Le secteur des semi-conducteurs fait face à une transformation réglementaire majeure avec l'entrée en vigueur de la loi sur la cyberrésilience (CRA) de l'Union européenne, les exigences de sécurité ne se limitant plus aux logiciels, mais s'étendant aux composants matériels et à la propriété intellectuelle (IP) qui constituent l'épine dorsale des appareils numériques modernes.
Cadre de travail de la loi CRA et champ d'application
La loi, adoptée en octobre 2024, vise à établir des exigences de sécurité minimales pour les produits numériques vendus sur le marché de l'Union européenne. Ces règles s'appliquent aux entreprises quel que soit leur siège géographique, tant que leurs produits atteignent les consommateurs européens. Le champ d'application inclut directement les semi-conducteurs vendus séparément, ainsi que les fournisseurs de propriété intellectuelle qui pourraient être tenus de présenter les résultats d'évaluations de sécurité et d'expliquer les hypothèses d'utilisation sécurisée de leurs composants.
La liste ciblée comprend une large gamme de produits techniques, notamment :
- Les microprocesseurs.
- Les microcontrôleurs.
- Les circuits intégrés spécifiques à une application (ASIC).
- Les réseaux de portes programmables in situ (FPGA).
Délais et obligations réglementaires
L'application de la loi suit des étapes temporelles précises qui imposent des pressions sur les calendriers de développement technique :
- Septembre 2026 : Début de la phase de signalement obligatoire, où les fabricants doivent fournir une alerte précoce lors de la découverte de vulnérabilités activement exploitées, suivie d'un rapport détaillé sur les mesures correctives via la plateforme de signalement unifiée.
- 11 décembre 2027 : Date limite pour une conformité totale, où les exigences de documentation technique et d'évaluation de la conformité entreront en vigueur, et l'obtention du marquage CE sera une condition préalable à la mise sur le marché des produits.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution représente un changement fondamental dans la responsabilité de la cybersécurité tout au long de la chaîne d'approvisionnement. Au lieu de faire peser la charge entièrement sur les fabricants d'appareils finaux, la loi impose aux fournisseurs de composants et de propriété intellectuelle de fournir des preuves de sécurité concrètes. Cela signifie que les entreprises concevant des puces doivent prouver que les actifs sensibles, tels que les clés de chiffrement et les états de débogage (Debug states), sont protégés au sein même de la conception, et non uniquement par des logiciels externes.
Préparation et vérification de la sécurité du matériel
En réponse à ces défis, des entreprises spécialisées comme Arteris ont commencé à développer des outils pour aider les concepteurs à se conformer, tels que le guide de préparation du matériel (Hardware Readiness Guide) et des outils de vérification comme Radix. Ces outils visent à transformer les exigences de sécurité en règles pouvant être testées lors des phases de simulation et d'émulation, permettant ainsi d'identifier les points faibles de la conception avant que le produit n'atteigne l'étape de fabrication finale.