Le BSI et la DAkkS préparent le contrôle du Cyber Resilience Act

L'Office fédéral de la sécurité des technologies de l'information (BSI) et l'Organisme allemand d'accréditation (DAkkS) ont mis à jour leur accord administratif. Annoncé le 25 septembre 2026, ce texte élargit les domaines où le BSI agit comme autorité habilitante.

Le contenu de l'accord

L'enjeu central est la coopération pour l'accréditation des organismes d'évaluation de la conformité (OEC) effectuant des contrôles de cybersécurité. Le BSI fournit des experts spécialisés pour les procédures d'accréditation de la DAkkS dans le domaine de la sécurité de l'information.

Claudia Plattner, présidente du BSI, justifie cette démarche : il s'agit de faciliter la mise sur le marché de produits à haute cybersécurité pour les fabricants et prestataires, en posant des bases solides via cette coopération.

Les règles à partir de fin 2027

À partir de fin 2027, les produits comportant des éléments numériques devront satisfaire aux exigences de cybersécurité du Cyber Resilience Act (CRA). À défaut, ils ne pourront plus être commercialisés en Europe. Pour certains groupes de produits listés dans le CRA, la conformité doit être prouvée par une évaluation tierce via un OEC. En Allemagne, ces organismes requièrent une accréditation DAkkS valide, suivie d'une notification par le BSI.

Le BSI a lancé sa procédure de notification pour le CRA le 11 juin 2026, avant la publication de la loi d'exécution, toujours en cours de rédaction. La DAkkS accepte déjà les demandes d'accréditation des OEC pour le périmètre du CRA.

Le second pilier : la sécurité de l'IA

Le BSI se positionne aussi comme instance de contrôle pour l'IA. Son site détaille trois intersections entre IA et sécurité informatique : la sécurité des systèmes d'IA, l'usage de l'IA pour la défense, et les nouvelles attaques permises par les méthodes d'IA. L'office mène des recherches fondamentales et développe des exigences, critères et méthodologies de contrôle. Cela va d'un catalogue pour l'intégration de modèles d'IA générative externes à un guide sur les assistants de programmation par IA et « SBOM for AI », en passant par des critères de qualité pour les données d'entraînement (QUAIDAL) et une liste de contrôle sur les attaques par évasion contre les LLM.

Fabricants et laboratoires d'essai font face à une double pression temporelle : il faut mettre en place les organismes notifiés pendant que les critères de contrôle pour les produits assistés par IA se précisent dans plusieurs documents.

La capacité à attester la conformité détermine la rapidité avec laquelle les produits conformes au CRA arrivent sur le marché.