Pourquoi existe-t-il autant de certifications de cybersécurité ?

Parce que trois choses de nature différente portent le même nom. Certaines sont des obligations légales qui décident si un produit peut être vendu, comme le Cyber Resilience Act dans l'Union européenne ou l'article 3(3) de la directive RED. D'autres sont des méthodologies d'évaluation, qui notent la profondeur de l'examen de sécurité et par qui il a ete conduit : Critères communs, SESIP, PSA Certified. D'autres enfin sont des socles et des labels volontaires, une liste d'exigences dont un produit peut déclarer la conformité, comme l'ETSI EN 303 645 ou le Cyber Trust Mark américain. Elles répondent a des questions différentes : un produit en cumule donc souvent de plusieurs groupes, et en détenir une ne dit rien des autres.

Réussir une évaluation satisfait-il une obligation légale ?

Pas en soi, et le supposer est l'erreur la plus coûteuse du domaine. Un certificat d'évaluation est une preuve portant sur les propriétés de sécurité d'un produit, produite par un laboratoire selon une méthodologie. Une obligation légale est un devoir envers un régulateur, satisfait par la voie d'évaluation de la conformité que la loi elle-même désigne. Les preuves issues d'une évaluation peuvent nourrir cette voie, parfois largement, mais l'obligation n'est remplie que lorsque la procédure prévue par la loi a ete suivie. La réciproque vaut aussi : un produit qui porte légalement un marquage n'a pas pour autant ete évalué a un quelconque niveau d'assurance.

Que signifient réellement les niveaux d'assurance ?

Avec quelle intensité et quel accès quelqu'un a tente de casser le produit. Les Critères communs emploient des Evaluation Assurance Levels, et l'accord SOG-IS en Europe reconnaissait des certificats jusqu'à l'EAL 7 pour les domaines techniques qu'il couvrait. SESIP et PSA Certified emploient leurs propres échelles, plus courtes, visant le silicium et les plateformes IoT, et elles se correspondent : le niveau PSA 2 équivaut en pratique au niveau SESIP 3, un test de pénétration en boîte noire, et le niveau PSA 3 aux niveaux SESIP 4 ou 5 selon le périmètre. Un niveau qualifie la profondeur de l'évaluation, non le degré de sécurité du produit.

Dans quel ordre traiter tout cela ?

Les obligations légales d'abord, car elles conditionnent l'accès au marché et leurs échéances sont fixées par des textes qui ne s'ajusteront pas a votre calendrier. Ensuite ce qu'exige contractuellement un client ou un écosystème, ce qui pour le silicium et les plateformes signifie généralement une méthodologie d'évaluation, et pour les produits grand public un socle ou un label. Les évaluations sont le chemin critique : elles supposent une conception stable, une réservation de laboratoire et une cible d'évaluation définie, si bien qu'en lancer une sur un produit mouvant gaspille les frais. Les labels et socles auto-déclarés sont les moins coûteux et viennent en dernier.

Cybersécurité produit : obligation, évaluation, label

Auteur Hugues Orgitello Mis à jour le 31 août 2026 ~4 min de lecture

Guide, comprendre la cybersécurité produit

Trois choses de nature différente portent le nom de certification cybersécurité, et un produit en cumule généralement de plusieurs groupes. Les confondre coûte cher d'une façon précise : on achète une évaluation en croyant s'acquitter d'une obligation légale, ou l'on suppose qu'un marquage légal implique une évaluation de sécurité. Ni l'un ni l'autre ne suit. Cette page sépare les trois et dit de quoi chacune est réellement la preuve.

Trois groupes, trois questions

Les obligations légales décident si le produit peut être vendu. Le Cyber Resilience Act est le texte large dans l'Union européenne, et l'article 3(3) de la 2014/53/UE couvre les équipements radio. Y échouer n'est pas un revers commercial : le produit ne peut pas légalement être mis sur le marché.

Les méthodologies d'évaluation notent la profondeur de l'examen et son auteur. Les Critères communs, SESIP et PSA Certified en relèvent, tout comme FIPS 140-3 pour les modules cryptographiques et la CSPN en France. Le produit de sortie est un certificat décrivant ce qui a ete teste et a quelle profondeur.

Les socles et labels sont des listes d'exigences auxquelles un produit peut se conformer, en général volontairement. L'EN 303 645 pour l'IoT grand public, le NISTIR 8425 et le Cyber Trust Mark américain bâti dessus, ou le Cyber Essentials britannique. Ils fixent un plancher et restent lisibles par des non-spécialistes, ce qui est leur raison d'être.

