Cyber Resilience Act : quelles obligations d'ici 2027 ?

Qu'est-ce que le Cyber Resilience Act ?

Le Cyber Resilience Act, ou CRA, est le règlement (UE) 2024/2847 du 23 octobre 2024. Il part d'un constat : beaucoup de produits connectés sont mal sécurisés, et leurs mises à jour arrivent tard, ou jamais.

Le texte fait donc de la cybersécurité une condition de mise sur le marché. Il complète la directive NIS2 : NIS2 vise les organisations, le CRA vise les produits eux-mêmes.

Comme la réglementation DORA, c'est un règlement : il s'applique directement en France, sans transposition.

Quels produits et quelles entreprises sont concernés ?

Le CRA vise tout « produit comportant des éléments numériques » : un matériel ou un logiciel capable de se connecter à un appareil ou à un réseau. L'ANSSI cite la brosse à dents électrique comme exemple. Votre brosse à dents a désormais des obligations de cybersécurité, et vous aussi si vous la vendez.

Les obligations pèsent sur toute la chaîne : les fabricants et éditeurs de logiciels, les importateurs et les distributeurs. Un importateur ou un distributeur qui vend le produit sous sa propre marque, ou le modifie substantiellement, devient fabricant aux yeux du règlement.

Les produits sont classés en quatre catégories : par défaut (la grande majorité), importants de classe I (navigateurs, routeurs…), importants de classe II (pare-feu, hyperviseurs) et critiques (cartes à puce, boîtiers de sécurité).

Sont exclus les secteurs dotés de leurs propres règles (dispositifs médicaux, véhicules, aviation, défense) et les logiciels libres développés hors de toute activité commerciale.

Les exigences de sécurité dès la conception

L'annexe I du règlement fixe les exigences essentielles. Le produit doit être conçu à partir d'une analyse de risques, mis sur le marché sans vulnérabilité exploitable connue, et livré avec une configuration sécurisée par défaut. Le mot de passe « admin » d'usine appartient au passé.

Le fabricant doit aussi gérer les vulnérabilités pendant toute la période d'assistance, qui dure en principe au moins cinq ans (article 13). Concrètement, il doit tenir une nomenclature des composants logiciels (SBOM), corriger sans délai et diffuser gratuitement les mises à jour de sécurité.

Il doit enfin faire preuve de diligence lorsqu'il intègre des composants de tiers, y compris open source. Autrement dit, la faille d'une bibliothèque externe devient aussi la sienne.

Signaler les vulnérabilités depuis le 11 septembre 2026

C'est l'obligation déjà en vigueur. Le fabricant doit signaler toute vulnérabilité activement exploitée et tout incident grave affectant la sécurité de son produit, selon trois délais fixés par l'article 14.

Source : article 14 du règlement (UE) 2024/2847. Délais comptés à partir du moment où le fabricant a connaissance de la vulnérabilité ou de l'incident.

Le signalement se fait sur la plateforme unique de l'ENISA, ouverte le 11 septembre 2026. Elle transmet l'information au CSIRT coordinateur, le CERT-FR de l'ANSSI pour une entreprise établie en France, comme l'explique la page de l'ANSSI consacrée au CRA.

Vingt-quatre heures, c'est court, surtout un vendredi soir. Mieux vaut savoir à l'avance qui détecte, qui décide et qui déclare, plutôt que de le découvrir pendant l'incident.

Évaluation de la conformité et marquage CE

À partir du 11 décembre 2027, chaque produit devra porter le marquage CE au titre du CRA. Pour la catégorie par défaut, le fabricant procède à une auto-évaluation et rédige une déclaration de conformité.

Pour les produits de classe I, l'auto-évaluation reste possible si le fabricant applique les normes harmonisées. Sinon, et pour tous les produits de classe II ou critiques, un organisme notifié doit intervenir. En France, c'est l'ANSSI qui notifie ces organismes, un processus engagé depuis juin 2026.

Autorités de contrôle et sanctions

En France, l'Agence nationale des fréquences (ANFR) surveille le marché avec l'appui de l'ANSSI. Elle peut exiger une mise en conformité, ou ordonner le retrait et le rappel du produit.

Les amendes sont fixées par l'article 64 : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour les manquements aux exigences essentielles et au signalement. Les micro et petites entreprises ne peuvent pas être sanctionnées pour un retard sur l'alerte de 24 heures.

Ce que le CRA change dans vos contrats

Le CRA se règle en grande partie par contrat : un fabricant qui répond des composants de ses fournisseurs a intérêt à leur répercuter ses obligations.

• Contrats d'achat de composants : SBOM, information sur les vulnérabilités dans un délai compatible avec les 24 heures, durée de maintenance alignée sur la période d'assistance.
• Contrats de distribution : répartition des rôles, vérification du marquage CE, remontée des incidents signalés par les clients.
• Conditions générales de vente : durée de la période d'assistance, point de contact pour les vulnérabilités, modalités des mises à jour.

Ces clauses ont toute leur place dans votre playbook juridique, pour être vérifiées à chaque nouveau contrat plutôt qu'au premier incident.

CRA et responsabilité du fait des produits défectueux

Le CRA a un cousin moins médiatisé : la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, à transposer avant le 9 décembre 2026. Elle fait entrer les logiciels dans la notion de produit.

Pour apprécier le défaut, le juge pourra tenir compte des exigences de cybersécurité applicables au produit. Un fabricant qui ignore le CRA ne s'expose donc pas seulement à l'ANFR, mais aussi aux actions en réparation des victimes.

Comment se préparer d'ici 2027

1. Cartographier les produits concernés, leur catégorie et votre rôle : fabricant, importateur ou distributeur.
2. Organiser le signalement dès maintenant : inscription sur la plateforme de l'ENISA, point de contact, procédure interne en 24 heures.
3. Évaluer la maturité de vos pratiques : développement sécurisé, correctifs, SBOM, documentation.
4. Mettre à jour les contrats fournisseurs, de distribution et vos CGV.
5. Articuler avec les autres textes : NIS2, l'IA Act et le Data Act pour les produits connectés.