Hubs, capteurs et éclairage de maison intelligente

• Directive 2014/53/EU — Radio Equipment
• Delegated Regulation (EU) 2022/30 — cybersecurity
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive 2012/19/EU — WEEE

Qui doit le désigner

Fabricants en dehors de l'Union plaçant des dispositifs de maison intelligente sur le marché de l'UE. Les capteurs de présence, thermostats et hubs activés par la voix génèrent des données sur les moments où les gens sont chez eux et ce qu'ils y font, ce qui constitue des données personnelles même en l'absence de caméra.

Seuils et exemptions

Aucun. Les exigences en matière de cybersécurité en vertu du règlement délégué s'appliquent aux équipements radio connectés à Internet en général, et le CRA s'appliquera à toute la catégorie à partir de décembre 2027.

Ce qui doit figurer sur l’étiquette

Marquage CE, détails du fabricant et du représentant de l'UE, modèle et numéro de série, paramètres radio, symbole DEEE, marquages de batterie le cas échéant, et à partir de décembre 2027, la période de support et le point de contact pour les vulnérabilités.

Champs des marketplaces

Les places de marché exigent une personne responsable de l'UE et, depuis août 2025, s'attendent à ce que les exigences en matière de cybersécurité soient respectées. Les dispositifs avec des mots de passe par défaut ou des API locales non authentifiées ont été publiquement critiqués et retirés.

Documents à conserver

Déclaration de conformité de l'UE, dossier technique, rapports d'essai radio et de sécurité, documentation de cybersécurité EN 18031, et à partir de 2026, le processus de gestion des vulnérabilités du CRA et le SBOM. Du côté des données, l'enregistrement de l'article 30, la désignation de l'article 27, les règles de conservation des historiques d'événements et le mécanisme de transfert.

Normes et essais

Essais radio et EMC selon les normes harmonisées applicables, EN IEC 62368-1 pour la sécurité, EN 18031 pour les exigences en matière de cybersécurité, et IEC 62133 pour les batteries dans les capteurs.

Exigences linguistiques

Instructions et avertissements dans la langue nationale, et informations sur la vie privée dans la langue des utilisateurs.

À partir de quand

Documentation produit avant la mise sur le marché, exigences en matière de cybersécurité depuis août 2025, rapports CRA à partir de septembre 2026 et CRA complet à partir de décembre 2027.

Durée de conservation

Dix ans pour la documentation technique ou la période de support si elle est plus longue. Les historiques d'événements doivent avoir une durée de conservation définie plutôt que de s'accumuler indéfiniment.

En cas de manquement

Retrait et suppression du produit sur le marché, et amendes pour protection des données du côté du service. Un hub qui cesse de fonctionner lorsque le fournisseur interrompt le cloud soulève également des questions de droit des consommateurs concernant la conformité de l'élément numérique.

Qui contrôle

Autorités de surveillance du marché et régulateurs radio, CSIRTs pour les rapports CRA, et autorités de protection des données.

Où se situe la limite

La déclaration de la période de support en vertu du CRA a des conséquences commerciales ici : de nombreux produits de maison intelligente ont été abandonnés par leurs fournisseurs dans les quelques années suivant leur lancement, et à partir de 2027, la période promise devient une déclaration légale plutôt qu'une déclaration marketing.

Les questions qu’on nous pose

Les données de présence sont-elles des données personnelles ?

Oui. Les enregistrements des moments où une maison est occupée identifient les personnes qui y vivent, et les autorités les traitent en conséquence.

Que se passe-t-il si nous interrompons le service cloud ?

En vertu de la directive sur le contenu numérique, un produit qui cesse de fournir les fonctionnalités promises peut être non conforme, donnant aux consommateurs des recours, en plus des obligations de période de support du CRA.