	Répond a	Délivré par	Échouer signifie
Obligation	Peut-on le vendre ?	La loi, par une voie de conformité	Mise sur le marché impossible
Évaluation	Quelle profondeur d'examen ?	Un laboratoire accrédité	Pas de certificat, contrat perdu
Socle ou label	Atteint-il ce plancher ?	Souvent auto-déclaré	Pas de logo, pas de référencement

L'erreur qui coûte cher

Un certificat d'évaluation ne libère pas d'une obligation légale. C'est une preuve portant sur les propriétés de sécurité du produit. Une obligation légale est un devoir envers un régulateur, satisfait par la voie d'évaluation de la conformité que la loi désigne. Les preuves d'une évaluation peuvent nourrir cette voie, parfois largement, mais le devoir n'est rempli que lorsque la procédure prévue par la loi a ete suivie.

La réciproque est tout aussi fausse. Un produit portant légalement un marquage n'a pas pour autant ete évalué a un niveau d'assurance quelconque. Le marquage atteste qu'une procédure a ete suivie. Il ne dit rien de l'intensité avec laquelle quelqu'un a tente de casser l'appareil.

L'illustration la plus nette est l'EN 303 645. C'est une norme ETSI volontaire, et elle n'est pas listée comme norme harmonisée au titre de l'article 3(3) de la RED. S'y conformer est utile, largement demande commercialement, et constitue une base raisonnable d'argumentation de sécurité. Cela ne confère pas en soi la présomption de conformité qu'apporte une norme harmonisée. Une équipe qui la prend pour la voie de conformité RED a acquis un bon socle, non le résultat juridique visé.

Ce que signifie un niveau d'assurance

Un niveau décrit avec quelle intensité et quel accès quelqu'un a tente de casser le produit. Ce n'est pas une note de sécurité.

Les Critères communs emploient des Evaluation Assurance Levels ; l'accord SOG-IS en Europe reconnaissait des certificats jusqu'à l'EAL 7 pour les domaines techniques couverts. SESIP et PSA Certified emploient des échelles plus courtes visant le silicium et les plateformes IoT, et elles se correspondent : le niveau PSA 2 équivaut en pratique au niveau SESIP 3, test de pénétration en boîte noire, et le niveau PSA 3 aux niveaux SESIP 4 ou 5 selon le périmètre.

Deux conséquences. Un niveau élevé sur une cible d'évaluation étroite peut valoir moins qu'un niveau modeste sur le produit entier, car le niveau ne dit rien du périmètre. Et les niveaux ne se comparent pas d'une famille a l'autre sans une correspondance comme celle ci-dessus : un EAL et un niveau PSA ne sont pas la même monnaie.

Ou mordent les obligations

Le Cyber Resilience Act est celui que rencontrent d'abord la plupart des fabricants, et ses obligations ne démarrent pas toutes ensemble. Les devoirs de signalement des vulnérabilités activement exploitées et des incidents graves s'appliquent à partir du 11 septembre 2026, avant le corps principal du règlement. Le guide CRA en expose la séquence complète.

Pour les produits radio, l'article 3(3) de la RED est l'autre porte, et il s'articule avec le CRA plutôt qu'il ne le duplique. Pour les systèmes de contrôle industriel, l'IEC 62443 est le cadre de référence, et pour toute vente a la chaîne d'approvisionnement de défense américaine, le CMMC s'ajoute.

Un ordre raisonnable

Les obligations légales d'abord. Elles conditionnent l'accès au marché et leurs échéances ne s'ajusteront pas a votre calendrier.
Puis les exigences contractuelles. Pour le silicium et les plateformes, généralement une méthodologie d'évaluation ; pour le grand public, un socle ou un label.
Les évaluations sont le chemin critique. Elles supposent une conception stable, une réservation de laboratoire et une cible définie. En lancer une sur un produit mouvant gaspille les frais.
Labels et socles auto-déclarés en dernier. Les moins coûteux, les plus rapides, et ils dépendent du reste.

À retenir

Trois choses différentes portent le même nom : obligations légales, méthodologies d'évaluation, socles et labels volontaires.
Une évaluation ne libère pas d'un devoir légal, et un marquage légal n'implique aucune évaluation.
L'EN 303 645 est volontaire et non harmonisée au titre de l'article 3(3), exemple de référence des conséquences de la confusion.
Un niveau d'assurance décrit la profondeur d'évaluation, non la sécurité, et ne se compare pas d'une famille a l'autre sans correspondance.
Obligations d'abord, évaluations tôt car lentes, labels en dernier.

