-354
11 août 2026	Deux CLA supplémentaires approuvés sous condition, fenêtre CLA rouverte sans date de clôture	DA 26-834
28 septembre 2026	A2LA et ANAB reconnus pour accréditer les CLA (ISO/IEC 17065) et les CyberLABs (ISO/IEC 17025)	DA 26-1029

La DA 26-354 indique que le précédent Lead Administrator avait remis un premier jeu de recommandations, en cours d'examen par les services du Bureau et destiné à être soumis à consultation publique. Tant que la Commission n'a pas adopté de normes et procédures d'essai et qu'aucun CLA n'a obtenu l'accréditation ISO/IEC 17065 avec le périmètre FCC, aucune autorisation produit ne peut être délivrée (DA 26-834).

D'où vient NIST IR 8425

L'Executive Order 14028 a été signé le 12 mai 2021. Ses sections 4(s) et 4(t) demandaient au NIST de lancer des pilotes d'étiquetage IoT grand public et d'identifier des critères de cybersécurité IoT pour un label destiné aux consommateurs. Le NIST a répondu en février 2022 avec Recommended Criteria for Cybersecurity Labeling for Consumer IoT Products ; le profil grand public de ce livre blanc est devenu NIST IR 8425 en septembre 2022.

8425 est un profil des socles de NISTIR 8259A (capacités de l'équipement) et 8259B (capacités non techniques). Son introduction le place dans la série 8259, aux côtés de NISTIR 8259, que le NIST a retiré le 20 avril 2026 et remplacé par NIST IR 8259 Rev. 1 ; 8259A et 8259B n'ont pas été révisés (voir le guide SP 800-213).

Son public, selon ses propres termes, comprend les fabricants de produits grand public, les distributeurs, les intégrateurs et sociétés de support, ainsi que les « testing and certification bodies interested in establishing baselines ». Il vise les « IoT products for home or personal use » et ajoute qu'il peut servir de point de départ aux entreprises qui achètent des produits IoT.

Ce qu'est un produit IoT

Le pas décisif de 8425 est le passage de l'équipement au produit. Un équipement IoT est un matériel informatique doté d'au moins un transducteur (capteur ou actionneur) et d'au moins une interface réseau. Un produit IoT est l'équipement ou les équipements « and any additional product components that are necessary to use the IoT device beyond basic operational features ». 8425 cite trois types de composants en plus de l'équipement :

Composant	Exemple donné par 8425	En général
Matériel réseau ou passerelle dédié (hub)	Un hub dans le système où l'équipement est utilisé	Dans la boîte, ou acheté à part
Logiciel applicatif compagnon	Une application mobile qui communique avec l'équipement	Hors de la boîte
Serveurs dorsaux	Un ou plusieurs services cloud qui stockent ou traitent les données de l'équipement	Hors de la boîte

La FCC a repris cette structure aux 47 CFR 8.203(j) et (m), « per NISTIR 8425 ». En pratique, une prise connectée dotée d'une API cloud non sécurisée ne satisfait pas le profil, quelle que soit la qualité de son micrologiciel.

Les six capacités du produit, telles qu'écrites

8425 donne pour chaque capacité une définition, des sous-critères numérotés et une « cybersecurity utility ». Le tableau résume les sous-critères.

Capacité	Résultat attendu dans 8425	Sous-critères
Asset Identification	Le produit est identifiable de manière unique et inventorie tous ses composants	1. produit identifié de manière unique par le client et les autres entités autorisées ; 2. chaque composant identifié de manière unique et inventaire à jour des composants connectés
Product Configuration	Configuration modifiable, retour possible à une configuration par défaut sécurisée, modifications réservées aux personnes, services et composants autorisés	1. les entités autorisées modifient la configuration via un ou plusieurs composants ; 2. restauration d'une configuration par défaut sécurisée (non initialisée) ; 3. paramètres appliqués aux composants concernés
Data Protection	Les données stockées sur tous les composants et transmises entre composants et hors du produit sont protégées contre l'accès, la divulgation et la modification non autorisés	1. chaque composant protège les données qu'il stocke par des moyens sûrs ; 2. capacité de supprimer ou rendre inaccessibles les données collectées sur le client, le foyer ou la famille ; 3. protection des données transmises
Interface Access Control	Accès logique aux interfaces locales et réseau, ainsi qu'à leurs protocoles et services, réservé aux entités autorisées	1. chaque composant n'utilise que les interfaces nécessaires, y applique un contrôle d'accès (par exemple authentification multifacteur à mot de passe unique, ports inaccessibles de l'extérieur) et limite les privilèges ; 2. le produit valide les données échangées entre composants, empêche les transmissions non autorisées et maintient le contrôle d'accès lors de l'enrôlement et de la reconnexion
Software Update	Logiciel de tous les composants mis à jour uniquement par des entités autorisées, via un mécanisme sûr et configurable	1. chaque composant peut recevoir, vérifier et appliquer des mises à jour vérifiées ; 2. mesures pour maintenir le logiciel à jour (application automatique ou notification régulière du client)
Cybersecurity State Awareness	Le produit permet la détection des incidents de cybersécurité qui affectent ses composants et ses données	1. le produit capture et enregistre de façon sûre des informations d'état utilisables pour détecter des incidents

