Directive RED : la cybersécurité des équipements radio obligatoire depuis le 1er août 2025

Par Aurélie, M2M Network.

Publié le 21 octobre 2026. Textes vérifiés à cette date sur EUR-Lex et sur les sites de l’ANFR et de l’ANSSI.

En bref : depuis le 1er août 2025, la directive RED impose des exigences de cybersécurité à tout équipement radio capable de communiquer sur l’internet, directement ou par l’intermédiaire d’un autre équipement. Le règlement délégué (UE) 2022/30 a rendu applicables les points d), e) et f) de l’article 3, paragraphe 3, de la directive 2014/53/UE : protection du réseau, protection des données personnelles et de la vie privée, protection contre la fraude. Un objet qui communique en 4G ou en 5G est en règle générale concerné par le point d), et par le point e) dès qu’il traite des données personnelles ; les normes harmonisées EN 18031-1, EN 18031-2 et EN 18031-3 donnent la présomption de conformité, avec des restrictions, jusqu’au relais par le Cyber Resilience Act le 11 décembre 2027.

Cet article présente les textes pour les fabricants, intégrateurs et revendeurs ; il ne remplace ni leur lecture ni l’avis d’un juriste. En France, la surveillance du marché des équipements radio relève de l’Agence nationale des fréquences (ANFR).

Directive RED et cybersécurité : ce que disent les points d), e) et f)

La directive 2014/53/UE du 16 avril 2014, dite RED (Radio Equipment Directive), fixe les exigences essentielles des équipements radioélectriques mis sur le marché de l’Union : sécurité, compatibilité électromagnétique, usage efficace du spectre. Son article 3, paragraphe 3, prévoit des exigences supplémentaires que la Commission active par acte délégué, pour certaines catégories d’équipements. Le règlement délégué (UE) 2022/30 du 29 octobre 2021, publié au JOUE le 12 janvier 2022, a activé les trois exigences liées à la cybersécurité :

PointExigence de la directiveÉquipements visés (règlement 2022/30)Norme harmonisée
d)Ne pas porter atteinte au réseau ou à son fonctionnement ni faire une mauvaise utilisation des ressources du réseauTout équipement radio capable de communiquer par lui-même sur l’internet, directement ou par l’intermédiaire d’un autre équipementEN 18031-1:2024
e)Comporter des sauvegardes pour protéger les données à caractère personnel et la vie privéeÉquipements connectés à l’internet capables de traiter des données personnelles, de trafic ou de localisation ; équipements de garde d’enfants ; jouets ; équipements portés sur le corps ou les vêtementsEN 18031-2:2024
f)Être compatible avec des caractéristiques assurant la protection contre la fraudeÉquipements connectés à l’internet permettant de transférer de l’argent, de la valeur monétaire ou une monnaie virtuelleEN 18031-3:2024

Les exclusions sont fixées à l’article 2 du règlement délégué. Les dispositifs médicaux et de diagnostic in vitro (règlements (UE) 2017/745 et 2017/746) échappent aux trois points. Les équipements relevant aussi de l’aviation civile (règlement (UE) 2018/1139), de la réception des véhicules (règlement (UE) 2019/2144) ou du télépéage (directive (UE) 2019/520) échappent aux points e) et f), mais restent soumis au point d).

Calendrier : du 1er août 2025 au 11 décembre 2027

DateÉtapeTexte
29 octobre 2021Adoption du règlement délégué, initialement applicable au 1er août 2024Règlement délégué (UE) 2022/30
5 août 2022Demande de normalisation adressée au CEN et au CenelecDécision d’exécution C(2022) 5637
20 juillet 2023Report de l’application au 1er août 2025, pour laisser le temps d’élaborer les normesRèglement délégué (UE) 2023/2444
1er août 2024Approbation de la norme EN 18031-1 par le CENEN 18031-1:2024
30 janvier 2025Publication au JOUE des références des normes EN 18031-1, -2 et -3, avec restrictionsDécision d’exécution (UE) 2025/138
1er août 2025Application des exigences de cybersécuritéRèglement délégué (UE) 2022/30 modifié
11 décembre 2027Abrogation du règlement délégué et relais par le Cyber Resilience ActRèglement délégué (UE) 2026/339

Le report de 2023 s’explique par la complexité des normes : le CEN et le Cenelec avaient demandé au moins neuf mois supplémentaires, et la Commission a constaté que l’absence de normes harmonisées rendait la mise en conformité « très ardue » (considérants 4 et 5 du règlement délégué (UE) 2023/2444).

