L'ETSI EN 303 645 est une norme européenne de cybersécurité publiée par l'Institut européen des normes de télécommunications (ETSI) en juin 2020. Elle établit un socle de sécurité minimal pour les objets connectés grand public et constitue le premier standard mondial de cybersécurité applicable à l'Internet des objets (IoT) destiné aux consommateurs.
Contexte et historique
Émergence des risques liés à l'IoT grand public
À partir des années 2010, la multiplication des objets connectés dans les foyers — téléviseurs intelligents, enceintes connectées, caméras de surveillance, babyphones, serrures connectées, appareils électroménagers — a exposé les consommateurs à des risques cybersécurité inédits. Ces dispositifs, souvent conçus sans exigences de sécurité minimales, sont devenus des cibles privilégiées pour les attaquants. L'attaque par botnet Mirai en 2016, qui a compromis des centaines de milliers d'appareils IoT mal sécurisés pour lancer des attaques par déni de service distribué (DDoS) de grande ampleur, a mis en évidence l'urgence de disposer d'un cadre normatif commun.
Genèse de la norme
Face à ce constat, le comité technique de cybersécurité de l'ETSI (TC CYBER) a publié en mars 2019 une première ébauche sous la forme d'une spécification technique : l'ETSI TS 103 645. Ce document recensait les règles minimales de sécurité que tout concepteur IoT devrait intégrer, mais était jugé insuffisant par les professionnels du secteur.
Après une consultation élargie impliquant des organisations nationales de normalisation, des industriels tels que Legrand et Schneider Electric, des universitaires et des autorités gouvernementales, la version définitive ETSI EN 303 645 V2.1.1 a été publiée le 30 juin 2020. La transformation de la spécification technique (TS) en norme européenne (EN) a impliqué un processus de vote auprès des organismes nationaux de normalisation, renforçant ainsi sa légitimité et son caractère contraignant potentiel.
La version V3.1.3, publiée en 2024, constitue la version actuelle. Elle intègre des provisions étendues sur la protection des données et des retours d'expérience des laboratoires de test et des industriels.
Périmètre d'application
La norme s'applique aux dispositifs IoT grand public, définis comme des appareils connectés à un réseau et destinés à une utilisation par des particuliers. Le périmètre est délibérément large et technologiquement neutre : il couvre les résultats attendus en matière de sécurité plutôt que des implémentations techniques spécifiques.
Les produits explicitement visés par la norme comprennent notamment les téléviseurs connectés, les enceintes intelligentes et assistants vocaux, les caméras de surveillance domestiques, les babyphones connectés, les jouets connectés pour enfants, les détecteurs de fumée connectés, les serrures et systèmes d'alarme connectés, les appareils électroménagers intelligents (réfrigérateurs, lave-linge), les trackers d'activité physique et montres connectées, ainsi que les passerelles et concentrateurs domestiques (hubs) qui servent de points d'accès centraux pour l'ensemble des appareils du foyer.
La norme s'étend également aux services associés aux dispositifs, tels que les applications mobiles et les infrastructures cloud développées par ou sous la responsabilité du fabricant.
Structure et dispositions
Architecture générale
La norme ETSI EN 303 645 V2.1.1 est structurée autour de 13 catégories de cybersécurité établissant 68 dispositions au total, dont 33 exigences obligatoires et 35 recommandations. Elle comprend également des dispositions spécifiques relatives à la protection des données personnelles, en cohérence avec le RGPD européen.
L'approche retenue est délibérément orientée résultats (outcome-focused) plutôt que prescriptive, laissant aux fabricants la liberté d'innover dans leurs implémentations techniques tout en atteignant les objectifs de sécurité définis.
Les 13 catégories de cybersécurité
Absence de mots de passe universels par défaut : les dispositifs ne doivent pas être livrés avec des identifiants génériques identiques pour tous les appareils d'un même modèle. Chaque dispositif doit disposer d'un mot de passe unique ou imposer à l'utilisateur d'en définir un lors de la première mise en service. Gestion des signalements de vulnérabilités : les fabricants doivent mettre en place un point de contact public permettant à des tiers — notamment des chercheurs en sécurité — de signaler des vulnérabilités découvertes dans leurs produits. Cette disposition est directement liée aux pratiques de divulgation coordonnée des vulnérabilités et aux fonctions d'une Product Security Incident Response Team (PSIRT). Maintien à jour des logiciels : les fabricants doivent garantir que les logiciels embarqués dans leurs dispositifs peuvent être mis à jour de manière sécurisée tout au long de la durée de vie du produit. Stockage sécurisé des paramètres de sécurité sensibles : les clés cryptographiques, mots de passe et autres données sensibles doivent être stockés de façon à résister aux tentatives d'extraction. Communications sécurisées : les échanges entre le dispositif et les services associés doivent être chiffrés et authentifiés. Minimisation de la surface d'attaque : les ports, services et fonctionnalités inutiles doivent être désactivés par défaut. Le principe de sécurité par conception (security by design) et de sécurité par défaut (secure by default) est central. Garantie de l'intégrité des logiciels : les dispositifs doivent vérifier l'authenticité et l'intégrité des mises à jour logicielles avant de les appliquer, notamment via des mécanismes de démarrage sécurisé (secure boot). Protection des données personnelles : les fabricants doivent faciliter la protection des données collectées par leurs dispositifs, en conformité avec les législations applicables. Résilience aux interruptions : les dispositifs doivent être conçus pour maintenir un fonctionnement acceptable même en cas de perturbation du réseau ou des services associés. Examen des données de télémétrie : lorsque des données de fonctionnement sont collectées, les fabricants doivent les examiner pour détecter d'éventuelles anomalies de sécurité. Facilitation de la suppression des données personnelles : les consommateurs doivent pouvoir effacer facilement leurs données personnelles, notamment lors de la revente ou de la mise au rebut de l'appareil. Facilitation de l'installation et de la maintenance : les dispositifs doivent être conçus pour que leur configuration et leur maintenance sécurisées soient accessibles aux utilisateurs non spécialistes. Validation des données d'entrée : les dispositifs doivent valider les données reçues via les interfaces réseau ou utilisateur afin de prévenir les injections et autres attaques applicatives.