Deux détails se perdent souvent. Le « logiciel » inclut les bibliothèques, les packs de support et les données logicielles non exécutables (note 13). Et la Cybersecurity State Awareness consiste à capturer des informations d'état pour détecter des incidents, pas à afficher un tableau de bord de sécurité pour le consommateur.

Les quatre capacités non techniques

Capacité	Ce que fait le développeur	Sous-critères notables
Documentation	Crée, rassemble et conserve l'information de cybersécurité avant l'achat et sur tout le cycle de vie	Hypothèses (clients et usages prévus, lois applicables, durée de vie prévue et « length and terms of support ») ; liste de tous les composants ; manière dont chaque critère est satisfait ou raison de son absence ; tous les composants matériels et logiciels, de toutes provenances ; pratiques de développement sécurisé et de chaîne d'approvisionnement ; politiques de gestion des vulnérabilités
Information and Query Reception	Reçoit l'information de cybersécurité et répond aux questions	Un point de contact pour les informations de maintenance et de vulnérabilité (signalement de bogues, bug bounty) ; capacité de recevoir des questions et d'y répondre
Information Dissemination	Diffuse et distribue l'information de cybersécurité	Au minimum : conditions de support mises à jour et disponibilité des mises à jour, fin du support, maintenance nécessaire, nouvelles vulnérabilités et mesures d'atténuation, découverte de violations
Product Education and Awareness	Informe et forme les clients et les autres acteurs	Comment modifier les paramètres, utiliser le contrôle d'accès, appliquer les mises à jour, gérer et supprimer les données ; maintenance, y compris après la période de support ; reprovisionnement ou mise au rebut sûrs ; durée et étendue du support pour éclairer l'achat

8425 précise que la documentation est contrôlée par le développeur et « not intended, in all cases, to be shared directly with consumers » (note 15). Elle s'adresse surtout aux évaluateurs, pas aux acheteurs.

Ce que 8425 ne dit pas

• Pas de cas d'essai numérotés. 8425 énonce des résultats ; les règles FCC confient les normes techniques et procédures d'essai aux recommandations du Lead Administrator (47 CFR 8.221(a)(4)).
• Pas de période de support minimale. Le support apparaît dans Documentation, Information Dissemination et Education ; l'obligation de publication vient des règles FCC.
• Pas de référence à l'ETSI. Le texte de 8425 ne cite pas ETSI EN 303 645. Les deux documents couvrent un terrain voisin, mais aucune table de correspondance officielle ne les relie.
• Pas de profils sectoriels numérotés 8425-1, 8425-2. Le seul document compagnon à ce jour est NIST IR 8425A (septembre 2024), un profil pour les routeurs grand public, catégorie que la FCC exclut de la définition d'équipement IoT.

Du profil NIST aux règles FCC : 47 CFR Part 8, sous-partie B

FCC 24-26 insère les sections 8.201 à 8.222 dans le 47 CFR Part 8. Au paragraphe 99, la Commission « adopt[s] NISTIR 8425 as the basis » du programme.

