Nuki adhère aux règles de l'UE en matière de cybersécurité et demande une application stricte de celles-ci

La « sécurité dès la conception » et les obligations de notification prévues par la CRA au cœur des préoccupations

Nouvelles règles européennes en matière de cyber-résilience

Le 11 septembre 2026, les premières obligations de notification prévues par le Cyber Resilience Act (CRA) entreront en vigueur dans l'UE. La cybersécurité deviendra ainsi une obligation légale pour les produits comportant des éléments numériques, et non plus une simple initiative volontaire. Nuki, connu pour ses solutions d’accès intelligentes, se dit prêt et plaide parallèlement en faveur d’une application stricte et cohérente de la réglementation dans l’ensemble du secteur.

La CRA s’applique à un large éventail de produits comportant des composants numériques, allant des logiciels et des infrastructures informatiques aux appareils connectés. Des exceptions s’appliquent à certaines catégories spécifiques, telles que les dispositifs médicaux, les applications de l’aviation civile et certains véhicules. La conformité totale sera obligatoire pour tous les produits connectés nouvellement mis sur le marché de l’UE à compter du 11 décembre 2027.

Nuki mise sur la « Security-by-Design »

Nuki souligne que, depuis sa création, l’entreprise mise sur la « Security-by-Design » : le chiffrement de bout en bout, les analyses continues des menaces et les mises à jour de sécurité automatiques à distance constituent la norme. Du côté matériel également, des éléments de sécurité physiques, une protection de la mémoire et des mesures anti-falsification sont mis en œuvre.

« Pour nous, la sécurité informatique n’est pas un élément que l’on ajoute a posteriori à un produit dès l’entrée en vigueur d’une nouvelle réglementation. Elle fait partie de l’ADN de nos produits dès le départ. Nous considérons donc la loi sur la cyber-résilience (CRA) comme la suite logique de la voie que nous suivons depuis des années », déclare Jürgen Pansy, cofondateur et directeur de l’innovation. « Personne ne peut se conformer du jour au lendemain à toutes les exigences de la CRA. Grâce au travail préparatoire que nous avons effectué, nous n’avons pas à bouleverser nos méthodes de travail à la hâte. »

Obligations de signalement dans les 24 et 72 heures

Les nouvelles obligations de notification exigent une réponse rapide et structurée : en cas de vulnérabilités activement exploitées ou d’incidents de sécurité graves, un premier avertissement officiel est requis dans les 24 heures, suivi d’un rapport plus détaillé dans les 72 heures, comprenant les informations disponibles et une première évaluation de l’impact.

« Les entreprises doivent être en mesure de déterminer de manière fiable, dans un délai très court, quels produits et versions sont concernés, quelle est la gravité d’un incident et quelles mesures s’imposent. Cela n’est possible que si les analyses de risques, le développement sécurisé des produits, les tests techniques et la gestion des vulnérabilités s’articulent correctement entre eux », souligne Luise Werner, experte en cybersécurité chez secuvera.

Les tests indépendants restent essentiels

Selon AV-TEST, un produit peut sembler sûr sur le papier, mais s’avérer vulnérable dans la pratique. « Les tests de sécurité indépendants offrent un point de vue supplémentaire essentiel », explique Eric Clausing, responsable IoT chez AV-TEST. De nombreuses vulnérabilités apparaissent lors de la mise en œuvre, et non au stade de la conception. C’est pourquoi les tests techniques portant sur les communications, les applications et le matériel sont indispensables pour garantir que la sécurité tient la route dans la pratique. Le cadre contraignant du CRA peut en outre rendre la sécurité mesurable et transparente tant pour les fabricants que pour les utilisateurs finaux.

Combler le fossé avec la confiance des consommateurs

Malgré des niveaux de sécurité technique élevés chez les fabricants de serrures intelligentes bien établis, un fossé subsiste entre la sécurité réelle et la perception qu’en ont les consommateurs. D’après une enquête menée par Nuki auprès de ses clients (2025), 44 % des personnes interrogées citent les préoccupations en matière de sécurité comme un obstacle majeur à l’achat d’une serrure électronique. Un livre blanc de Parks Associates (2025) dresse un tableau similaire pour les appareils de la maison connectée en général.

Martin Pansy, PDG : « Des réglementations telles que la CRA, des normes fiables comme Matter et les labels de qualité délivrés par des organismes de test indépendants contribuent à dissiper les inquiétudes injustifiées et à renforcer la confiance. »

Coûts, concurrence et surveillance du marché

La Commission européenne estime les coûts directs de mise en conformité avec la CRA à environ 29 milliards d’euros, soit environ 2 % du chiffre d’affaires de l’industrie européenne (SWD(2022) 282). À cela s’ajoutent des obligations à long terme, telles que la fourniture de mises à jour de sécurité pendant cinq ans ou plus, ainsi que des exigences plus strictes en matière de choix des composants et des outils. Pour les jeunes entreprises, cela peut constituer un obstacle substantiel à l’entrée sur le marché.

Martin Pansy plaide donc en faveur d’une surveillance rigoureuse du marché : « La CRA fixe les bonnes exigences, mais celles-ci ne sont efficaces que si elles sont réellement appliquées. Seules des conditions de concurrence équitables récompensent la responsabilité et empêchent les acteurs d’entrer sur le marché par des voies détournées avec des normes de sécurité moins strictes. »

À propos de Nuki Home Solutions

Fondée en 2015 à Graz (Autriche), Nuki s’est imposée comme un acteur européen de premier plan dans le domaine des solutions d’accès intelligentes pouvant être installées a posteriori. L’entreprise dispose d’une équipe internationale et est certifiée ISO 9001 et ISO 14001. Outre le Smart Lock et une gamme d’accessoires, Nuki continue de développer des solutions pour un avenir entièrement sans clé.