Qu’est-ce que le Cyber Resilience Act (CRA) ?
Le Cyber Resilience Act est le règlement (UE) 2024/2847 du Parlement européen et du Conseil, adopté le 23 octobre 2024. Le texte a été publié au Journal officiel de l’Union européenne (JOUE) le 20 novembre 2024. Il est entré en vigueur le 10 décembre 2024.
Le règlement compte environ 860 pages selon certaines sources et structure une nouvelle approche de la sécurité des produits numériques en Europe. Il s’applique à tout produit comportant des éléments numériques (PDE), qu’il s’agisse de matériel ou de logiciel, mis sur le marché de l’UE. Cette règle vaut même lorsque le fabricant n’est pas établi dans l’Union européenne.
Le CRA s’inscrit dans le « bouclier cyber » européen aux côtés de NIS2, du DSA, de l’AI Act et de DORA. La distinction majeure réside dans le fait que la directive NIS2 régule les organisations et leurs infrastructures, tandis que le CRA régule directement les produits.
Quels produits sont concernés par le CRA ?
Le périmètre du Cyber Resilience Act englobe les Produits comportant des éléments numériques (PDE). Le règlement établit une distinction claire entre plusieurs catégories de produits pour adapter le niveau d’évaluation à la criticité.
Les produits standards relèvent d’une procédure d’auto-évaluation par le fabricant. Les produits importants de Classe I et Classe II, qui incluent les VPN, les pare-feu, les solutions de gestion d’identité et les systèmes d’exploitation, nécessitent une vigilance accrue. Enfin, les produits critiques requièrent une évaluation par un organisme tiers notifié.
La question des logiciels en tant que service (SaaS) soulève souvent des interrogations. Bien que le CRA cible les produits mis sur le marché, un service SaaS intégrant des PDE ou des éléments de traitement à distance peut être soumis au règlement s’il répond aux critères de mise à disposition sur le marché de l’UE. Les éditeurs de SaaS doivent analyser leur offre au regard de la définition des PDE.
Sont exclus du périmètre du CRA les produits déjà régis par des réglementations sectorielles propres. Cela concerne notamment les dispositifs médicaux, les véhicules à moteur, l’aviation et le transport maritime, qui disposent déjà de leurs propres normes de cybersécurité.
Quels acteurs sont concernés : fabricants, importateurs, distributeurs
Trois catégories d’acteurs sont directement concernées par les obligations du CRA : les fabricants, les importateurs et les distributeurs. Chacun assume des responsabilités distinctes dans la chaîne de mise sur le marché.
Un point crucial et souvent sous-estimé par les PME est la requalification d’un acteur en fabricant. Un importateur ou distributeur peut être requalifié de fabricant s’il commercialise le produit sous sa propre marque ou s’il apporte des modifications substantielles à un produit déjà mis sur le marché. Pour un intégrateur qui assemble des composants matériels et installe un système d’exploitation personnalisé, cela signifie qu’il devient le fabricant légal aux yeux du CRA. Il hérite alors de toutes les obligations associées, y compris le marquage CE et la fourniture de correctifs.
En France, la surveillance du marché et l’application du texte s’appuient sur deux entités complémentaires. L’ANSSI cumule trois fonctions : autorité notifiante, coordinateur des vulnérabilités via le CERT-FR, et appui technique à la surveillance du marché. De son côté, l’ANFR intervient spécifiquement sur les équipements radioélectriques pour vérifier leur conformité.
Les logiciels libres et open source sont-ils concernés ?
Le traitement des logiciels libres et open source a été l’un des sujets les plus débattus lors de l’élaboration du texte. Le règlement actuel exclut du périmètre les logiciels libres et open source développés hors activité commerciale.
Cela signifie qu’un projet communautaire maintenu par des bénévoles n’est pas soumis aux exigences du CRA. En revanche, si ce même logiciel open source est intégré, monétisé ou soutenu par une entreprise dans le cadre d’une offre commerciale, l’entité qui le commercialise devient responsable de sa conformité en tant que fabricant.