Section	Contenu
8.201	Incorpore par référence ISO/IEC 17011:2017, ISO/IEC 17025:2017 et ISO/IEC 17065:2012
8.203(b)	Produits IoT grand public : usage principalement grand public plutôt qu'entreprise ou industriel ; exclusion des dispositifs médicaux régulés par la FDA et des véhicules et équipements régulés par la NHTSA
8.203(i)	Équipement IoT : connecté à internet, capable d'émettre intentionnellement de l'énergie radioélectrique, au moins un transducteur et au moins une interface réseau (les équipements uniquement filaires sont donc exclus)
8.203(f)	FCC IoT Label : le Cyber Trust Mark plus un QR code lisible qui renvoie au registre
8.203(k)	Le programme est volontaire
8.204	Pas de label pour les produits issus de la Covered List, de l'Entity List du Department of Commerce, de la liste du DoD des entreprises militaires chinoises, ou d'entités suspendues ou exclues des marchés fédéraux
8.208	Demande auprès d'un CLA, avec déclarations sous peine de parjure, dont l'engagement de mise à jour jusqu'à la date de fin du support
8.209	Aucun usage de la marque n'est valable avant que le CLA ait accordé la demande
8.212	Recours : d'abord auprès du CLA (demande sous 60 jours), puis auprès de la Commission
8.215	Le titulaire conserve les dossiers de conception, de production et d'essai deux ans après la fin de commercialisation
8.217	CyberLABs : accréditation ISO/IEC 17025 par un organisme reconnu par le Bureau, réévaluation au moins tous les deux ans ; la liste publique est tenue par le Lead Administrator
8.220	CLA : essais de type selon ISO/IEC 17065 ; approbation sous condition dans l'attente d'une accréditation dans les six mois suivant l'adoption des normes ; un CLA ne peut ni fixer de politique, ni accorder de dérogation, ni prendre de mesure coercitive
8.221	Lead Administrator : dans les 90 jours suivant sa sélection, recommander normes et procédures d'essai, fréquence de renouvellement, surveillance du marché, évolutions du registre et conception du label ; dans les 45 jours suivant une modification des lignes directrices du NIST, recommander l'alignement
8.222	Registre : dynamique, décentralisé, accessible au public, API commune sécurisée dès la conception, onze éléments de données

Les acteurs

Acteur	Rôle dans les règles	Qui, en octobre 2026
FCC (Public Safety and Homeland Security Bureau)	Propriétaire du programme, reconnaît les CLA et les organismes d'accréditation, examine les recours contre les décisions des CLA, sanctions
Lead Administrator	Un CLA aux missions élargies : recommandations de normes, reconnaissance des laboratoires, liaison avec la FCC, information des consommateurs	ioXt Alliance (DA 26-354)
CLA	Accorde ou refuse l'autorisation d'utiliser le label, surveillance du marché	Approuvés sous condition seulement (DA 24-1241, DA 26-834)
Laboratoire (CyberLAB, laboratoire de CLA ou laboratoire interne)	Essais de conformité, accréditation ISO/IEC 17025 et reconnaissance par le Lead Administrator	Aucun reconnu à ce jour
Organismes d'accréditation	Accréditent les CLA selon ISO/IEC 17065 et les laboratoires selon ISO/IEC 17025	A2LA et ANAB (DA 26-1029)
Fabricant (titulaire)	Dépose la demande, déclare, publie les données du registre, conserve les dossiers

Les onze CLA approuvés sous condition le 11 décembre 2024 étaient CSA America Testing & Certification, SGS North America, CTIA Certification, Telecommunications Industry Association, DEKRA Certification, TÜV Rheinland of N.A., Intertek Testing Services NA, TÜV SÜD America, ioXt Alliance, UL LLC et Palindrome Technologies (DA 24-1241). CTIA Certification s'est retiré avec effet au 15 août 2025 (DA 26-75). La DA 26-834 a ajouté IIA Lab Services et Element Materials Technology Portland - Evergreen. Selon le 8.220(e)(1), la Commission approuve des CLA situés aux États-Unis.

Le processus en deux étapes

FCC 24-26 (paragraphe 81) adopte « a two-step process » : essais du produit par un laboratoire accrédité et reconnu par le Lead Administrator, puis certification du label par un CLA. Le laboratoire peut être un CyberLAB, un laboratoire exploité par un CLA, ou le laboratoire interne du fabricant s'il satisfait aux mêmes exigences (paragraphes 72 et 73). Ce qui est exclu, c'est l'autodéclaration : la Commission la juge « not appropriate at this time » (paragraphe 86).

Le label et le registre

Le FCC IoT Label associe le Cyber Trust Mark et un QR code (8.203(f)). Le registre vers lequel il pointe n'est pas une base unique de la FCC : selon le 8.222(a), chaque titulaire fournit ses données à « a dynamic, decentralized, publicly accessible registry » via une API commune. Le 8.222(b) liste ce qui doit être publié.

