Réglementation britannique
PSTI : les règles de sécurité britanniques pour les produits connectés
Le PSTI est le régime britannique de sécurité des produits connectables grand public, fixé par le Product Security and Telecommunications Infrastructure Act 2022 et par des règlements en vigueur depuis le 29 avril 2024. Les fabricants ne doivent pas utiliser de mots de passe par défaut universels, doivent publier la manière de signaler les failles de sécurité et doivent publier une durée minimale de mises à jour de sécurité.
Offre Free, sans carte bancaire.
Qu’est-ce que le PSTI ?
PSTI est le sigle du Product Security and Telecommunications Infrastructure Act 2022. La partie 1 de cette loi donne au gouvernement britannique le pouvoir de fixer des exigences de sécurité pour les produits connectables, et le Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023 en fixent les trois premières. Ce règlement est entré en vigueur le 29 avril 2024 et s’étend à l’Angleterre et au pays de Galles, à l’Écosse et à l’Irlande du Nord.
La partie 2 de la loi traite des infrastructures de télécommunications, par exemple des droits des opérateurs de réseau d’installer des équipements. Ce guide porte sur la partie 1, le régime de sécurité des produits, c’est-à-dire ce que les fabricants entendent par conformité au PSTI.
Quels produits sont concernés ?
Le régime s’applique aux produits connectables concernés mis à disposition de clients au Royaume-Uni, les consommateurs en premier lieu. La loi couvre deux types de produits : les produits connectables à internet, qui se connectent au moyen de la suite de protocoles Internet (IP), et les produits connectables à un réseau, qui n’accèdent pas eux-mêmes à internet mais se connectent à un produit qui, lui, y accède. Une caméra connectée, une enceinte connectée et un capteur relié à un hub peuvent tous entrer dans le champ.
Les fabricants établis hors du Royaume-Uni sont concernés lorsque leurs produits sont vendus à des clients britanniques. L’annexe 3 du règlement exclut certaines catégories parce que d’autres règles s’en occupent déjà :
- Les ordinateurs de bureau et portables, et les tablettes qui ne peuvent pas se connecter à un réseau cellulaire, sauf s’ils sont conçus exclusivement pour des enfants de moins de 14 ans.
- Les dispositifs médicaux couverts par les Medical Devices Regulations 2002.
- Les produits de compteurs intelligents installés par des fournisseurs d’énergie titulaires d’une licence et garantis dans le cadre d’un schéma approuvé.
- Les bornes de recharge de véhicules électriques couvertes par les Electric Vehicles (Smart Charge Points) Regulations 2021.
- Certains produits mis à disposition en Irlande du Nord au titre de la législation de l’UE applicable listée dans le cadre de Windsor.
Les trois exigences de sécurité du PSTI
L’annexe 1 du règlement de 2023 fixe trois exigences pour les fabricants. Chacune vise une faiblesse courante et bien documentée des appareils grand public. L’annexe 2 ajoute une voie vers la conformité réputée acquise, par le biais de dispositions nommées de l’ETSI EN 303 645 et de l’ISO/IEC 29147.
| Exigence | Ce qu’elle demande | Conformité réputée acquise |
|---|---|---|
| Pas de mots de passe par défaut universels | Les mots de passe doivent être uniques pour chaque produit ou définis par l’utilisateur. Les mots de passe uniques ne doivent pas suivre des compteurs incrémentaux, ni être dérivés d’informations publiques, ni de numéros de série sans cryptographie reconnue, ni être faciles à deviner. | ETSI EN 303 645, disposition 5.1-1, et 5.1-2 le cas échéant |
| Informations sur la manière de signaler les failles de sécurité | Publier au moins un point de contact pour signaler les failles de sécurité, et indiquer quand la personne qui signale recevra un accusé de réception puis des points d’avancement jusqu’à la résolution du problème. | ETSI EN 303 645, disposition 5.2-1, ou ISO/IEC 29147, paragraphes 6.2.2, 6.2.5 et 6.5 |
| Informations sur les durées minimales de mises à jour de sécurité | Publier la durée de support définie dans un langage clair qu’un lecteur non technique comprend, avec la même visibilité lorsque le fabricant vend le produit sur son propre site web. Elle peut être prolongée mais pas raccourcie. | ETSI EN 303 645, disposition 5.3-13 |
Qui doit faire quoi
Les fabricants doivent respecter les exigences de sécurité, examiner les manquements potentiels à la conformité et conserver des registres. Une déclaration de conformité doit accompagner le produit. Les importateurs et les distributeurs ont leurs propres obligations : vérifier que la déclaration de conformité est présente, ne pas fournir de produits présentant un manquement à la conformité et agir lorsqu’ils en constatent un.
