La Directive RED 3 désigne généralement le renforcement des exigences de cybersécurité applicables à certains équipements radioélectriques vendus dans l’Union européenne. Depuis le 1er août 2025, les fabricants doivent intégrer ces exigences à leur démarche de conformité, en complément des règles déjà prévues pour la sécurité des produits et le marquage CE.
L’article en bref
La Directive RED 3 renforce les garanties attendues de certains appareils connectés. Comprendre son articulation avec la réglementation européenne aide à anticiper les vérifications nécessaires avant leur mise sur le marché.
- Un cadre renforcé : Les exigences de cybersécurité complètent la directive sur les équipements radioélectriques.
- Des appareils concernés : Certains objets connectés doivent protéger les réseaux, les données ou les transactions.
- Une échéance passée : Les nouvelles exigences s’appliquent depuis le 1er août 2025.
- Une conformité à documenter : Normes, évaluations et marquage CE doivent correspondre aux exigences applicables.
À retenir : la conformité dépend des caractéristiques et des usages de chaque équipement.
Directive RED 3 : un renforcement de la réglementation européenne
Le sigle RED renvoie à la directive européenne sur les équipements radioélectriques, la directive 2014/53/UE. La « Directive RED 3 » ou « RED 3.0 » est une appellation courante pour désigner l’ajout d’exigences de cybersécurité à ce cadre, et non une nouvelle directive autonome.
Ces exigences proviennent du règlement délégué (UE) 2022/30, modifié par le règlement délégué (UE) 2023/2444. Elles s’appliquent depuis le 1er août 2025 aux catégories d’appareils visées. Le texte européen complet est consultable sur EUR-Lex.
Un point de vocabulaire évite une confusion fréquente : la directive RED III concerne, elle, la promotion des énergies renouvelables. Malgré la proximité des sigles, ses objectifs et son champ d’application n’ont pas de rapport avec les règles de cybersécurité des appareils radio.
Quels équipements radioélectriques sont concernés par RED 3 ?
Le périmètre dépend des fonctions de l’appareil. Les exigences supplémentaires visent notamment certains équipements connectés à internet, directement ou par l’intermédiaire d’un autre produit, ainsi que des appareils capables de traiter des données personnelles, de trafic ou de localisation.
Sont également visés certains équipements permettant le transfert d’argent ou de valeurs monétaires virtuelles. Un fabricant doit donc examiner les usages réels du produit et les données qu’il traite, plutôt que de se fier uniquement à son nom commercial ou à sa catégorie générale.
Une entreprise fictive, Aster, commercialise un traceur connecté pour animaux. Si son appareil relève du champ de la directive et transmet des données de localisation via un réseau, l’équipe produit doit vérifier les exigences applicables à la protection des données et à la sécurité des communications avant de finaliser son dossier de conformité.
Les principales exigences de cybersécurité prévues
Le règlement délégué complète l’article 3, paragraphe 3, de la directive RED par trois exigences principales. Elles portent respectivement sur la protection des réseaux, la confidentialité et la protection contre certaines utilisations frauduleuses.
- Protection des réseaux : l’équipement ne doit pas nuire au réseau ni en détourner les ressources de manière à provoquer une dégradation inacceptable du service.
- Vie privée et données : les appareils concernés doivent comporter des garanties adaptées à la protection des données personnelles et de la vie privée.
- Prévention de la fraude : certains équipements doivent intégrer des mesures destinées à prévenir les fraudes liées aux transactions électroniques.
Ces objectifs ne prescrivent pas une solution technique unique pour tous les produits. Ils invitent plutôt à traduire les risques propres à chaque appareil en choix de conception, tests et preuves documentées.
Transposition nationale et calendrier d’application en Europe
La directive 2014/53/UE a été intégrée dans les droits nationaux des États membres. En France, son cadre figure notamment dans le décret n° 2017-599 du 21 avril 2017 relatif aux équipements radioélectriques. Cette transposition nationale organise l’application des règles générales, dont les exigences essentielles de santé, de sécurité, de compatibilité électromagnétique et d’utilisation efficace du spectre.
La situation est différente pour les nouvelles exigences de cybersécurité : le règlement délégué s’applique directement dans les États membres, sans transposition nationale supplémentaire. Pour les fabricants et importateurs, l’échéance est déjà effective : depuis le 1er août 2025, les produits concernés mis sur le marché européen doivent respecter les exigences applicables.
