Linux Foundation Education a lancé le 27 octobre 2026 EU Cyber Resilience Act (CRA) for Embedded Systems (AC6403), une formation intermédiaire d’une journée destinée aux équipes qui conçoivent, sécurisent ou évaluent des produits embarqués vendus dans l’Union européenne. Le cours ne prépare pas à un nouvel examen de certification : il délivre un certificat de fin de formation et vise surtout à transformer les obligations du Cyber Resilience Act en décisions d’ingénierie, preuves et procédures exploitables.
La nouveauté est concrète pour les ingénieurs firmware et les responsables produit. AC6403 relie la classification CRA, le secure boot, les mises à jour, les SBOM, le suivi des CVE, la documentation technique et l’évaluation de conformité. Il ne s’agit donc pas d’une présentation juridique générale, mais d’un parcours encadré autour du cycle de vie d’un système embarqué.
AC6403 en bref
Linux Foundation Education présente AC6403 comme une formation instructor-led de niveau intermédiaire, proposée en direct à distance ou en salle selon les sessions. L’annonce officielle du 27 octobre 2026 (nouvel onglet) indique qu’elle a été développée avec AC6 et s’appuie sur une étude de cas portant sur un système embarqué.
| Élément | Information officielle vérifiée le 30 octobre 2026 |
|---|---|
| Code | AC6403 |
| Intitulé | EU Cyber Resilience Act (CRA) for Embedded Systems |
| Niveau | Intermédiaire |
| Format | Une journée avec instructeur, à distance ou en salle selon la session |
| Durée annoncée | Une journée de cours encadré |
| Prix affiché | 995 USD |
| Inclus | Classe en direct, exercices, ressources et certificat de fin de formation |
| Première session affichée | 14 décembre 2026, 9 h–17 h, fuseau Europe/Paris, virtuelle |
La page officielle du cours AC6403 (nouvel onglet) affichait également des sessions virtuelles le 25 janvier 2027 en Europe/Paris et le 8 mars 2027 en US/Central. Le calendrier et le tarif peuvent évoluer : il faut les vérifier au moment de l’inscription, notamment si l’entreprise exige une facture dans une devise ou une région précise.
Pourquoi cette formation arrive maintenant
Le calendrier réglementaire explique l’intérêt du lancement. D’après la Commission européenne (nouvel onglet), le Cyber Resilience Act est entré en vigueur le 10 décembre 2024. Les obligations de signalement s’appliquent depuis le 11 septembre 2026, tandis que les principales obligations s’appliqueront à partir du 11 décembre 2027.
Une équipe embarquée ne peut pas attendre la fin de 2027 pour commencer. Elle doit identifier les produits concernés, documenter leurs composants, organiser la gestion des vulnérabilités et intégrer la sécurité dans les décisions de conception. Ces travaux touchent les cycles matériels, les versions de firmware, les bibliothèques open source, les composants tiers et la durée de support. Ils prennent généralement plus de temps qu’une simple mise à jour documentaire.
AC6403 intervient donc après l’entrée en application des obligations de signalement et avant l’échéance principale. Sa valeur est d’aider les équipes à traduire un texte réglementaire en tâches attribuables : qui tient l’inventaire, qui surveille les CVE, qui décide qu’une modification est substantielle, quelles preuves sont conservées et comment les choix de sécurité apparaissent dans le dossier de conformité.
Ce que couvre réellement le programme
Le programme officiel est organisé autour de cinq blocs. Le premier présente le CRA, son contexte, les catégories de produits et ses relations avec d’autres textes européens. Le but n’est pas de mémoriser des articles de loi, mais de déterminer si un produit entre dans le champ du règlement et comment sa classification influence la conformité.
Exigences essentielles et responsabilités
Le deuxième bloc traite des responsabilités du fabricant, de la gestion des vulnérabilités, du signalement, de la conformité et des modifications substantielles. Cette dernière notion est particulièrement importante pour un produit embarqué : un changement de firmware, de composant ou d’architecture peut modifier le niveau de risque et imposer une nouvelle analyse.
La formation doit aider à poser des questions vérifiables. Le produit est-il livré avec une configuration sécurisée ? Les clés sont-elles protégées ? Les correctifs peuvent-ils être distribués pendant la période de support ? L’équipe sait-elle distinguer une correction ordinaire d’une modification qui remet en cause le dossier de conformité ?
Évaluation de conformité et marquage CE
Le troisième bloc aborde les procédures de conformité, le marquage CE, la distinction entre produits importants et critiques et une étude de cas appliquée aux systèmes embarqués. Une équipe technique ne remplace pas le service juridique ou un organisme notifié, mais elle doit fournir des éléments fiables : architecture, analyse de risque, composants, mécanismes de protection, tests et justification des décisions.
Cette approche est utile aux ingénieurs qui travaillent déjà sur des environnements industriels. Le parcours Cisco OT Security Practitioner et l’examen 810-115 OTSEC aborde la visibilité, les actifs et la sécurité opérationnelle ; AC6403 ajoute une perspective produit et conformité européenne centrée sur le matériel et le firmware.