L’annexe 4 du règlement fixe le contenu minimal de la déclaration de conformité :
- Le type de produit et le lot.
- Le nom et l’adresse de chaque fabricant et de tout mandataire.
- Une déclaration indiquant qu’elle a été établie par le fabricant ou en son nom, et que, de l’avis du fabricant, les exigences de sécurité, ou les conditions de conformité réputée acquise, sont remplies.
- La durée de support définie au moment où le produit a été fourni pour la première fois.
- Le nom, la fonction et la signature du signataire, ainsi que le lieu et la date d’émission.
Contrôle et sanctions
L’Office for Product Safety and Standards (OPSS) fait appliquer le régime pour le compte du Secretary of State. La loi prévoit des avis de mise en conformité, des avis d’arrêt et des avis de rappel, ainsi que la confiscation des produits non conformes.
Une sanction pécuniaire peut atteindre le plus élevé des deux montants suivants : 10 millions de livres sterling ou 4 % du chiffre d’affaires mondial pris en compte de l’entreprise. Une pénalité journalière pouvant aller jusqu’à 20 000 livres sterling peut s’y ajouter pour chaque jour où le manquement se poursuit.
Le PSTI et le règlement européen sur la cyberrésilience
Les produits vendus au Royaume-Uni et dans l’UE sont soumis aux deux régimes. Le règlement sur la cyberrésilience (Cyber Resilience Act, CRA) est plus large : il couvre les produits comportant des éléments numériques en général, fixe des exigences essentielles de conception, de développement et de gestion des vulnérabilités, demande un SBOM et impose la notification des vulnérabilités activement exploitées depuis le 11 septembre 2026. Le PSTI est plus étroit et s’applique aux produits connectables grand public au Royaume-Uni depuis avril 2024.
Les trois exigences du PSTI correspondent à des pratiques que le CRA attend aussi : pas de mots de passe par défaut, un contact pour les signalements de vulnérabilités et une durée de support déclarée. Le travail réalisé pour un régime est réutilisable pour l’autre, mais respecter le PSTI ne démontre pas la conformité au CRA.
Disponible aujourd’hui dans KROMSE
KROMSE n’évalue ni ne certifie la conformité au PSTI et ne prépare pas de déclarations de conformité ; il fournit les preuves sur les vulnérabilités dont dépendent votre processus de signalement et votre durée de support.
- Les vulnérabilités connues dans les logiciels et le firmware basé sur Linux d’un produit connecté, avec les preuves et les limites de couverture.
- Les erreurs de configuration et les secrets embarqués dans le système de fichiers racine extrait d’une image firmware ; les valeurs des secrets ne sont jamais stockées.
- Des SBOM CycloneDX et SPDX pour chaque analyse.
- Un enrichissement CISA KEV, FIRST EPSS, NVD et ENISA EUVD sur les constats, les vulnérabilités connues pour être exploitées étant signalées.
Questions fréquentes
Que signifie PSTI ?
Product Security and Telecommunications Infrastructure, d’après le Product Security and Telecommunications Infrastructure Act 2022. Son régime de sécurité des produits (partie 1) s’applique par le biais du règlement de 2023, en vigueur depuis le 29 avril 2024.
Quand le PSTI est-il entré en vigueur ?
Les exigences de sécurité s’appliquent depuis le 29 avril 2024, au titre du Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023, SI 2023/1007.
Le PSTI s’applique-t-il aux produits fabriqués hors du Royaume-Uni ?
Oui. Ce qui compte, c’est que le produit soit mis à disposition de clients au Royaume-Uni. Les fabricants étrangers sont concernés, et les importateurs et distributeurs britanniques ont leurs propres obligations, notamment vérifier la présence de la déclaration de conformité.
L’ETSI EN 303 645 est-elle obligatoire au titre du PSTI ?
Non. Les exigences légales figurent à l’annexe 1 du règlement. Respecter les dispositions de l’ETSI EN 303 645 listées à l’annexe 2, ou l’ISO/IEC 29147 pour le signalement des vulnérabilités, est une voie vers la conformité réputée acquise, ce qui explique que de nombreux fabricants l’utilisent.
KROMSE rend-il mon produit conforme au PSTI ?
Non. KROMSE ne certifie pas la conformité et ne prépare pas de déclarations de conformité. Il détecte les vulnérabilités connues dans les logiciels et le firmware basé sur Linux, produit des SBOM et consigne les décisions, ce qui soutient la gestion des vulnérabilités sur laquelle reposent votre contact de signalement et votre durée de support.
Guides associés
Sources
- Product Security and Telecommunications Infrastructure Act 2022, legislation.gov.uk
- The PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, legislation.gov.uk
- DSIT : le régime britannique de sécurité des produits PSTI, GOV.UK
- Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), EUR-Lex