Point cybersécurité : tendances, alertes et bonnes pratiques

Les certificats Secure Boot utilisés depuis 2011 arrivent à expiration en juin et octobre 2026. Les dates précises sont :
• Microsoft Corporation KEK CA 2011 : 24 juin 2026
• Microsoft Corporation UEFI CA 2011 : 27 juin 2026
• Microsoft Option ROM UEFI CA 2011 : 27 juin 2026
• Microsoft Windows Production PCA 2011 : 19 octobre 2026

Les PC ne seront pas bloqués du jour au lendemain, mais les appareils non mis à jour glisseront silencieusement vers un état de sécurité dégradé, sans possibilité de recevoir les correctifs de démarrage critiques pendant des années.

Microsoft automatise leur remplacement via les mises à jour Windows (les nouveaux certificats « Windows UEFI CA 2023 »), et la majorité des utilisateurs de Windows 11 recevra la mise à jour automatiquement.
Qui est à risque ? Les PC sous Windows 10 sans ESU (Extended Security Updates) ne recevront pas les nouveaux certificats.
Le CERT-FR (ANSSI) a d’ailleurs publié un avis officiel en avril 2026 pour alerter les organisations françaises.

Le CRA est entré en vigueur le 10 décembre 2024. Les principales obligations s’appliqueront à partir du 11 décembre 2027, avec des obligations de notification qui s’appliquent dès le 11 septembre 2026.

Le lien avec le Secure Boot est direct : bien que la loi n’utilise pas toujours le terme « secure boot », la protection d’intégrité au démarrage devient rapidement le standard de base sous le CRA et les nouvelles règles de cybersécurité de la Radio Equipment Directive (RED). Pour les fabricants, si un produit est non sécurisé par conception ou livré sans protections d’intégrité, c’est le fabricant — et non l’acheteur — qui porte le risque réglementaire.

Des normes en cours de rédaction par ETSI, CEN et CENELEC incluent des standards spécifiques pour les boot managers, et ces drafts peuvent d’ores et déjà servir d’orientation pour les décisions d’ingénierie dans le cadre du CRA.

Sur W10, si majoritairement sur IoT LTSC 2021 ou 2019, cas le plus simple : les certificats arrivent via Windows Update, et mise à jour BIOS/firmware suffit à couvrir la partie UEFI. Pas besoin d’une communication d’urgence, mais une note informative de bonne pratique reste conseillée.
Si LTSB 2016 : fin de support en octobre 2026, et ESU uniquement via l’OEM du matériel — donc à investiguer dès maintenant avec le fabricant concerné.

Retrouver notre offre informatique industrielle !