Le tableau ci-dessous distingue les principaux textes et leur rôle. Pour un produit particulier, la qualification dépend toutefois de ses caractéristiques et de ses usages.
| Texte ou dispositif | Objet | Effet pratique |
|---|---|---|
| Directive 2014/53/UE (RED) | Cadre général des équipements radioélectriques | Exigences essentielles et procédures de conformité |
| Règlement délégué (UE) 2022/30, modifié en 2023 | Ajout d’exigences de cybersécurité pour certains appareils | Application directe depuis le 1er août 2025 |
| Transposition nationale | Intégration de la directive RED dans les droits nationaux | Règles nationales d’application et de contrôle |
| Normes harmonisées | Moyens techniques d’évaluer certaines exigences | Peuvent contribuer à établir une présomption de conformité selon leur portée |
Normes harmonisées, évaluation et marquage CE
Les normes harmonisées aident les fabricants à démontrer qu’un produit répond aux exigences européennes. Pour la cybersécurité RED, la série EN 18031 concerne différentes familles d’équipements et de risques. Son utilisation peut faciliter l’évaluation, mais sa portée doit être vérifiée : la conformité à une norme ne couvre pas automatiquement chaque obligation ni chaque configuration du produit.
Lorsque les normes applicables ne sont pas utilisées, ou ne couvrent qu’une partie des exigences, une autre voie d’évaluation prévue par la directive peut être nécessaire, avec l’intervention éventuelle d’un organisme notifié. Le choix dépend du dossier technique et de la procédure correspondant au produit.
Le marquage CE reste l’aboutissement visible d’une démarche plus large : évaluation des risques, essais pertinents, documentation technique et déclaration UE de conformité. Il ne constitue pas, à lui seul, une certification générale de cybersécurité ni une garantie que tout appareil connecté est sûr dans tous les contextes d’usage.
Une démarche concrète pour préparer la conformité réglementaire
Pour éviter de découvrir tardivement un écart, une entreprise peut organiser le travail autour de quelques étapes. L’essentiel est d’associer dès la conception les équipes techniques, produit et conformité, plutôt que de traiter la cybersécurité comme une vérification finale.
- Décrire le produit : recenser ses fonctions radio, ses connexions, ses données et ses usages prévus.
- Déterminer les exigences applicables : vérifier si l’appareil entre dans une ou plusieurs catégories visées par le règlement.
- Choisir les méthodes d’évaluation : identifier les normes harmonisées pertinentes et leurs limites pour le produit.
- Tester et corriger : documenter les mesures de sécurité retenues, les essais réalisés et les écarts corrigés.
- Constituer le dossier : réunir les éléments techniques et la déclaration nécessaires à la mise sur le marché.
Pour une petite structure comme Aster, cette démarche peut commencer par un inventaire des données et des interfaces de l’appareil. Ce premier travail rend les échanges avec les laboratoires ou les spécialistes plus précis et évite de confondre conformité documentaire et sécurité réelle.
Ce que RED 3 change pour le marché unique européen
La réglementation européenne vise un cadre commun : un produit conforme aux règles applicables peut accéder au marché unique européen sans devoir suivre des exigences nationales divergentes pour chaque pays. Cette harmonisation ne supprime toutefois ni les contrôles de marché ni la responsabilité des opérateurs économiques.
Les fabricants restent au premier plan pour concevoir et documenter la conformité. Les importateurs doivent s’assurer que les produits introduits sur le marché respectent les obligations pertinentes, tandis que les distributeurs doivent agir avec diligence. Les responsabilités précises varient selon le rôle exercé et le produit concerné.
La cybersécurité devient ainsi un élément de la sécurité des produits, au même titre que les autres risques pris en compte dans leur conception. Pour les acteurs concernés, l’enjeu n’est pas seulement d’apposer le marquage CE, mais de pouvoir expliquer les choix techniques et démontrer que les exigences applicables ont été traitées.
Questions fréquentes sur la Directive RED 3
La Directive RED 3 est-elle une nouvelle directive européenne ?
Pas à proprement parler. RED 3 ou RED 3.0 est une appellation courante pour le renforcement des exigences de cybersécurité de la directive 2014/53/UE, introduit par le règlement délégué (UE) 2022/30 et son texte modificatif.
Depuis quand les exigences RED 3 s’appliquent-elles ?
Les exigences supplémentaires s’appliquent depuis le 1er août 2025 aux équipements radioélectriques entrant dans leur champ. Les opérateurs doivent vérifier le statut de chaque produit mis sur le marché.
Tous les objets connectés doivent-ils respecter les mêmes règles ?
Non. L’application dépend notamment des fonctions radio, de la connexion à internet, des données traitées et des possibilités de transaction. Il faut examiner les caractéristiques et les usages de chaque équipement.
Les normes harmonisées suffisent-elles à prouver la conformité ?
Elles peuvent aider à démontrer le respect d’exigences couvertes et, selon leur publication et leur portée, donner une présomption de conformité. Elles ne remplacent pas l’analyse du produit ni la vérification des exigences non couvertes.
Je suis Camille Rousset, ancienne conseillère d’orientation devenue rédactrice spécialisée formation, carrière et monde du travail. Études, premier emploi, reconversion, recrutement, création d’entreprise : j’écris des guides concrets pour aider chacun à construire son projet pro à toutes les étapes — du collégien qui choisit ses options au salarié qui se lance en freelance.
