À moins d’un mois de la première échéance contraignante du Cyber Resilience Act, l’agence européenne de cybersécurité a publié un document qui manquait : un guide de sécurité dès la conception écrit pour des équipes de cinq personnes, et non pour des directions sécurité de multinationales.

Un guide taillé pour les petites structures

Publié le 30 juillet 2026 sous le titre « ENISA Secure by Design and Default Playbook », le document porte un sous-titre sans ambiguïté : un guide pratique des principes de sécurité dès la conception et par défaut, pour les PME. C’est la version définitive, issue d’une consultation publique menée en avril et mai 2026, qui avait recueilli 28 contributions.

L’ENISA nomme d’emblée les contraintes qu’elle a cherché à respecter : budget limité, absence de personnel dédié à la sécurité, dépendance à un informaticien généraliste, manque de compétences spécialisées et concurrence permanente entre la sécurité et les priorités commerciales. Le périmètre est celui de la définition européenne de la PME : moins de 250 employés et un chiffre d’affaires annuel inférieur à 50 millions d’euros.

Le public visé n’est d’ailleurs pas le dirigeant, mais son équipe technique : développeurs, chefs de produit, architectes système, et responsable sécurité quand il en existe un.

Ce que recouvrent « dès la conception » et « par défaut »

Les deux notions sont souvent confondues. L’ENISA les sépare nettement.

La sécurité dès la conception se divise en deux groupes. Les fondations architecturales portent sur la façon dont le système est conçu, développé et construit. L’intégrité opérationnelle porte sur la façon dont il est ensuite distribué, installé, géré et maintenu.

La sécurité par défaut se répartit également en deux catégories. Le durcissement par défaut garantit que le produit démarre dans un état sûr et restrictif. La protection guidée vise à aider l’utilisateur à conserver ce niveau de sécurité, par des valeurs par défaut lisibles, des avertissements et des mécanismes de récupération.

Vingt-deux principes, et un ordre pour les aborder

Le corps du document détaille 22 principes. Pour chacun : l’objectif poursuivi, les points à considérer dans un contexte d’ingénierie, les preuves que l’on peut collecter pour en démontrer l’application, et des critères utilisables lors d’une revue de version.

L’apport le plus utile à une petite équipe se trouve toutefois ailleurs, dans la section consacrée à l’adoption progressive. L’ENISA y propose une base d’ingénierie de départ valable pour la plupart des produits : pratiques de codage et de vérification sécurisés, journalisation et surveillance, gestion des vulnérabilités et des correctifs, et contrôles sur la chaîne d’approvisionnement. Viennent ensuite, selon ce que fait réellement le produit, l’accès initial restrictif, la communication sécurisée par défaut, une identité et des secrets uniques par appareil, puis les mises à jour automatisées.

Le lien direct avec le Cyber Resilience Act

C’est ce qui distingue ce document des guides génériques. Son annexe C établit une correspondance indicative entre chaque principe et les exigences essentielles de l’annexe I du Cyber Resilience Act, le règlement (UE) 2024/2847, dont l’annexe B dresse la liste.

Autrement dit, une PME qui applique un principe voit à quelle exigence réglementaire il se rattache, et inversement. Pour un fabricant suisse qui exporte, c’est un point de départ pour mesurer l’écart entre ce qu’il fait déjà et ce que le règlement attendra. Un fabricant d’équipements radio, déjà confronté aux normes EN 18031, y retrouvera des principes familiers.

L’agence prend toutefois une précaution explicite : l’adoption progressive ne signifie pas repousser des obligations légales. Celles du CRA priment, et le calendrier reste celui fixé par la Commission européenne, à savoir les obligations de signalement dès le 11 septembre 2026 et l’essentiel du règlement dès le 11 décembre 2027.

Ce que le document ne fait pas

L’ENISA est claire sur ce point : il ne s’agit ni d’un manuel de conformité, ni d’un avis juridique. Appliquer ces principes ne garantit en soi ni la conformité au règlement, ni une certification. C’est une passerelle technique, pas un dossier.

La nuance compte pour une PME industrielle, qui devra produire une documentation, une analyse de risque et une déclaration de conformité. Le guide aide à constituer la matière ; il ne remplace pas la démarche.

En conclusion

Ce guide est gratuit, rapide à parcourir, et il s’adresse pour une fois à des équipes qui n’ont pas de service sécurité. Si vous fabriquez un produit connecté, un logiciel embarqué ou un objet doté d’un composant programmable, ses sections sur les principes et les fiches pratiques valent une matinée de lecture. Reste ensuite la question que le document ne peut pas trancher à votre place : lequel de vos produits entre dans le champ du règlement, dans quelle catégorie, et donc quels principes deviennent pour vous des obligations plutôt que de bonnes pratiques. Cette réponse dépend de votre gamme et de vos marchés d’exportation, et elle se prépare nettement mieux maintenant qu’en décembre 2027.