Le Cyber Resilience Act (CRA) fait de la cybersécurité une condition du marquage CE. À partir du 11 décembre 2027, un produit comportant des éléments numériques ne pourra être mis sur le marché de l’UE que si le fabricant peut prouver qu’il a été conçu de manière sécurisée et qu’il sera maintenu sécurisé. Une partie du règlement s’applique déjà : depuis le 11 septembre 2026, les fabricants doivent signaler sous 24 heures les vulnérabilités activement exploitées et les incidents graves, pour chaque produit qu’ils ont sur le marché.
Cette synthèse s’appuie sur mon intervention “Surviving EU CRA: what manufacturers must prove” à BSides Krakow en septembre 2026.
Un règlement, pas une directive
Le CRA est un règlement européen, comme le RGPD. Cela compte pour votre planification :
| Règlement européen (CRA, RGPD) | Directive européenne (NIS2) | |
|---|---|---|
| Directement applicable | Oui | Non, nécessite une loi nationale |
| Uniforme dans toute l'UE | Entièrement | Varie selon l'État membre |
| Contraignant | Dans tous ses éléments | Quant aux objectifs |
| Marge pour des variantes nationales | Aucune | Oui |
Les deux textes protègent aussi des choses différentes. NIS2 protège les secteurs critiques, les organisations qui y opèrent et tous ceux qui dépendent de leur continuité. Le CRA protège les consommateurs et les entreprises en garantissant que les produits qu’ils achètent restent sécurisés tout au long de leur cycle de vie. Une organisation peut relever des deux : de NIS2 en tant qu’opérateur, du CRA en tant que fabricant.
Le CRA a été publié au Journal officiel le 20 novembre 2024 et est entré en vigueur le 10 décembre 2024.
Ce qu’il couvre
Le CRA s’applique aux produits comportant des éléments numériques : “un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément”.
En pratique, cela couvre presque tout ce qui contient du logiciel : électronique grand public, logiciels en boîte ou téléchargeables, applications d’ingénierie comme la CAO, systèmes domotiques, machines industrielles connectées et les backends cloud dont ces produits ont besoin. Les composants vendus séparément, comme les bibliothèques ou les puces, sont des produits à part entière.
Certains secteurs sont exclus car ils ont leurs propres règles de sécurité des produits : dispositifs médicaux et de diagnostic in vitro, véhicules à moteur, aviation civile, équipements marins et produits développés exclusivement pour la sécurité nationale ou la défense. Le ferroviaire ne figure pas dans la liste des exclusions, ce qui en fait une zone grise à vérifier produit par produit. Le SaaS pur échappe au CRA, sauf s’il constitue le traitement de données à distance d’un produit.
La “mise sur le marché” détermine quand les règles s’appliquent
Un produit est mis sur le marché lorsqu’un fabricant ou un importateur le fournit pour la première fois à un distributeur ou à un utilisateur final dans l’UE. Les règles s’appliquent à ce moment-là, unité par unité. Un appareil qui quitte votre entrepôt le 10 décembre 2027 n’a pas à respecter le CRA ; un appareil identique expédié le lendemain, si.
Il existe une exception importante. Les obligations de notification s’appliquent à tous les produits concernés, y compris ceux mis sur le marché bien avant décembre 2027. Votre parc installé est donc déjà couvert.
Le calendrier
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 10 décembre 2024 | Entrée en vigueur du CRA. | Fait |
| 11 juin 2026 | Règles applicables aux organismes d'évaluation de la conformité. Les États membres peuvent notifier les organismes qui évaluent les produits. | En vigueur |
| 11 septembre 2026 | Notification des vulnérabilités activement exploitées et des incidents graves, pour tous les produits concernés. | En vigueur |
| 11 décembre 2027 | Toutes les obligations. Les nouveaux produits ont besoin d'un marquage CE couvrant la cybersécurité. | À venir |
La classe du produit détermine la procédure de conformité
| Catégorie | Exemples | Évaluation de la conformité |
|---|---|---|
| Par défaut risque le plus faible | Logiciels et applications généralistes, matériel informatique de bureau, appareils de bureau connectés sans fonction de sécurité, appareils grand public utilisés en entreprise. Environ 90 % des produits. | Contrôle interne (module A). Un fabricant peut choisir volontairement une évaluation par un tiers. |
| Important, classe I risque accru | Gestionnaires de mots de passe, navigateurs, systèmes d'exploitation, systèmes SIEM, logiciels de gestion des identités, VPN, routeurs | Contrôle interne (module A) uniquement si des normes harmonisées, des spécifications communes ou une certification de cybersécurité européenne sont appliquées intégralement. Sinon, un organisme notifié. |
| Important, classe II risque important de perturbation | Hyperviseurs et environnements d'exécution de conteneurs, pare-feu et systèmes de détection ou de prévention des intrusions, y compris industriels, microprocesseurs et microcontrôleurs inviolables | Toujours un tiers : un organisme notifié ou une certification de cybersécurité européenne. |
| Critique infrastructures critiques | Passerelles de compteurs intelligents, modules de sécurité matériels, cartes à puce et éléments sécurisés | Un certificat de cybersécurité européen de niveau d'assurance "substantiel" ou supérieur lorsque la Commission l'exige ; sinon, la procédure de la classe II. |
Pour les produits de classe I, la disponibilité des normes harmonisées détermine si le contrôle interne suffit ou s’il vous faut un organisme notifié. Les normes sont en cours de finalisation ; notre panorama des normes harmonisées du CRA indique où en est chacune.