N°	Élément du registre (47 CFR 8.222(b))
1	Nom du produit
2	Nom du fabricant
3	Date de l'autorisation d'apposer le label et statut actuel
4	Nom et coordonnées du CLA qui a délivré l'autorisation
5	Nom du laboratoire qui a mené les essais de conformité
6	Procédure de changement du mot de passe par défaut, ou mention qu'il ne peut pas être changé
7	Informations ou lien pour configurer l'équipement de façon sécurisée
8	Mises à jour et correctifs automatiques ou non, et comment les obtenir s'ils ne le sont pas
9	Date de fin de la période de support minimale, ou mention que l'équipement n'est pas supporté
10	Existence d'un HBOM et/ou d'un SBOM tenu par le fabricant
11	Éléments supplémentaires jugés nécessaires par le Bureau

La conception du label n'est pas encore fixée. Le 8.221(a)(4)(v) demande au Lead Administrator de recommander la conception et le placement (taille, espaces, emballage) et l'opportunité de faire figurer la date de fin du support sur le label. FCC 24-26 précise aussi que la règle d'étiquetage électronique du 47 CFR 2.935 ne s'applique pas au FCC IoT Label : la marque ne peut pas être affichée seulement à l'écran, comme peut l'être un FCC ID. Le renouvellement de l'autorisation est obligatoire, mais sa fréquence par catégorie de produits relève là encore d'une recommandation du Lead Administrator (paragraphes 122 à 124).

La période de support

C'est sur la période de support que 8425 et les règles FCC diffèrent le plus. 8425 demande au développeur de documenter la « length and terms of support » et d'informer les clients sur la durée et l'étendue du support. La FCC en fait des engagements :

• Déclaration. Selon le 8.208(c)(7), le demandeur déclare sous peine de parjure que, jusqu'à la date de fin du support publiée dans le registre, il identifiera avec diligence les vulnérabilités critiques et publiera rapidement les mises à jour qui les corrigent, sauf si elles ne sont pas raisonnablement nécessaires. Le 8.208(f) impose la publication de la date de fin.
• Registre. Le 8.222(b)(9) publie cette date, ou à défaut « a statement that the device is unsupported ».
• Ni date d'expiration, ni minimum. FCC 24-26 conclut qu'« an expiration date is not warranted » sur le label, et la Part 8 ne fixe aucune durée minimale de support.

Le CRA est plus exigeant sur ce point : l'article 13(8) du règlement (UE) 2024/2847 fixe une période de support d'au moins cinq ans, sauf si la durée d'utilisation prévue du produit est plus courte.

Sanctions

FCC 24-26 s'appuie sur les recours administratifs du Communications Act et sur l'action civile, par exemple pour contrefaçon de marque ou rupture de contrat (paragraphe 131), la surveillance du marché par les CLA étant un mécanisme principal (paragraphe 127). Selon le 8.216, l'autorisation prend fin en cas de fausse déclaration, de non-conformité ou d'inscription sur une liste visée au 8.204. La Commission a refusé de primer sur le droit des États, mais estime que l'autorisation d'utiliser la marque est « an indicator of reasonableness » (paragraphe 132).

Comparaison avec les régimes européen et britannique

Dimension	US Cyber Trust Mark	Cyber Resilience Act (UE)	Régime PSTI (Royaume-Uni)
Statut	Volontaire (8.203(k))	Obligatoire	Obligatoire
Périmètre	Produits IoT grand public sans fil	Produits comportant des éléments numériques	Relevant connectable products
Base technique	NIST IR 8425, normes encore à adopter	Exigences essentielles de l'annexe I, normes harmonisées en préparation	Annexe 1 des Regulations 2023 : mots de passe, information sur le signalement des vulnérabilités, période minimale de mises à jour de sécurité
Période de support	Date de fin publiée, sans minimum	Au moins cinq ans sauf durée d'utilisation prévue plus courte (article 13(8))	Période minimale de mises à jour de sécurité publiée
Dates	Règles en vigueur depuis le 29 août 2024 ; aucun produit autorisé à ce jour	Obligations de signalement depuis le 11 septembre 2026 ; application complète le 11 décembre 2027	En vigueur depuis le 29 avril 2024
Sanction maximale	Fin de l'autorisation, recours du Communications Act, action civile	15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les exigences essentielles (article 64(2))	Le plus élevé de 10 millions de livres ou 4 % du chiffre d'affaires mondial pertinent (PSTI Act, section 38)

Dans l'UE, les équipements radio connectés à internet relèvent déjà de l'acte délégué RED article 3(3)(d)(e)(f), applicable depuis le 1er août 2025 avec les normes EN 18031-1/-2/-3 citées avec restrictions (décision (UE) 2025/138).