Dispositions relatives à la protection des données
En complément des 13 catégories de cybersécurité, la norme comprend cinq dispositions spécifiques à la protection des données personnelles, couvrant notamment la transparence sur la collecte et l'utilisation des données, ainsi que la mise à disposition de mécanismes permettant aux utilisateurs d'exercer leurs droits.
Documents complémentaires
La norme ETSI EN 303 645 s'accompagne de plusieurs documents complémentaires publiés par l'ETSI. L'ETSI TS 103 701 est la spécification d'évaluation de conformité : elle définit les cas de test permettant à des laboratoires accrédités de vérifier que chaque disposition de la norme est correctement implémentée dans un produit donné. L'ETSI TR 103 621 est le guide d'implémentation : il fournit des exemples et des conseils pratiques non contraignants pour aider les fabricants à mettre en œuvre les dispositions de la norme. L'ETSI TR 103 838 constitue un guide spécifique à la divulgation coordonnée des vulnérabilités, définissant un processus de triage et des conseils pour gérer les vulnérabilités affectant des composants tiers.
Adoption internationale
Bien qu'initialement développée comme norme européenne, l'ETSI EN 303 645 a connu une adoption internationale rapide grâce à son approche pragmatique et technologiquement neutre. Plusieurs pays ont basé leurs schémas nationaux de certification sur cette norme.
En Europe, la norme constitue une référence technique majeure pour le Cyber Resilience Act (CRA) et pour la directive RED (Radio Equipment Directive). La Finlande a été pionnière en lançant dès novembre 2019 le Finnish IoT Label, premier label mondial de cybersécurité pour objets connectés basé sur les principes de la future norme.
Au Royaume-Uni, le Product Security and Telecommunications Infrastructure Act (PSTI Act), entré en vigueur en avril 2024, reprend directement les principes fondamentaux de l'ETSI EN 303 645 pour définir les exigences obligatoires applicables aux produits connectés commercialisés sur le marché britannique.
En dehors de l'Europe, Singapour, l'Australie, le Vietnam et l'Inde ont également adopté cette norme comme fondement de leurs schémas nationaux de certification IoT.
Conformité et certification
La conformité à l'ETSI EN 303 645 est volontaire en tant que telle, mais elle constitue le moyen privilégié de démontrer la conformité à plusieurs réglementations obligatoires. Un fabricant souhaitant faire certifier son produit suit un processus structuré en plusieurs étapes. Il commence par définir le périmètre d'évaluation en identifiant précisément les modèles de produits et versions de micrologiciels concernés. Il constitue ensuite deux documents clés : l'Implementation Conformance Statement (ICS), qui indique lesquelles des dispositions de la norme le produit respecte ou non, et l'Implementation eXtra Information for Testing (IXIT), qui fournit les détails techniques nécessaires aux évaluateurs. Un laboratoire de test accrédité procède alors à l'évaluation du produit sur la base de ces documents et des cas de test définis dans l'ETSI TS 103 701, avant de délivrer un rapport de conformité.
Relations avec d'autres réglementations et normes
Cyber Resilience Act
Le Cyber Resilience Act (CRA), règlement européen entré en vigueur en 2024, impose des exigences de cybersécurité aux fabricants de produits comportant des éléments numériques commercialisés dans l'Union européenne. Bien que la norme ETSI EN 303 645 n'ait pas été conçue initialement pour servir de norme harmonisée au titre du CRA — dont le périmètre est plus large — elle en constitue une référence technique importante, notamment pour les produits IoT grand public.
Directive RED
La directive RED (Radio Equipment Directive, 2014/53/UE) et ses actes délégués imposent des exigences de cybersécurité aux équipements radioélectriques commercialisés dans l'Union européenne. L'ETSI EN 303 645 est l'une des références techniques permettant aux fabricants de démontrer leur conformité à ces exigences.
ISA/IEC 62443
Pour les environnements industriels, la série de normes ISA/IEC 62443 complète l'ETSI EN 303 645 en apportant des exigences de sécurité adaptées aux systèmes d'automatisation et de contrôle industriels (IACS). Le document ETSI TS 103 929, publié en mai 2023, établit un mapping entre les dispositions de l'ETSI EN 303 645 et les exigences de l'ISA/IEC 62443-4-2.
Voir aussi
Articles connexes Institut européen des normes de télécommunications (ETSI) Internet des objets (IoT) Cyber Resilience Act Directive sur les équipements radioélectriques (RED) Product Security Incident Response Team (PSIRT) Divulgation coordonnée des vulnérabilités Botnet Mirai (logiciel malveillant)
Liens externes
Source officielle
Réglementation européenne
Autorités nationales
Ressources francophones
Notes et références
Catégorie:Internet des objets