Caméras intelligentes : produits importants au sens du CRA ?

Là où un grille-pain connecté peut emprunter le chemin de conformité CRA standard, les caméras de sécurité intelligentes ne bénéficient pas de cette simplicité. L'Union européenne les a explicitement placées à l'Annexe III en tant que Produits Importants, Classe I, un cran au-dessus de la plupart des objets connectés grand public, avec des exigences de conformité plus strictes pour quiconque fabrique, importe ou distribue ces équipements.

Une idée reçue circule encore : les caméras seraient des « Produits Critiques ». Ce n'est pas le cas. Mais la Classe I Importante représente déjà une élévation significative du niveau d'exigence.

Ce que dit réellement le CRA sur les caméras

Les catégories de produits du CRA prêtent souvent à confusion. Le règlement établit trois niveaux :

Le texte juridique exact

Annexe III, Classe I, Point 17 du Règlement (UE) 2024/2847 :

« Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment les serrures de porte intelligentes, les caméras de sécurité, les systèmes de surveillance de bébés et les systèmes d'alarme »

Le Règlement d'exécution (UE) 2025/2392 de la Commission précise davantage le périmètre technique, en employant le terme « systèmes de caméras », légèrement plus large que les « caméras de sécurité » du règlement parent.

Un qualificatif important : le produit doit comporter des « fonctionnalités de sécurité » dans un contexte domestique connecté. Une webcam classique destinée aux visioconférences ne tombe pas automatiquement dans la Classe I. En revanche, une caméra de surveillance connectée qui surveille votre domicile ou votre commerce, oui.

Pourquoi l'UE a ciblé les caméras

Ce n'est pas un choix arbitraire. Les caméras IP ont acquis une réputation de maillon faible dans la sécurité des réseaux, et les données le confirment :

• Le botnet Mirai (à partir de 2016) a constitué des armées de plus de 150 000 caméras et enregistreurs vidéo compromis pour lancer des attaques DDoS massives (ENISA Threat Landscape 2020 : Rapport sur les botnets)
• Les attaques DDoS représentaient 77 % de l'ensemble des incidents cyber signalés en 2024-2025, souvent alimentées par des objets connectés détournés (ENISA Threat Landscape 2025)
• Des variantes de Mirai sont toujours actives et ont été identifiées en train d'exploiter des caméras GeoVision encore en avril 2025
• Environ 7,7 millions de nouveaux objets connectés se connectent chaque jour à Internet, seulement 1 sur 20 se trouve derrière un pare-feu

Le schéma est clair : les caméras fonctionnent en permanence, restent constamment connectées, sont souvent mal sécurisées et traitent des données sensibles (vos flux vidéo). C'est précisément le profil de risque que le CRA entend traiter.

Ce que la Classe I implique pour l'évaluation de la conformité

En vertu de l'Article 32, paragraphe 2, les fabricants de Classe I disposent de deux voies, et celle qui vous est accessible dépend d'un élément encore en évolution.

Voie 1 : auto-évaluation (Module A)

L'auto-évaluation interne est possible, mais uniquement si vous appliquez des normes harmonisées couvrant toutes les exigences essentielles de cybersécurité. Une couverture partielle ne suffit pas : manquez une exigence et vous basculez sur la Voie 2.

Le problème : à la date de février 2026, les normes harmonisées au titre du CRA sont encore en cours de finalisation par CEN/CENELEC. Tant qu'elles ne sont pas publiées au Journal officiel, la plupart des fabricants ne pourront pas emprunter cette voie.

Voie 2 : évaluation par un tiers

Sans couverture intégrale des normes harmonisées, vous avez besoin de l'une des options suivantes :

• Module B + C : examen UE de type par un organisme notifié, puis conformité au type
• Module H : système d'assurance qualité complet certifié par un organisme notifié

Ces deux options sont plus coûteuses et plus longues que l'auto-évaluation. La capacité des organismes notifiés se réduira à mesure que l'on s'approchera de décembre 2027, les demandes convergeront toutes au même moment.

Exigences essentielles pour les caméras intelligentes

Chaque caméra connectée doit satisfaire aux exigences essentielles de cybersécurité du CRA (Annexe I), quelle que soit la voie de conformité retenue. Celles qui pèsent le plus lourd pour les fabricants de caméras :

1. Interdiction des mots de passe par défaut

L'Article 13 et l'Annexe I, Partie I exigent une configuration « sécurisée par défaut ». En pratique :

• Plus d'admin/admin ou d'admin/password livrés sur chaque unité
• Chaque appareil doit disposer d'un mot de passe unique, ou forcer la création d'identifiants sécurisés dès la première utilisation
• Authentification multifacteur là où cela est techniquement faisable

Cette seule exigence contraindra de nombreuses gammes de caméras à une refonte en profondeur.