Sécurité pendant tout le cycle de vie
Le quatrième bloc porte sur les obligations du fabricant, la chaîne d’approvisionnement, les composants tiers, l’analyse de risque et la diligence raisonnable. Pour les produits embarqués, cela implique de savoir précisément quelles versions sont livrées, quels composants open source sont intégrés et comment une vulnérabilité affecte les versions encore supportées.
La SBOM devient ici un outil opérationnel plutôt qu’un document produit une seule fois. Elle doit rester reliée à la version réelle du firmware et à une procédure de suivi. Une alerte CVE ne suffit pas : l’équipe doit déterminer l’exposition, la sévérité, les mesures compensatoires, la nécessité d’un correctif et les obligations de communication.
Secure boot, mises à jour et communications
Le cinquième ensemble réunit les implémentations techniques : protection des clés, secure boot, durcissement, mises à jour, outils d’automatisation, communications IP et TLS, réseaux sans fil et protocoles à faible consommation. L’annonce cite aussi Yocto Project et Zephyr RTOS comme environnements dans lesquels les choix de sécurité peuvent être matérialisés.
Le cours ne promet pas de transformer en une journée un débutant en spécialiste de Yocto, Zephyr, TLS et conformité. Il vise plutôt à montrer comment ces mécanismes participent à une même démonstration : empêcher l’exécution d’un firmware non autorisé, protéger la distribution d’une mise à jour, conserver les preuves et réduire l’exposition des interfaces réseau.
À qui la formation est-elle destinée ?
Linux Foundation Education cible les ingénieurs embarqués, architectes système, responsables produit, ingénieurs conformité et équipes de test. Le prérequis annoncé est une connaissance de base des systèmes embarqués, notamment du firmware, du démarrage, des mises à jour et du cycle de développement. Une familiarité avec les composants open source et les réseaux est également utile.
AC6403 semble pertinent si vous devez :
- commercialiser ou maintenir un produit comportant des éléments numériques dans l’Union européenne ;
- coordonner firmware, matériel, cybersécurité, qualité et conformité ;
- construire une SBOM exploitable et un processus de suivi des vulnérabilités ;
- préparer une analyse de risque, une documentation technique ou une déclaration de conformité ;
- clarifier la responsabilité des équipes pendant la période de support.
En revanche, la formation est probablement trop spécialisée pour une personne recherchant une introduction générale à Linux, à la cybersécurité ou aux conteneurs. Pour consolider d’abord des bases plus transversales, les microcours Linux Foundation sur YAML et Docker constituent un parcours plus accessible, mais ils ne couvrent pas la conformité CRA.
Comment préparer cette journée pour en tirer de la valeur
Une journée est courte. Le meilleur moyen d’éviter une formation purement théorique est d’arriver avec un exemple de produit, même simplifié. Préparez avant la session une fiche décrivant le matériel, le firmware, le mode de mise à jour, les bibliothèques principales, les interfaces réseau et la durée de support prévue.
Vous pouvez ensuite organiser votre préparation autour de quatre livrables :
- Carte du produit : composants matériels, logiciels, services associés et acteurs de la chaîne d’approvisionnement.
- Scénarios de risque : démarrage non autorisé, clé compromise, bibliothèque vulnérable, mise à jour interrompue ou interface réseau exposée.
- État des preuves : SBOM existante, rapports de test, politique de divulgation, journal des versions et documentation de conception.
- Questions de gouvernance : propriétaire du produit, responsable du suivi des CVE, processus de signalement et décision de fin de support.
Après la formation, transformez l’étude de cas en backlog. Chaque écart doit avoir un propriétaire, une preuve attendue et une échéance. Séparez les corrections techniques — secure boot, rotation de clés, chiffrement ou durcissement — des travaux de processus comme la gestion des vulnérabilités, la conservation des preuves et l’information des clients.
Certificat de cours ou certification professionnelle ?
La distinction est essentielle : AC6403 est une formation avec certificat de fin de formation. Les pages officielles consultées ne décrivent ni examen surveillé, ni score de réussite, ni badge professionnel autonome, ni durée de validité d’une certification. Il ne faut donc pas la présenter comme une nouvelle certification Linux Foundation.
Pour un employeur, sa valeur dépendra surtout de l’application au produit réel. Un participant peut démontrer son acquis en produisant une classification argumentée, une matrice d’exigences, un plan de traitement des vulnérabilités et une liste de preuves à conserver. Ces livrables sont plus convaincants qu’une simple mention de participation.
Faut-il s’inscrire ?
AC6403 mérite l’attention des équipes embarquées qui ont déjà identifié un impact CRA et veulent aligner rapidement ingénierie, produit et conformité. Le format d’une journée limite la profondeur technique, mais il peut fournir une structure commune avant de lancer des chantiers plus longs.
Avant de payer 995 USD, vérifiez que le participant maîtrise les bases annoncées et qu’il pourra appliquer le contenu à un produit concret. Confirmez aussi la session, le fuseau horaire, le mode de livraison et les conditions d’achat. Si l’objectif est d’obtenir une certification reconnue par un examen, ce cours ne répond pas à ce besoin ; si l’objectif est de construire une démarche CRA cohérente pour un produit embarqué, son positionnement est beaucoup plus pertinent.