Reconnaissance internationale

FCC 24-26 cite d'autres labels nationaux présents au dossier : Singapour (Cybersecurity Labelling Scheme, qui s'appuie sur ETSI EN 303 645), la Finlande et l'Allemagne (paragraphe 134). Il note que le 30 janvier 2024 les États-Unis et l'UE ont conclu un Joint CyberSafe Products Action Plan visant une coopération technique en appui à la reconnaissance mutuelle. Il constate aussi que « no international agreements are yet in place » (paragraphe 61) et délègue le travail de reconnaissance au Bureau et à l'Office of International Affairs (paragraphe 136). Aucun accord de reconnaissance n'a été annoncé depuis. La conformité à EN 303 645 ou EN 18031 ne donne donc aucun droit au Cyber Trust Mark, et l'inverse est vrai aussi.

Distinction avec NIST SP 800-213

Critère	NIST IR 8425	NIST SP 800-213 / 800-213A
Publication	Septembre 2022	Novembre 2021
Public	Produits IoT grand public (usage domestique ou personnel)	Organisations qui intègrent des équipements IoT, surtout les agences fédérales
Origine	Executive Order 14028, sections 4(s) et 4(t)	IoT Cybersecurity Improvement Act de 2020, section 4
Portée juridique	Aucune par lui-même ; base du label volontaire de la FCC	Section 7 de la loi : une agence ne peut acquérir ni utiliser un équipement qui empêche la conformité, sauf dérogation
Unité	Produit IoT (équipement plus composants)	Équipement IoT comme élément d'un système
Contenu	10 capacités formulées comme résultats	Démarche (SP 800-213) et catalogue de 11 familles avec un profil fédéral (SP 800-213A)
Vérification	Laboratoire accrédité puis CLA, une fois le programme ouvert	L'organisation acheteuse

Pour le détail de 8259A, 8259B et SP 800-213, voir le guide NIST SP 800-213.

Affirmations que les textes contredisent

Affirmation courante (plusieurs figuraient dans les versions précédentes de cette page)	Ce que dit le texte
NISTIR 8425 impose une période de support déclarée comme capacité transversale	8425 compte dix capacités ; le support apparaît dans Documentation, Dissemination et Education. L'obligation de publication vient des 47 CFR 8.208 et 8.222
Le label devient caduc pour les nouveaux acheteurs à la fin du support	Aucune règle de ce type. Le registre affiche la date de fin du support ; FCC 24-26 a écarté une date d'expiration
La Cybersecurity State Awareness consiste à montrer à l'utilisateur sa posture de sécurité	Elle consiste à capturer de façon sûre des informations d'état pour détecter des incidents
Software Update exige des mises à jour signées pendant la période de support déclarée	8425 demande que les composants « receive, verify, and apply verified software updates » ; ni la signature ni la période de support ne sont nommées dans la capacité
Le CLA mandate un CyberLAB et publie la fiche du registre	Le fabricant fait tester le produit par un laboratoire reconnu (CyberLAB, laboratoire de CLA ou laboratoire interne), puis dépose sa demande auprès d'un CLA ; le titulaire publie les données du registre via une API commune
Les CyberLABs ont besoin d'une accréditation « ISO/IEC 17025 étendue » délivrée par A2LA ou NVLAP	ISO/IEC 17025 avec le périmètre FCC, par un organisme reconnu par le Bureau ; les organismes reconnus le 28 septembre 2026 sont A2LA et ANAB
UL Solutions, TÜV et Intertek se sont portés candidats et sont accrédités	Onze CLA ont été approuvés sous condition le 11 décembre 2024 ; aucun n'est autorisé à accorder le label (DA 26-834). UL Solutions s'est retiré comme Lead Administrator avec effet au 19 décembre 2025 ; ioXt Alliance a été choisi le 13 avril 2026
Le graphisme du label a un cahier des charges précis (hauteur, contraste, placement)	Conception et placement restent à recommander par le Lead Administrator (8.221(a)(4)(v))
Le NIST prépare des profils sectoriels numérotés 8425-1, 8425-2	Le seul document compagnon est NIST IR 8425A (septembre 2024), pour les routeurs grand public
NISTIR 8425 s'aligne sur EN 303 645 et le cite	8425 ne cite pas l'ETSI ; FCC 24-26 ne mentionne EN 303 645 qu'à travers des commentateurs et le dispositif singapourien
Des discussions de reconnaissance mutuelle FCC-UE sont en cours	FCC 24-26 constate qu'aucun accord international n'est en place ; le Joint CyberSafe Products Action Plan de janvier 2024 est un plan de coopération
Le périmètre couvre tous les produits grand public connectés, filaires ou sans fil	Les produits uniquement filaires sont exclus, comme les dispositifs médicaux FDA, les véhicules NHTSA, les ordinateurs généralistes, les smartphones et les routeurs
L'Executive Order 14028 répondait à SolarWinds, Kaseya et Colonial Pipeline	L'attaque Kaseya date de juillet 2021, après l'ordre du 12 mai 2021