2. Gestion des vulnérabilités (5 ans minimum)

L'Annexe I, Partie II oblige les fabricants à :

• Mettre en place une politique de divulgation coordonnée des vulnérabilités (CVD)
• Offrir aux chercheurs en sécurité un canal clair pour signaler des problèmes
• Corriger les vulnérabilités sans délai pendant toute la durée du support
• Assurer le support du produit pendant au moins 5 ans à compter de sa mise sur le marché
• Signaler les vulnérabilités activement exploitées dans un délai de 24 h suivant la prise de connaissance, simultanément au CSIRT désigné comme coordinateur et à l'ENISA via la plateforme unique de signalement (cette obligation entre en vigueur le 11 septembre 2026)

Cinq ans de correctifs obligatoires représentent un changement majeur pour les fabricants de caméras habitués au modèle « livrer et oublier ».

3. Software Bill of Materials (SBOM)

Chaque composant logiciel intégré dans le firmware de votre caméra doit être documenté : le noyau Linux, les bibliothèques de streaming RTSP, le framework de l'interface web, la pile TLS, l'intégralité. Le SBOM doit :

• Utiliser un format lisible par machine (CycloneDX ou SPDX)
• Couvrir au minimum les dépendances de niveau supérieur
• Faire partie de la documentation technique
• Être maintenu à jour tout au long de la période de support

4. Mécanisme de mise à jour sécurisé

Les caméras doivent disposer de mises à jour de firmware sécurisées et authentifiées :

• Délivrées via des canaux chiffrés
• Intégrité du firmware vérifiée avant installation
• Mises à jour de sécurité automatiques activées par défaut (avec possibilité de désactivation par l'utilisateur)
• Capacité de retour en arrière (rollback) recommandée

5. Minimisation des données et vie privée

Les caméras collectant des données vidéo doivent :

• Ne traiter que les données nécessaires à la fonction du produit
• Chiffrer les données stockées et transmises
• Permettre aux utilisateurs de supprimer leurs données de manière sécurisée
• Protéger les données au repos contre les accès physiques

Le rôle des importateurs et des distributeurs

Importateurs : vous êtes le gardien du marché européen

Si vous importez des caméras depuis l'extérieur de l'UE (et soyons honnêtes, la plupart des caméras intelligentes sont fabriquées en Asie), l'Article 19 vous engage personnellement. Vous êtes personnellement responsable de vérifier que le fabricant a rempli ses obligations de conformité avant que le produit entre sur le marché européen.

Votre checklist de vérification avant de placer une caméra sur le marché UE :

• [ ] Le fabricant a effectué l'évaluation de la conformité appropriée (Classe I)
• [ ] La déclaration UE de conformité (DoC) existe et fait référence au CRA
• [ ] Le marquage CE est correctement apposé
• [ ] La documentation technique est disponible et satisfaisante
• [ ] Les coordonnées du fabricant figurent sur le produit ou l'emballage
• [ ] Le SBOM est disponible dans la documentation technique

Si l'un des points n'est pas satisfait, vous ne pouvez pas légalement commercialiser le produit. Point final. Vous devez informer le fabricant et, en cas de risque cybersécurité, notifier les autorités de surveillance du marché.

Sanctions applicables aux importateurs : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (Article 64).

Distributeurs : obligations allégées, conséquences bien réelles

Les distributeurs ont moins de vérifications à effectuer en vertu de l'Article 20, mais les obligations restent contraignantes :

• Le marquage CE est présent sur le produit
• Le nom et les coordonnées du fabricant et de l'importateur sont visibles
• Les conditions de stockage et de transport ne compromettent pas la conformité
• Ne pas commercialiser des produits dont vous avez des raisons de croire qu'ils ne sont pas conformes

Sanctions applicables aux distributeurs : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (Article 64, paragraphe 3, les obligations des distributeurs relevant de l'Article 20 entrent dans la plage des Articles 18 à 23).

Le piège du rebranding

Attention : si vous importez une caméra et la commercialisez sous votre propre marque, ou si vous apportez des modifications substantielles au firmware ou aux éléments numériques, le CRA vous considère comme le fabricant. Cela implique l'ensemble des obligations du fabricant : évaluation de la conformité, SBOM, gestion des vulnérabilités sur 5 ans, la totalité.

Calendrier de conformité

CALENDRIER CRA POUR LES CAMÉRAS INTELLIGENTES

11 sep. 2026 ─── Entrée en vigueur des obligations de signalement des vulnérabilités
                 (signalement sous 24 h au CSIRT coordinateur et à l'ENISA via la plateforme unique de signalement)

11 déc. 2027 ─── Conformité CRA complète requise
                 (toutes les exigences essentielles, évaluation de la conformité,
                  marquage CE, SBOM, documentation technique)

Si vous fabriquez ou importez des caméras intelligentes et que vous n'avez pas encore engagé votre démarche de conformité, vous accusez déjà du retard. Les normes harmonisées sont encore en cours d'élaboration, les créneaux auprès des organismes notifiés se remplissent, et décembre 2027 est plus proche qu'il n'y paraît.

Sources officielles

• Règlement (UE) 2024/2847, règlement sur la cyberrésilience (texte intégral)
• Règlement d'exécution (UE) 2025/2392 : descriptions techniques des catégories Annexes III/IV
• Évaluation de la conformité CRA : Stratégie numérique de l'UE
• ENISA Threat Landscape 2020 : Rapport sur les botnets
• ENISA Threat Landscape 2025