On en parle depuis longtemps. Le Cyber Resilience Act (CRA) n’est plus un sujet théorique ! En effet, une partie de ses obligations est déjà applicable et ce depuis le 11 septembre 2026. Dans ce nouvel article, on vous propose un résumé clair pour vous permettre de vous y retrouver.
Le Cyber Resilience Act, c’est quoi ?
Pour commencer, posons les bases. Le Cyber Resilience Act (CRA) c’est un règlement européen qui fait de la cybersécurité une condition pour vendre un produit numérique dans l’UE. Un produit numérique, c’est tout matériel ou logiciel connecté, directement ou non, à un réseau ou à un autre appareil : objets connectés, équipements industriels, logiciels, etc. Ainsi, comme pour les jouets ou l’électroménager, un produit conforme portera le marquage CE, tandis que celui qui ne l’est pas ne pourra plus être commercialisé.
Point important, le CRA se distingue de NIS2. NIS2 encadre la sécurité des organisations, tandis que le CRA encadre la sécurité des produits eux-mêmes. Les deux se complètent donc, et une même entreprise peut être soumise aux deux.
Qui est concerné par le Cyber Resilience Act ?
- Les fabricants de produits numériques, qu’ils soient établis dans l’UE ou non, dès lors que le produit est commercialisé en Europe.
- Les éditeurs de logiciels vendus ou distribués comme produits.
- Les importateurs et distributeurs, qui doivent vérifier la conformité de ce qu’ils mettent sur le marché.
En revanche, il existe des cas particuliers pour les secteurs déjà couverts par une règlementation spécifique (dispositifs médicaux, automobile, aviation) et pour les services purement SaaS, qui relèvent plutôt de NIS2. Quant à l’open source, tout dépend de la présence ou non d’une activité commerciale et mérite un examen au cas par cas.
En revanche, si vous n’êtes pas fabricant mais que vous achetez ou intégrez ces produits, vous êtes concerné indirectement. En effet, vos fournisseurs vont devoir prouver le niveau de sécurité de ce qu’ils vous livrent.
Ce que le Cyber Resilience Act exige
Le règlement repose sur deux piliers.
1. Des produits sécurisés, suivis dans le temps
- Sécurité dès la conception (security by design) : surface d’attaque réduite, configuration sécurisée par défaut, protection des données, journalisation
- Gestion des vulnérabilités sur toute la durée de vie : correctifs de sécurité, politique de divulgation coordonnée, période de support cohérente avec l’usage attendu du produit (5 ans minimum dans la plupart des cas)
- Documentation technique et SBOM (nomenclature des composants logiciels)
- Évaluation de conformité et marquage CE : avec un niveau d’exigence proportionné à la criticité du produit. La majorité des produits relèvent de l’auto-évaluation, mais les produits dits « importants » ou « critiques » sont soumis à des procédures plus poussées.
2. Une obligation de transparence en cas de problème
Le fabricant doit signaler aux autorités les vulnérabilités activement exploitées et les incidents graves affectant ses produits. C’est ce volet qui s’applique déjà.
Ce qui s’applique déjà : le signalement
Concrètement, depuis le 11 septembre 2026, un fabricant qui a connaissance d’une vulnérabilité activement exploitée ou d’un incident grave doit le notifier en trois temps :
- Alerte précoce sous 24 heures après en avoir eu connaissance
- Notification détaillée sous 72 heures
- Rapport final après correction
Tout passe par un guichet unique, la Single Reporting Platform opérée par l’ENISA. Un seul dépôt alimente à la fois l’ENISA et le CSIRT du pays d’établissement principal du fabricant.
Deux points sont souvent mal compris :
- L’obligation vise aussi les produits déjà commercialisés, pas uniquement les nouveaux.
- Elle s’applique indépendamment de la mise en conformité globale du produit.
24 heures, c’est court. Sans processus rodé, sans personne désignée et sans accès préparé à la plateforme, le délai est très difficile à tenir..
Ce qu’il faut savoir sur les sanctions
Les manquements aux exigences essentielles peuvent être sanctionnés jusqu’à 15 M€ ou 2,5% du chiffre d’affaires, avec des montants moindres pour les autres manquements. Au-delà de l’amende, une autorité peut aussi exiger le retrait ou le rappel d’un produit.
Êtes-vous prêt ? 8 questions pour le savoir
- Avons-nous cartographié tous nos produits comportant des éléments numériques, y compris les plus anciens ?
- Savons-nous dans quelle catégorie de criticité chacun se situe ?
- Pouvons-nous détecter l’exploitation active d’une vulnérabilité sur nos produits ?
- Quelqu’un est-il désigné, avec un suppléant, pour déposer une notification en 24 heures ?
- Notre processus de décision (« cet événement est-il notifiable ? ») est-il écrit et testé ?
- Disposons-nous d’un SBOM à jour pour chaque produit ?
- Avons-nous une politique de divulgation coordonnée des vulnérabilités ?
- Avons-nous défini et communiqué une durée de support pour chaque produit ?
Moins de 5 « oui » ? Il est temps de s’y mettre.
Par où commencer ?
Le CRA vous concerne mais vous ne savez pas par où commencer ? Attineos Cybersécurité vous accompagne pour évaluer la sécurité de vos produits et structurer votre démarche de conformité, en associant expertise technique et gouvernance.
Nos offres répondent à trois besoins complémentaires :
- Pentest : tester vos logiciels, applications et interfaces pour identifier les vulnérabilités exploitables et prioriser les corrections.
- Pentest industriel : évaluer la résistance de vos équipements connectés et environnements industriels, en tenant compte de leurs contraintes de disponibilité et de fonctionnement.
- GRC (Gouvernance, Risques et Conformité) : clarifier les exigences applicables à vos produits, évaluer les écarts et construire une feuille de route intégrant responsabilités, gestion des vulnérabilités et processus de signalement.
L’objectif : disposer d’une vision claire de vos risques et des actions à engager pour préparer les prochaines échéances du CRA, tout en répondant aux obligations déjà applicables.
Échangeons sur vos produits et vos priorités pour définir un accompagnement adapté : https://www.attineos.com/contact/