Calendrier d’application : les dates clés à retenir
Le calendrier d’application du Cyber Resilience Act est échelonné en plusieurs grandes étapes pour laisser le temps aux acteurs de se conformer. Le chapitre IV relatif à la notification des organismes d’évaluation de la conformité s’applique à partir du 11 juin 2026.
Les obligations de signalement des vulnérabilités actives et incidents graves, prévues par l’article 14, s’appliquent à partir du 11 septembre 2026. La majorité des obligations, dont le marquage CE, s’appliqueront pleinement à partir du 11 décembre 2027. Le 27 juillet 2026, la Commission européenne publiera des orientations pratiques pour aider fabricants, développeurs et entreprises à respecter le CRA.
Dès le 11 septembre 2026, les fabricants devront notifier les incidents via une procédure stricte. En cas de vulnérabilité activement exploitée, le fabricant dispose de 24 heures pour une alerte précoce, 72 heures pour une notification complète, puis 14 jours après la mise à disposition d’un correctif pour son rapport final. Pour un incident grave, le délai du rapport final est porté à un mois.
Les signalements doivent être transmis via la plateforme unique de l’ENISA, qui les relaie au CSIRT désigné comme coordinateur (CDaC), conformément à la directive NIS2. Pour un fabricant établi en France, l’interlocuteur direct pour ces signalements est le CERT-FR, rattaché à l’ANSSI. Il est fondamental de noter que les obligations de signalement de l’article 14 s’appliquent aussi aux produits mis sur le marché avant le 11 décembre 2027.
Le CRA impose également une durée d’assistance obligatoire. La fourniture de correctifs de sécurité est généralement d’au moins 5 ans selon le règlement. Certaines sources indiquent que cette durée peut s’étendre jusqu’à 10 ans pour certaines mises à jour, selon la nature du produit et son utilisation prévue.
Sur le plan national, un projet de loi français d’adaptation au droit de l’Union européenne, prévu début 2026, doit compléter la transposition du CRA en droit national. Ce texte définira les modalités exactes de l’application des sanctions par les autorités françaises.
Quelles sanctions en cas de non-conformité ?
L’article 64 du CRA impose aux États membres d’établir des sanctions « effectives, proportionnées et dissuasives ». Les montants des amendes sont calibrés en fonction de la gravité du manquement.
Les amendes pour violation des exigences essentielles de cybersécurité (annexe I) ou d’obligations fondamentales des fabricants peuvent atteindre 15 millions d’euros ou 2,5% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le non-respect d’autres obligations incombant aux mandataires, importateurs, distributeurs ou lié au marquage CE est sanctionné jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial.
La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés et autorités de surveillance est sanctionnée jusqu’à 5 millions d’euros ou 1% du chiffre d’affaires. Au-delà des amendes, les articles 46 à 50 du CRA prévoient des mesures de retrait, de rappel ou de restriction de mise sur le marché des produits non conformes.
Comment se préparer au Cyber Resilience Act
Pour une PME ou un éditeur logiciel français, la préparation au Cyber Resilience Act doit être opérationnelle et anticiper la première échéance de septembre 2026. La première étape consiste à cartographier les produits pour déterminer leur classe (standard, Classe I, Classe II ou critique) et identifier les organismes notifiés requis.
La mise en place d’une SBOM (Software Bill of Materials) est indispensable. Les fabricants doivent recenser précisément les composants tiers et open source intégrés à leurs produits pour pouvoir suivre les vulnérabilités en amont. La gestion des vulnérabilités doit s’inscrire dans un processus continu, avec des canaux de signalement clairs vers le CERT-FR via la plateforme de l’ENISA.
La documentation technique doit être consolidée pour prouver la conformité aux exigences de l’annexe I. Il est également impératif d’établir une politique de cycle de vie des produits garantissant la fourniture de correctifs de sécurité pour une durée d’au moins 5 ans. Pour les distributeurs et intégrateurs, une analyse juridique est nécessaire pour s’assurer de ne pas être requalifiés en fabricants, ce qui modifierait radicalement le niveau d’obligations.