Quels objets connectés sont concernés

Le groupe de coopération administrative des autorités de surveillance du marché (AdCo RED) a publié un document d’interprétation de la notion d’« équipement radio connecté à l’internet » (version du 1er février 2026). Ce document n’a pas de valeur juridique contraignante, mais il donne la grille de lecture des autorités : un équipement est connecté à l’internet s’il exécute un protocole, ouvert ou propriétaire, qui lui permet de communiquer sur l’internet, directement ou par un équipement intermédiaire. Ses exemples :

  • une tablette en 4G ou un smartphone en 5G sont directement connectés à l’internet ;
  • un module Wi-Fi est un équipement radio connecté à l’internet, et le produit qui l’intègre (une machine à laver connectée, par exemple) l’est aussi ;
  • un produit équipé d’un port réseau filaire et d’un module NFC devient lui aussi un équipement radio connecté à l’internet ;
  • un traceur Sigfox ou un capteur de température LoRaWAN sont cités comme exemples d’équipements qui ne le sont pas, sous réserve de l’analyse de risques du fabricant.

Pour un parc M2M, un routeur 4G, un transmetteur d’alarme 4G, une borne de recharge communicante ou une caméra 4G exécutent des protocoles IP et entrent, en règle générale, dans le champ du point d). Le point e) s’ajoute dès que l’objet traite des données personnelles, par exemple la position d’un véhicule rattachée à son conducteur. Un APN privé ou un VPN réduisent l’exposition du parc, mais l’interprétation des autorités porte sur ce que l’équipement est capable de faire : c’est à l’analyse de risques du fabricant de démontrer, le cas échéant, qu’il ne peut ni communiquer avec l’internet ni être joint depuis celui-ci.

La date s’apprécie unité par unité : le document AdCo rappelle que la mise sur le marché vise chaque produit individuel, pas un modèle. Un exemplaire mis sur le marché depuis le 1er août 2025 doit être conforme, même si le modèle était vendu avant cette date.

Les normes EN 18031 et leurs restrictions

Les trois normes ont été élaborées par le CEN et le Cenelec : l’EN 18031-1 couvre le point d) pour les équipements connectés à l’internet, l’EN 18031-2 le point e) pour les équipements qui traitent des données, l’EN 18031-3 le point f) pour ceux qui traitent une monnaie virtuelle ou de la valeur monétaire. La première a été reprise dans la collection française sous la référence NF EN 18031-1, publiée par AFNOR en août 2024.

L’EN 18031-1 s’organise en familles de mécanismes : contrôle d’accès (ACM), authentification (AUM), mise à jour sécurisée (SUM), stockage sécurisé (SSM), communication sécurisée (SCM), résilience (RLM), surveillance du réseau (NMM), contrôle du trafic (TCM), clés cryptographiques confidentielles (CCK), capacités générales de l’équipement (GEC) et cryptographie (CRY). La plupart des familles commencent par déterminer si le mécanisme s’applique à l’équipement, puis précisent quand il est approprié.

La décision d’exécution (UE) 2025/138 de la Commission du 28 janvier 2025 a publié ces références au JOUE le 30 janvier 2025, avec des restrictions :

  • les sections « Rationale » et « Guidance » des trois normes ne confèrent pas de présomption de conformité ;
  • les clauses 6.2.5.1 et 6.2.5.2 des trois normes permettent au fabricant de laisser l’utilisateur ne pas définir ou ne pas utiliser de mot de passe : si cette option est retenue, la norme ne confère pas de présomption de conformité ;
  • pour l’EN 18031-2, les clauses de contrôle d’accès des jouets et des équipements de garde d’enfants ne valent présomption que si le contrôle par les parents ou tuteurs est assuré ;
  • pour l’EN 18031-3, les critères d’évaluation des mises à jour sécurisées de la clause 6.3.2.4 ne confèrent pas de présomption de conformité.

La conséquence est procédurale. Un fabricant qui applique en totalité les normes harmonisées peut recourir au contrôle interne de la production (article 17, paragraphe 3, de la directive). S’il ne les applique qu’en partie, ou s’il retient une option exclue par les restrictions, il doit passer par un examen UE de type ou une assurance qualité complète, avec un organisme notifié (article 17, paragraphe 4).

Ce que doivent vérifier fabricants, intégrateurs et revendeurs

La directive RED répartit les rôles comme le CRA. Le distributeur vérifie, avant de vendre, le marquage CE, les documents requis et les instructions de sécurité, rédigées dans une langue aisément compréhensible par les utilisateurs du pays de vente (article 13). L’importateur s’assure en plus que la procédure d’évaluation de la conformité a été appliquée et que la documentation technique existe (article 12). Celui qui vend un équipement sous son nom ou le modifie au point d’en affecter la conformité devient fabricant (article 14). En pratique :

  1. Classer chaque produit radio : point d) seul, points d) et e), ou d), e) et f), en vérifiant les exclusions de l’article 2 du règlement délégué.
  2. Ne pas s’arrêter au module radio : un module 4G, 5G ou Wi-Fi déjà conforme ne dispense pas d’évaluer le produit final, qui est lui-même un équipement radio connecté à l’internet (cas 6 du document AdCo).
  3. Traiter les mots de passe : ne pas laisser l’utilisateur s’en passer, puisque c’est la restriction commune aux trois normes.
  4. Prévoir les mises à jour du micrologiciel par un mécanisme sécurisé et des communications chiffrées, familles SUM et SCM de l’EN 18031-1.
  5. Contrôler la déclaration UE de conformité : elle cite les normes harmonisées appliquées, avec leur version, et, s’il y a lieu, l’organisme notifié et son certificat (annexe VI de la directive).
  6. Distinguer stock et nouveaux lots : les unités mises sur le marché depuis le 1er août 2025 doivent être conformes.

