Le Cyber Resilience Act, ou CRA, transforme profondément la manière dont les logiciels, équipements connectés et autres produits numériques devront être conçus, maintenus et commercialisés dans l’Union européenne.
Son principe est simple : la cybersécurité ne doit plus être ajoutée après la mise sur le marché. Elle doit être intégrée dès la conception du produit, documentée, évaluée et maintenue pendant toute sa période de support.
Le règlement concerne principalement les fabricants et éditeurs de produits comportant des éléments numériques. Il impose également certaines obligations aux importateurs, distributeurs et acteurs soutenant durablement des projets open source.
Son application sera progressive :
Pour les entreprises concernées, l’enjeu est désormais de traduire ce règlement en un dispositif concret : cartographie des produits, analyse de risques, sécurité du développement, gestion des composants, traitement des vulnérabilités, documentation technique, évaluation de conformité et suivi des preuves.
Le Cyber Resilience Act est le règlement européen 2024/2847 consacré à la cybersécurité des produits comportant des éléments numériques.
Il poursuit deux objectifs principaux :
Le CRA établit un cadre commun pour l’ensemble de l’Union européenne. Il évite ainsi que chaque État membre adopte des exigences différentes pour la mise sur le marché des produits numériques.
Le règlement repose sur plusieurs piliers :
Le CRA s’applique aux produits comportant des éléments numériques mis à disposition sur le marché européen.
Cette notion inclut notamment :
Le produit doit avoir une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau dans son usage prévu ou raisonnablement prévisible.
Le champ d’application est large et peut notamment couvrir :
Un éditeur SaaS n’est pas automatiquement concerné uniquement parce qu’il fournit un service en ligne. Une analyse spécifique est nécessaire, notamment lorsque le traitement à distance est conçu sous la responsabilité du fabricant et que son absence empêcherait le produit d’assurer l’une de ses fonctions.
Certains produits relevant déjà de réglementations européennes sectorielles sont exclus ou font l’objet de régimes particuliers.
Cela concerne notamment :
L’existence d’une exclusion doit être vérifiée précisément. Une entreprise ne doit pas conclure qu’un produit est hors périmètre uniquement parce qu’il appartient à un secteur réglementé.
Le CRA répartit les responsabilités entre plusieurs catégories d’acteurs économiques.
Le fabricant est l’acteur qui développe, fabrique ou fait développer un produit, puis le commercialise sous son nom ou sa marque.
Dans le domaine logiciel, cette définition peut concerner un éditeur qui conçoit et distribue son produit, y compris lorsque celui-ci est mis à disposition gratuitement dans un contexte commercial.
Les obligations les plus importantes du CRA reposent sur le fabricant.
Un importateur met sur le marché européen un produit portant le nom ou la marque d’un fabricant établi hors de l’Union européenne.
Il doit notamment vérifier que :
Le distributeur met un produit à disposition sur le marché sans en modifier les caractéristiques.
Il doit vérifier certains éléments de conformité avant de commercialiser le produit et réagir s’il estime que celui-ci présente un risque ou n’est pas conforme.
Le CRA prévoit également un statut particulier pour certaines personnes morales soutenant durablement le développement de logiciels libres destinés à des activités commerciales.
Ces acteurs ne sont pas soumis à l’ensemble des obligations des fabricants, mais doivent notamment disposer d’une politique favorisant le développement sécurisé et le traitement efficace des vulnérabilités.
Le CRA adapte les procédures de conformité à la criticité des produits.
Cette catégorie comprend la majorité des produits comportant des éléments numériques qui ne figurent pas dans les catégories importantes ou critiques.
Pour ces produits, le fabricant pourra généralement procéder à une auto-évaluation de conformité.
Cette catégorie comprend notamment certains :
L’auto-évaluation peut rester possible lorsque le fabricant applique les normes harmonisées, spécifications communes ou schémas de certification pertinents. Dans les autres cas, une évaluation par un tiers peut être nécessaire.
Cette catégorie couvre notamment :
Une évaluation tierce est normalement requise.
Cette catégorie comprend des produits particulièrement sensibles, comme certains modules matériels de sécurité, cartes à puce ou passerelles pour compteurs intelligents.
Ils sont soumis aux procédures de conformité les plus exigeantes.
La classification dépend principalement de la fonctionnalité essentielle du produit. Il ne suffit donc pas qu’un produit intègre une fonction de sécurité secondaire pour être automatiquement classé comme important ou critique.
Le fabricant doit réaliser une analyse des risques de cybersécurité liés au produit.
Cette analyse doit être prise en compte pendant :
Elle doit être conservée dans la documentation technique.