Pour un fabricant : démarche pratique

1. Délimiter le produit. Lister l'équipement, l'application compagnon, l'éventuel hub et chaque serveur dorsal : selon les 8.203(j) et (m), tous font partie du produit. Vérifier tôt l'éligibilité au regard du 8.204 : un composant issu d'une entité listée ferme l'accès au label, quel que soit le niveau de sécurité.

2. Concevoir contre les dix capacités. Utiliser les sous-critères de 8425 comme liste d'exigences : inventaire des composants, configuration par défaut sécurisée restaurable, suppression des données, réduction des interfaces, mises à jour vérifiées sur chaque composant, journalisation d'état utile à la détection d'incidents.

3. Constituer les données du registre pendant le développement. Les onze éléments du 8.222(b) sont des faits produit (procédure de changement du mot de passe par défaut, mode de mise à jour, date de fin du support, existence d'un SBOM ou HBOM) qu'il coûte moins cher de définir tôt.

4. Ne pas inscrire le label dans les jalons de lancement. Aucune date d'ouverture des demandes n'a été annoncée. Lorsqu'un CLA obtiendra l'approbation complète, la FCC publiera un avis public (DA 26-834).

5. Réutiliser le travail pour l'Europe. Une grande partie des preuves (inventaire des composants, mécanisme de mise à jour, traitement des vulnérabilités) sert aussi pour EN 303 645, EN 18031 et le CRA, mais elle doit être mise en correspondance explicitement avec chaque texte.

Voir aussi

• Cybersécurité produit : obligation, évaluation, label
• Certifier une serrure connectée : la pile complète
• NIST SP 800-213 et 8259A: socle cybersécurité IoT américain
• Common Criteria (ISO/IEC 15408) : sécurité IT
• FIPS 140-3 : validation des modules cryptographiques
• CSPN et ANSSI Visa : cybersécurité française
• Double certification UE et États-Unis

Un cas concret de la préparation d'un dossier US Cyber Trust Mark ou la cartographie NISTIR 8425 d'un produit IoT ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Pièges fréquents

Traiter le label comme une condition d'accès au marché. Il est volontaire. Vendre un produit sans fil aux États-Unis exige toujours l'autorisation d'équipement FCC au titre de la Part 15 (et de la Part 18 le cas échéant) ; le Cyber Trust Mark est un programme distinct relevant de la Part 8, et l'un n'implique pas l'autre.

N'évaluer que le micrologiciel. Le profil et les règles s'appliquent au produit IoT. Une API cloud ou une application mobile laissée hors de l'analyse est un écart, pas un élément hors périmètre.

Promettre une date de fin de support que le budget ne peut pas tenir. La déclaration du 8.208 est faite sous peine de parjure, et une fausse déclaration met fin à l'autorisation (8.216). Une période courte et tenue vaut mieux qu'une période longue non honorée.

Présenter le programme comme opérationnel. Les autorisations produit exigent des CLA pleinement approuvés et des normes adoptées ; ni les uns ni les autres n'existent au 7 octobre 2026.

