Une console qui reçoit des mises à jour de sécurité à vie, c’est le fantasme de tout gamer qui garde sa Switch ou sa PS5 jusqu’à ce qu’elle rende l’âme. Mais ce fantasme va prendre un sacré coup dès la fin 2027 : le Cyber Resilience Act européen impose aux fabricants d’écrire noir sur blanc, sur l’emballage ou au point de vente, la date exacte à laquelle les mises à jour s’arrêtent. Fini le flou artistique, fini l’illusion qu’un boîtier qui s’allume encore reste protégé pour toujours.
À retenir
- Une ligne obligatoire sur les boîtes révélera quand les mises à jour de sécurité s’arrêtent vraiment
- Les constructeurs tenteront de contourner la loi en jouant sur la définition même du terme ‘support’
- Microsoft a déjà commencé : Xbox Series X protégée jusqu’en 2028, mais les accessoires arrêtés en 2025
Ce que dit vraiment le Cyber Resilience Act
Le règlement européen 2024/2847, plus connu sous son petit nom de Cyber Resilience Act (CRA), n’est pas né de la dernière pluie. Le CRA est entré en vigueur le 10 décembre 2024, et ses obligations principales s’appliqueront à partir du 11 décembre 2027, avec des obligations de signalement dès le 11 septembre 2026. Concrètement pour les joueurs, ça veut dire qu’à partir de fin 2027, aucune console, aucun périphérique connecté ne pourra être vendu dans l’UE sans respecter ces nouvelles règles de transparence.
Le cœur du sujet, c’est la fameuse « période de support ». Le fabricant doit garantir que les vulnérabilités d’un produit numérique sont traitées pendant au moins cinq ans, sauf si la durée de vie attendue du produit est plus courte, et il doit afficher la date de fin de support au moment de l’achat. La ligne qu’on va voir apparaître sur les boîtes, ou plus probablement sur une étiquette CE et dans la fiche produit en ligne, indique une date précise, pas un vague « mises à jour à vie » qui ne veut rien dire juridiquement. Chaque mise à jour de sécurité doit rester disponible pendant un minimum de dix ans ou le reste de la période de support, la durée la plus longue étant retenue, avec affichage de la date de fin (au minimum mois et année) au moment de l’achat.
Les enjeux financiers ne sont pas symboliques. Un fabricant qui ne joue pas le jeu s’expose à des sanctions qui font réfléchir n’importe quel service juridique, quel que soit le poids de la marque sur le marché du gaming.
Un exemple qui existe déjà, sans attendre l’Europe
Le plus intéressant, c’est que certains constructeurs anticipent déjà cette logique sans y être obligés. Microsoft publie depuis un moment une page dédiée qui détaille, console par console et accessoire par accessoire, la date limite de réception des correctifs de sécurité. La Xbox Series X et la Xbox Series S continueront de recevoir des mises à jour de sécurité au minimum jusqu’au 10 novembre 2028, tandis que les manettes en recevront jusqu’en décembre 2025. Huit ans de garantie sur le boîtier principal, deux fois moins sur les accessoires : voilà exactement le genre d’écart que la loi européenne va rendre visible dès le déballage, plutôt que planqué dans une page support qu’on ne consulte jamais.
Ce précédent Xbox montre bien la mécanique qui va se généraliser : une date ferme, un engagement chiffré, et la distinction claire entre le support matériel principal et celui des périphériques qui l’accompagnent. Sony et Nintendo n’ont pas (encore) communiqué d’équivalent aussi précis pour leurs machines, mais la pression réglementaire va les pousser dans cette direction, qu’ils le veuillent ou non.
Pourquoi cette ligne change vraiment la donne
Le problème de fond, c’est qu’un joueur moyen ne fait jamais la différence entre « la console s’allume » et « la console est protégée ». Un firmware qui ne reçoit plus de correctifs reste parfaitement fonctionnel pour jouer hors ligne, mais devient une porte ouverte dès qu’il touche le PSN, le Xbox Live ou le eShop. C’est exactement ce que la réglementation veut corriger : le CRA s’attaque au niveau de cybersécurité insuffisant de nombreux produits et au manque de mises à jour de sécurité en temps voulu.
Il faut quand même nuancer un point technique important. Le CRA ne s’applique pas rétroactivement à toutes les consoles déjà dans le commerce. Les produits placés sur le marché avant le 11 décembre 2027 ne sont pas rétroactivement soumis au Cyber Resilience Act, sauf s’ils subissent une « modification substantielle » après cette date, mais le signalement des vulnérabilités s’applique dès le 11 septembre 2026 à tous les produits, y compris les anciens. Traduction gaming : votre PS5 achetée en 2023 ne sera pas soumise aux mêmes obligations d’étiquetage qu’une console qui sortira en 2028, sauf si elle reçoit un jour un firmware majeur qui change sa nature.
Un autre écueil guette : les fabricants adorent lire la loi entre les lignes. Sur un texte européen voisin, celui sur l’écoconception des smartphones, un constructeur a par exemple estimé que l’UE n’imposerait pas de durée minimale de support pour les mises à jour, mais seulement que les mises à jour proposées soient gratuites, tout en continuant à ne garantir qu’environ quatre ans de sécurité garantie sur ses nouveaux appareils. Rien ne dit que l’industrie du gaming ne tentera pas la même gymnastique juridique une fois la ligne obligatoire imprimée sur les boîtes : afficher une date, certes, mais négocier ce qu’elle recouvre vraiment reste tout un sport pour les avocats des constructeurs.
Sources : playmoweb.com | usine-digitale.fr