L’analyse ne doit pas rester générique. Elle doit tenir compte du produit, de ses fonctions, de ses usages prévisibles, de ses dépendances et des impacts possibles d’une compromission.
Le produit doit être conçu et développé conformément aux exigences essentielles de cybersécurité du CRA.
Cela implique notamment de chercher à :
Le CRA ne se contente donc pas d’imposer un processus documentaire. Il porte directement sur les propriétés de sécurité du produit.
Le fabricant doit traiter les vulnérabilités connues pouvant affecter la sécurité du produit avant sa mise sur le marché.
Cela suppose notamment :
Le règlement ne fixe pas une méthode de test unique ni une fréquence identique pour tous les produits. Le programme de tests doit être défini à partir de l’analyse de risques et, lorsque cela est pertinent, des normes applicables.
L’intégration d’un composant externe ne transfère pas automatiquement la responsabilité à son fournisseur ou à sa communauté.
Le fabricant doit exercer une vigilance raisonnable afin de s’assurer que les composants intégrés ne compromettent pas la cybersécurité du produit final.
Il doit donc être capable de connaître :
Une nomenclature logicielle ou SBOM peut faciliter ce travail, mais elle ne remplace pas le processus de suivi et de correction.
Le fabricant doit mettre en place un processus permettant de :
Il doit également proposer un point de contact permettant le signalement des vulnérabilités.
La création d’une équipe formelle de type PSIRT n’est pas imposée, mais l’organisation retenue doit être réellement opérationnelle.
Le fabricant doit assurer le traitement efficace des vulnérabilités pendant la période de support du produit.
Cette période doit être déterminée par le fabricant et son échéance doit être communiquée clairement à l’utilisateur.
L’entreprise doit donc être capable de répondre à plusieurs questions :
La durée de support ne doit plus être une décision commerciale informelle. Elle devient un élément de conformité et de documentation.
Le produit doit être accompagné d’informations et d’instructions compréhensibles permettant son installation, son utilisation et sa maintenance sécurisées.
Ces informations doivent notamment préciser :
Avant la mise sur le marché, le fabricant doit produire une documentation permettant de démontrer que le produit respecte les exigences du CRA.
Cette documentation peut notamment comprendre :
Cette documentation doit être maintenue et pouvoir être mise à disposition des autorités de surveillance.
À partir du 11 septembre 2026, les fabricants devront déclarer :
Les notifications passeront par la Single Reporting Platform, gérée par l’ENISA.
En France, elles seront notamment transmises au CERT-FR de l’ANSSI, en qualité de CSIRT coordinateur.
Pour une vulnérabilité activement exploitée :
Pour un incident grave :
Ces délais imposent de préparer avant septembre 2026 :
Avant de mettre le produit sur le marché, le fabricant doit démontrer qu’il respecte les exigences du CRA.
Trois grandes modalités sont prévues.
Le fabricant réalise lui-même son évaluation de conformité et établit sa déclaration.
Cette procédure sera principalement utilisée pour les produits de la catégorie par défaut et, sous certaines conditions, pour les produits importants de classe I.
Un organisme notifié évalue la conception et le développement du produit. Le fabricant contrôle ensuite la conformité de la production au type évalué.
Un organisme notifié évalue le système complet d’assurance qualité du fabricant, avec des contrôles et vérifications périodiques.
Les produits importants de classe II et les produits critiques devront généralement faire l’objet d’une intervention tierce ou utiliser un mécanisme de certification reconnu lorsque celui-ci est disponible et applicable.
Le marquage CE indiquera que le fabricant a déclaré la conformité du produit aux exigences applicables du CRA.
Il ne doit pas être confondu avec une certification de sécurité approfondie.
Le marquage peut résulter :
Une certification de sécurité peut apporter une démonstration technique plus poussée, mais le marquage CE reste le signe réglementaire permettant la mise sur le marché.
L’ANSSI intervient à plusieurs niveaux :
L’Agence nationale des fréquences sera l’autorité française de surveillance du marché pour le CRA.
Elle pourra notamment :
Les manquements les plus importants peuvent conduire à des amendes atteignant :
D’autres sanctions peuvent s’appliquer selon la nature de l’obligation enfreinte.
Au-delà des amendes, les conséquences opérationnelles peuvent être particulièrement importantes :
L’enjeu principal n’est donc pas uniquement financier. Une entreprise peut perdre la capacité de vendre ou maintenir son produit sur le marché européen.
| DateÉtape | |
| 10 décembre 2024 | Entrée en vigueur du règlement |
| 11 juin 2026 | Application des règles relatives aux organismes d’évaluation de la conformité |
| 11 septembre 2026 | Application des obligations de notification |
| 11 décembre 2027 | Application générale des principales obligations |
Les entreprises ne doivent pas attendre décembre 2027 pour agir. Les processus de notification doivent notamment être opérationnels plusieurs mois avant l’application complète du règlement.