Voir aussi

Sources & références

Règlement (UE) 2024/2847, Cyber Resilience Act , EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
Directive 2014/53/UE relative aux équipements radioélectriques (RED) , EUR-Lex eur-lex.europa.eu/eli/dir/2014/53/oj
NIST IR 8425, profil du socle IoT pour les produits grand public , NIST csrc.nist.gov/pubs/ir/8425/final
NIST SP 800-213, orientations de cybersécurité IoT pour le gouvernement fédéral , NIST csrc.nist.gov/pubs/sp/800/213/final

Questions fréquentes

Pourquoi existe-t-il autant de certifications de cybersécurité ?: Parce que trois choses de nature différente portent le même nom. Certaines sont des obligations légales qui décident si un produit peut être vendu, comme le Cyber Resilience Act dans l'Union européenne ou l'article 3(3) de la directive RED. D'autres sont des méthodologies d'évaluation, qui notent la profondeur de l'examen de sécurité et par qui il a ete conduit : Critères communs, SESIP, PSA Certified. D'autres enfin sont des socles et des labels volontaires, une liste d'exigences dont un produit peut déclarer la conformité, comme l'ETSI EN 303 645 ou le Cyber Trust Mark américain. Elles répondent a des questions différentes : un produit en cumule donc souvent de plusieurs groupes, et en détenir une ne dit rien des autres.
Réussir une évaluation satisfait-il une obligation légale ?: Pas en soi, et le supposer est l'erreur la plus coûteuse du domaine. Un certificat d'évaluation est une preuve portant sur les propriétés de sécurité d'un produit, produite par un laboratoire selon une méthodologie. Une obligation légale est un devoir envers un régulateur, satisfait par la voie d'évaluation de la conformité que la loi elle-même désigne. Les preuves issues d'une évaluation peuvent nourrir cette voie, parfois largement, mais l'obligation n'est remplie que lorsque la procédure prévue par la loi a ete suivie. La réciproque vaut aussi : un produit qui porte légalement un marquage n'a pas pour autant ete évalué a un quelconque niveau d'assurance.
Que signifient réellement les niveaux d'assurance ?: Avec quelle intensité et quel accès quelqu'un a tente de casser le produit. Les Critères communs emploient des Evaluation Assurance Levels, et l'accord SOG-IS en Europe reconnaissait des certificats jusqu'à l'EAL 7 pour les domaines techniques qu'il couvrait. SESIP et PSA Certified emploient leurs propres échelles, plus courtes, visant le silicium et les plateformes IoT, et elles se correspondent : le niveau PSA 2 équivaut en pratique au niveau SESIP 3, un test de pénétration en boîte noire, et le niveau PSA 3 aux niveaux SESIP 4 ou 5 selon le périmètre. Un niveau qualifie la profondeur de l'évaluation, non le degré de sécurité du produit.
L'EN 303 645 est-elle ce qu'exige la directive RED ?: Non, et c'est l'exemple le plus net de la raison pour laquelle il ne faut pas confondre les trois groupes. L'EN 303 645 est une norme volontaire publiée par l'ETSI, et elle n'est pas listée comme norme harmonisée au titre de l'article 3(3) de la RED. S'y conformer est utile, largement demande commercialement et constitue une base raisonnable pour une argumentation de sécurité, mais cela ne confère pas en soi la présomption de conformité qu'apporte une norme harmonisée. Un fabricant qui la prend pour la voie de conformité a acquis un bon socle, non le résultat juridique qu'il visait.
Dans quel ordre traiter tout cela ?: Les obligations légales d'abord, car elles conditionnent l'accès au marché et leurs échéances sont fixées par des textes qui ne s'ajusteront pas a votre calendrier. Ensuite ce qu'exige contractuellement un client ou un écosystème, ce qui pour le silicium et les plateformes signifie généralement une méthodologie d'évaluation, et pour les produits grand public un socle ou un label. Les évaluations sont le chemin critique : elles supposent une conception stable, une réservation de laboratoire et une cible d'évaluation définie, si bien qu'en lancer une sur un produit mouvant gaspille les frais. Les labels et socles auto-déclarés sont les moins coûteux et viennent en dernier.