Pour les accès de maintenance aux équipements installés, notre article sur la télémaintenance 4G des automates décrit une architecture sans port ouvert sur l’internet ; les principes généraux sont rappelés dans notre page sécurité M2M et dans le guide pour sécuriser les appareils connectés.

Contrôles en France : le rôle de l’ANFR

L’ANFR exerce la surveillance du marché au titre de la directive 2014/53/UE. Ses inspecteurs peuvent constater les manquements au Code des postes et des communications électroniques, demander une mise en conformité, imposer une suspension de la mise sur le marché ou un rappel des produits, et engager des suites répressives : amendes administratives ou procès-verbaux transmis au parquet. L’ANFR est aussi l’autorité de surveillance du marché au titre du Cyber Resilience Act : elle sera l’interlocutrice des deux régimes.

Directive RED puis Cyber Resilience Act : l’articulation

Le règlement délégué (UE) 2026/339 du 16 février 2026, publié au JOUE le 29 avril 2026, abroge le règlement délégué (UE) 2022/30 avec effet au 11 décembre 2027, date d’application complète du Cyber Resilience Act. La Commission justifie ce choix par le fait que les exigences essentielles du CRA comprennent tous les éléments des points d), e) et f) : il s’agit d’éviter une double réglementation. Les équipements mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 restent soumis au contrôle prévu par la directive RED.

Le CRA va plus loin que la RED : catégories de produits importants (les routeurs et modems cellulaires sont en classe I), période de support d’au moins cinq ans et signalement des vulnérabilités activement exploitées, obligatoire depuis le 11 septembre 2026. Les exploitants de parcs dans les secteurs critiques ont, eux, leurs propres obligations au titre de la directive NIS2.

Ce que propose M2M Network

M2M Network fournit la connectivité des équipements radio : cartes SIM M2M sur le réseau Orange, SFR ou Bouygues Telecom au choix, cartes SIM IoT multi-opérateurs, en SIM physique ou en eSIM, avec les options 5G, IP fixe publique dédiée et APN privé. L’APN privé relie les objets à un serveur hébergé en France par Guardis, sur une infrastructure certifiée ISO 27001 et HDS, sans passer par l’Internet public. La conformité RED de l’équipement reste de la responsabilité de son fabricant. Les forfaits se commandent sur la boutique.

À lire aussi

Questions fréquentes

Un objet connecté en 4G est-il concerné par les exigences de cybersécurité de la directive RED ?

En règle générale, oui : un équipement radio qui exécute un protocole lui permettant de communiquer sur l’internet relève du point d) de l’article 3, paragraphe 3. Le point e) s’ajoute s’il traite des données personnelles, de trafic ou de localisation, et le point f) s’il permet de transférer de l’argent ou une monnaie virtuelle.

Les normes EN 18031 sont-elles obligatoires ?

Non, elles sont volontaires, mais les appliquer en totalité donne la présomption de conformité et permet le contrôle interne de la production. Sans elles, ou avec une option exclue par la décision (UE) 2025/138, le fabricant doit passer par un organisme notifié (article 17, paragraphe 4, de la directive 2014/53/UE).

Un produit vendu avant le 1er août 2025 doit-il être mis en conformité ?

La mise sur le marché s’apprécie unité par unité. Les exemplaires mis sur le marché avant le 1er août 2025 n’étaient pas soumis à ces exigences ; ceux mis sur le marché depuis cette date doivent être conformes, même pour un modèle déjà commercialisé.

Un module 4G certifié suffit-il pour que mon objet soit conforme ?

Non. Le document d’interprétation des autorités de surveillance du marché traite le produit qui intègre un module radio comme un équipement radio connecté à l’internet à part entière. Sa conformité, y compris pour les mots de passe et les mises à jour, s’évalue sur le produit final.

Que se passe-t-il le 11 décembre 2027 ?

Le règlement délégué (UE) 2022/30 est abrogé à cette date par le règlement délégué (UE) 2026/339, et le Cyber Resilience Act prend le relais pour la cybersécurité des produits. Les équipements mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 restent contrôlables au titre de la RED.

Qui contrôle ces exigences en France ?

L’Agence nationale des fréquences (ANFR), autorité de surveillance du marché des équipements radio. Elle peut demander une mise en conformité, suspendre la mise sur le marché, faire rappeler des produits et engager des suites répressives.

Sources