Commencez par recenser :
Pour chaque produit, identifiez si l’entreprise agit comme :
Une même entreprise peut avoir plusieurs rôles selon les produits.
Déterminez si chaque produit relève :
Cette classification influence directement la procédure d’évaluation de conformité.
Évaluez vos pratiques actuelles sur les principaux domaines :
Chaque écart doit devenir une action avec :
Le dispositif de notification doit être traité en priorité.
Il faut notamment :
N’attendez pas la fin du projet pour reconstruire les preuves.
La documentation doit être alimentée au fil du développement :
Le CRA ne doit pas devenir une vérification isolée avant la commercialisation.
Il doit être intégré :
Les normes faciliteront la démonstration de conformité, mais leur absence ne suspend pas les obligations du règlement.
Le CRA implique directement les équipes produit, développement, sécurité, support, qualité et direction.
Le fabricant reste responsable de la cybersécurité du produit final.
Les autorités peuvent aussi demander à comprendre le raisonnement, l’analyse de risques et les choix de conception.
Le CRA concerne principalement la sécurité et la conformité du produit. Une certification du système de management de l’entreprise peut aider, mais elle ne démontre pas automatiquement la conformité de chaque produit.
Les délais de 24 et 72 heures rendent cette approche irréaliste.
La préparation au CRA implique de suivre de nombreux éléments :
CompliKey permet de structurer cette démarche dans un même espace en reliant les exigences du CRA aux mesures opérationnelles de l’entreprise.
La plateforme peut notamment aider à :
L’objectif n’est pas de remplacer l’analyse juridique, l’évaluation technique du produit ou la Single Reporting Platform de l’ENISA.
Il est de rendre la préparation pilotable et de vérifier que chaque exigence possède un responsable, une preuve et une action lorsqu’un écart subsiste.
Le Cyber Resilience Act impose une nouvelle logique aux fabricants de produits numériques :
Les obligations de notification s’appliquent à partir du 11 septembre 2026. L’application générale du règlement interviendra le 11 décembre 2027.
La priorité est donc de commencer maintenant par la cartographie des produits, leur classification, l’analyse d’écarts et la préparation du processus de notification.
Le CRA est un règlement européen imposant des exigences de cybersécurité aux produits matériels et logiciels comportant des éléments numériques mis sur le marché européen.
Les obligations de notification s’appliquent à partir du 11 septembre 2026. Les principales autres obligations s’appliqueront à partir du 11 décembre 2027.
Oui. Les logiciels distribués ou mis sur le marché peuvent être considérés comme des produits comportant des éléments numériques.
Pas automatiquement. Certains traitements de données à distance peuvent entrer dans le périmètre lorsqu’ils sont conçus sous la responsabilité du fabricant et indispensables à une fonction du produit.
Le fabricant porte les principales obligations. Les importateurs et distributeurs doivent également procéder à certaines vérifications et coopérer en cas de non-conformité.
Non. Pour les produits de la catégorie par défaut, une auto-évaluation est généralement possible. Les produits importants de classe II et les produits critiques nécessitent normalement une évaluation tierce ou un dispositif équivalent prévu par le règlement.
Les fabricants doivent notamment déclarer les vulnérabilités activement exploitées et les incidents graves ayant un impact sur la sécurité du produit.
Les sanctions les plus élevées peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.
Non. ISO 27001 peut structurer le système de management de l’entreprise, mais le CRA exige une analyse et une démonstration de conformité propres aux produits concernés.
Le Cyber Resilience Act fait entrer la cybersécurité des produits dans une nouvelle ère réglementaire.
La sécurité ne pourra plus être traitée comme une fonctionnalité optionnelle ou comme une correction apportée après la commercialisation. Elle devra être intégrée dès la conception, maintenue pendant le cycle de vie du produit et démontrée par des éléments vérifiables.
Pour les fabricants et éditeurs, la bonne démarche consiste à transformer le CRA en un programme opérationnel :
produit → analyse de risques → exigences → mesures → preuves → évaluation → marquage → suivi des vulnérabilités
Les entreprises qui commencent dès maintenant pourront intégrer progressivement ces exigences à leurs cycles de développement.
Celles qui attendent décembre 2027 risquent de devoir reconstruire dans l’urgence leurs processus, leur documentation et leurs pratiques de sécurité produit.