Ce que les fabricants doivent prouver
À partir de décembre 2027, chaque produit a besoin :
- d’une déclaration UE de conformité
- d’une documentation technique, y compris l’évaluation des risques de cybersécurité
- de sécurité dès la conception et par défaut
- d’une gestion des vulnérabilités, comprenant une SBOM et une politique de divulgation coordonnée des vulnérabilités
- d’exigences de sécurité déduites de cette évaluation des risques
Deux chiffres à prévoir. Les fabricants doivent fournir des mises à jour de sécurité pendant une période de support d’au moins cinq ans, sauf si le produit est censé être utilisé moins longtemps. Et ils doivent tenir la documentation technique et la déclaration de conformité à la disposition des autorités pendant dix ans après la mise sur le marché, ou pendant la période de support si elle est plus longue.
Il n’y a pas de liste de contrôle
C’est ce qui surprend le plus les équipes de direction. Le CRA ne fournit pas de liste de mesures à cocher. Il fixe des exigences essentielles et attend de chaque fabricant qu’il définisse ses propres exigences et mesures raisonnables, sur la base d’une analyse des risques de son produit. Deux produits de la même catégorie peuvent aboutir à des mesures différentes et être tous deux conformes, tant que le raisonnement est documenté.
Les normes harmonisées encadreront cette démarche et donneront une présomption de conformité une fois citées au Journal officiel. Elles ne dispensent pas de votre propre analyse des risques.
La notification s’applique déjà
Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Les signalements passent par la plateforme unique de l’ENISA et sont transmis au CSIRT national désigné comme coordinateur et à l’ENISA :
- une alerte précoce dans les 24 heures suivant la prise de connaissance
- une notification dans les 72 heures
- un rapport final dans les 14 jours suivant la disponibilité d’un correctif pour une vulnérabilité, ou dans un délai d’un mois pour un incident grave
Les fabricants doivent aussi informer les utilisateurs concernés et leur indiquer comment atténuer le problème. Un délai de 24 heures n’est réaliste qu’avec un processus testé : quelqu’un doit reconnaître qu’un signalement est à notifier, avoir l’autorité de le déposer et savoir où.
Ce que coûte le non-respect
| Infraction | Amende maximale, le montant le plus élevé s'applique |
|---|---|
| Non-respect des exigences essentielles de cybersécurité ou des obligations du fabricant, y compris la notification | 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial |
| Autres obligations, comme les exigences administratives | 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial |
| Communication d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités de surveillance du marché | 5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial |
Le risque le plus important n’est souvent pas l’amende. Les autorités de surveillance du marché peuvent ordonner le retrait ou le rappel d’un produit non conforme. Sans marquage CE valide, vous n’avez pas de marché européen.
Comment y arriver
La conformité est une propriété de la façon dont vous concevez et maintenez vos produits, pas d’un document rédigé juste avant l’échéance. En pratique, cela signifie un cycle de développement logiciel sécurisé avec des preuves à chaque étape :
- Évaluation des risques
- Threat modeling
- Exigences de sécurité
- Implémentation sécurisée
- SBOM
- Tests de sécurité fonctionnels et non fonctionnels
- Configuration sécurisée et documentation utilisateur
- Surveillance continue des vulnérabilités des composants tiers
- Réponse aux incidents
Un modèle de maturité comme OWASP SAMM structure ce cycle : vous évaluez où vous en êtes, fixez des cibles par practice et montrez vos progrès dans le temps. Notre comparaison de SAMM et BSIMM explique comment choisir un modèle.
Que faire maintenant
- Assurez-vous de pouvoir notifier sous 24 heures dès aujourd’hui. Cette obligation s’applique déjà à tout ce que vous avez sur le marché.
- Dressez la liste de vos produits comportant des éléments numériques et classez chacun : par défaut, classe I, classe II ou critique. La classe détermine si vous avez besoin d’un organisme notifié, et leur capacité est limitée.
- Réalisez une analyse des écarts de vos processus de développement et de gestion des vulnérabilités par rapport aux exigences essentielles.
- Lancez les évaluations des risques et la documentation technique des produits que vous vendrez encore après décembre 2027.
- Désignez un responsable de la conformité CRA. Elle touche l’ingénierie, la gestion de produit, le juridique, le support et les achats, et elle échoue lorsqu’elle repose sur une seule équipe.
Pour une première indication de votre situation, faites l’Autoévaluation EU CRA gratuite ou réservez un entretien stratégique EU CRA gratuit. Si vous êtes prêt pour un programme structuré, l’EU CRA Compliance Journey vous mène de la capacité de notification à la conformité CE. Pour une présentation plus détaillée des obligations, lisez notre guide du CRA pour les PME.