Points à surveiller

• Normes et procédures d'essai. Le Bureau doit soumettre les recommandations du Lead Administrator à consultation publique (DA 26-354), puis les incorporer par référence dans la Part 8 (8.221(a)(4)(i)).
• Approbation complète des CLA. A2LA et ANAB étant reconnus, le délai d'accréditation de six mois du 8.220(c)(6) court dès l'adoption des normes.
• Mises à jour du NIST. Selon le 8.221(a)(5), le Lead Administrator dispose de 45 jours après une modification des lignes directrices du NIST pour recommander les ajustements ; IR 8259 Rev. 1 (avril 2026) est une telle modification en amont de 8425.

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Pour aller plus loin

• Point de situation sur le US Cyber Trust Mark : la DA 26-834 et le déploiement en détail
• ETSI EN 303 645 : le socle européen de l'IoT grand public
• NIST SP 800-213 : le socle fédéral et la série 8259
• Cyber Resilience Act : régime européen obligatoire, application complète le 11 décembre 2027
• Certification FCC : autorisation d'équipement, distincte du Cyber Trust Mark
• Glossaire : définitions des termes FCC, NIST, CLA et CyberLAB

Sources & références

1. NIST IR 8425, Profile of the IoT Core Baseline for Consumer IoT Products (septembre 2022), NIST csrc.nist.gov/pubs/ir/8425/final
2. NIST IR 8425 (PDF), NIST nvlpubs.nist.gov/nistpubs/ir/2022/NIST.IR.8425.pdf
3. NIST IR 8425A, Recommended Cybersecurity Requirements for Consumer-Grade Router Products (septembre 2024), NIST csrc.nist.gov/pubs/ir/8425/a/final
4. Programme Cybersecurity for IoT du NIST, NIST www.nist.gov/itl/applied-cybersecurity/nist-cybersecurity-iot-program
5. NIST SP 800-213, IoT Device Cybersecurity Guidance for the Federal Government, NIST csrc.nist.gov/pubs/sp/800/213/final
6. FCC 24-26, Cybersecurity Labeling for Internet of Things, Report and Order et FNPRM (adopté le 14 mars 2024), Federal Communications Commission docs.fcc.gov/public/attachments/FCC-24-26A1.pdf
7. Cybersecurity Labeling for Internet of Things, règle finale (89 FR 61242, 30 juillet 2024), Federal Register www.federalregister.gov/documents/2024/07/30/2024-14148/cybersecurity-labeling-for-internet-of-things
8. 47 CFR Part 8, Subpart B, Cybersecurity Labeling Program for IoT Products, eCFR www.ecfr.gov/current/title-47/chapter-I/subchapter-A/part-8/subpart-B
9. DA 24-1241 (11 décembre 2024), CLA approuvés sous condition, Federal Communications Commission docs.fcc.gov/public/attachments/DA-24-1241A1.txt
10. DA 25-388 (6 mai 2025), prolongation du délai des recommandations du Lead Administrator, Federal Communications Commission docs.fcc.gov/public/attachments/DA-25-388A1.pdf
11. DA 26-18 (6 janvier 2026), fenêtre de candidature Lead Administrator après le retrait d'UL Solutions, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-18A1.pdf
12. DA 26-75 (26 janvier 2026), fenêtre de candidature CLA, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-75A1.txt
13. DA 26-354 (13 avril 2026), ioXt Alliance choisi comme Lead Administrator, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-354A1.txt
14. La FCC choisit un nouveau Lead Administrator pour le U.S. Cyber Trust Mark (13 avril 2026), Federal Communications Commission docs.fcc.gov/public/attachments/DOC-420764A1.pdf
15. DA 26-834 (11 août 2026), deux CLA supplémentaires et nouvelle fenêtre de candidature, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-834A1.txt
16. DA 26-1029 (28 septembre 2026), organismes d'accréditation reconnus pour le Cyber Trust Mark, Federal Communications Commission docs.fcc.gov/public/attachments/DA-26-1029A1.txt
17. Executive Order 14028, Improving the Nation's Cybersecurity, White House bidenwhitehouse.archives.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
18. IoT Cybersecurity Improvement Act of 2020 (Public Law 116-207), US Congress www.congress.gov/bill/116th-congress/house-bill/1668
19. Règlement (UE) 2024/2847, Cyber Resilience Act, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
20. Product Security and Telecommunications Infrastructure Act 2022, Part 1, legislation.gov.uk www.legislation.gov.uk/ukpga/2022/46/part/1
21. PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, legislation.gov.uk www.legislation.gov.uk/uksi/2023/1007