Une réglementation européenne de plus, à première vue. Sauf que celle-là finira probablement par se voir dans le catalogue des marques que vous achetez. Le 11 septembre 2026, les obligations de signalement du Cyber Resilience Act entrent en application, et le matériel de simracing coche à peu près toutes les cases pour être concerné.
Ce qui change le 11 septembre
À partir de cette date, tout fabricant vendant dans l'Union européenne un produit comportant des éléments numériques devra signaler à son CSIRT national et à l'agence européenne de cybersécurité toute vulnérabilité activement exploitée. Les délais sont serrés.
- Alerte précoce sous 24 heures
- Notification complète sous 72 heures
- Rapport final sous 14 jours
Le règlement (UE) 2024/2847 est entré en vigueur le 11 décembre 2024. Son régime complet, avec conception sécurisée, évaluation de conformité, documentation technique et marquage CE lié à la cybersécurité, ne s'appliquera qu'au 11 décembre 2027. Le devoir de signalement passe volontairement en premier, les autorités voulant une visibilité rapide sur les failles exploitées.
Pourquoi le simracing est concerné
Le règlement couvre les produits comportant des éléments numériques, c'est-à-dire les produits matériels et logiciels dont l'usage prévu ou raisonnablement prévisible inclut une connexion directe ou indirecte à un appareil ou à un réseau. Une base direct drive branchée en USB sur un PC répond à cette définition sans avoir besoin d'un avocat.
Il suffit ensuite de regarder ce qui compose un rig moderne :
- Le firmware de chaque base direct drive, pédalier, frein à main et boîte de vitesses, mis à jour tout au long de la vie du produit
- Le logiciel compagnon Windows de chaque grande marque, qui gère la configuration, les profils de retour de force et l'envoi des firmwares
- Les volants sans fil communiquant en 2,4 GHz ou en Bluetooth
- Les intégrations de télémétrie qui lisent les données en direct et se connectent parfois à des services en ligne
- Les plateformes de mouvement, où la question touche aussi la sécurité physique
L'office fédéral allemand de la sécurité informatique, autorité de surveillance du plus gros marché simracing d'Europe, illustre d'ailleurs le périmètre avec l'exemple d'un fabricant japonais de consoles vendant dans l'Union.
Le maillon faible n'est pas le volant
Le point sensible, c'est le logiciel. Chaque grande marque livre une application Windows qui installe pilotes ou services avec des privilèges élevés, se met à jour par le réseau et télécharge du firmware vers un périphérique USB. La surface d'attaque existe bel et bien, même si le sujet n'a jamais passionné les forums.
Ce que ça peut changer pour vous
Le texte insiste aussi sur le suivi : les mises à jour de sécurité doivent être fournies pendant une durée cohérente avec la durée de vie attendue du produit. Cela cadre mal avec un marché qui renouvelle ses gammes à toute vitesse et où certains petits fabricants manquent déjà de moyens. Importateurs et distributeurs européens deviennent par ailleurs partie du filtre, ce qui pourrait durcir l'entrée de produits aux processus flous.
Côté utilisateur, rien ne change du jour au lendemain et votre matériel ne devient pas illégal par magie. Mais quelques réflexes deviennent pertinents : vérifier si une marque publie une politique de support et de mises à jour, et si elle la tient ; regarder à quelle fréquence son logiciel de configuration évolue et si les notes de version sont claires ; télécharger pilotes, applications et firmwares uniquement depuis les canaux officiels ; et observer la réactivité du fabricant et du revendeur quand un problème de sécurité ou de stabilité apparaît.
Rien de tout cela ne constitue un conseil juridique, et la réponse définitive pour un produit donné viendra toujours de son fabricant. Mais la tendance de fond est nette : le simracing connecté entre dans l'ère du sécurisé par conception, et cela pourrait rebattre les cartes du marché autant que n'importe quelle nouvelle base direct drive.
