Cyber Resilience Act : comment se conformer aux nouvelles exigences pour les logiciels et produits connectés ?
Le Cyber Resilience Act (Règlement (UE) 2024/2847, « CRA ») instaure un cadre européen harmonisé visant à renforcer la cybersécurité des produits comportant des éléments numériques, qu’il s’agisse de logiciels, d’objets connectés ou d’équipements informatiques. Il impose des obligations aux fabricants, éditeurs, importateurs et distributeurs tout au long du cycle de vie du produit.
Qui est concerné ?
Le règlement s’applique à la plupart des produits numériques commercialisés dans l’Union européenne. Les fabricants restent les premiers responsables de la conformité, mais les importateurs et distributeurs sont également soumis à des obligations de contrôle et de vigilance.
Quelles obligations ?
Le CRA impose une approche de sécurité « by design » et « by default ». Les entreprises doivent intégrer la cybersécurité dès la conception du produit, assurer la gestion des vulnérabilités, fournir des mises à jour de sécurité pendant la période de support et constituer une documentation technique démontrant leur conformité.
Les fabricants doivent également notifier les vulnérabilités activement exploitées et les incidents graves via la plateforme de l’ENISA, avec des délais particulièrement courts : 24 heures pour l’alerte initiale et 72 heures pour la notification détaillée.
Comment articuler le CRA avec NIS2 et le RGPD ?
Le CRA ne remplace pas les autres réglementations européennes. Il se combine avec le cadre légal NIS2, qui vise la cybersécurité des réseaux et systèmes d’information d’entités évoluant dans des secteurs (hautement) critiques, et avec le RGPD lorsque le produit permet le traitement de données à caractère personnel. Une approche coordonnée, notamment en matière de notification d’incident, est donc nécessaire afin d’éviter les doublons et de garantir une conformité globale.
Quels impacts contractuels et quelles sanctions ?
Les entreprises devront adapter leurs contrats fournisseurs et sous-traitants afin d’intégrer des obligations de sécurité, des engagements de maintenance, des SLA adaptés et une répartition claire des responsabilités. En cas de manquement, des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial peuvent être prononcées.
Un calendrier d’application en plusieurs étapes
L’ensemble des dispositions du CRA entreront en application le 11 décembre 2027.
Mais attention ! Depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves qui affectent la sécurité de leurs produits. Cette obligation s’applique à tous les produits comportant des éléments numériques mis à disposition sur le marché de l’Union, y compris ceux mis sur le marché avant le 11 décembre 2027. Les produits déjà commercialisés sont donc aussi concernés.
Les entreprises doivent donc vérifier dès maintenant qu’elles disposent de procédures internes de détection, d’escalade et de notification qui fonctionnent. Il ne faut pas attendre l’échéance de 2027.
Notre conseil :
Face à la multiplication des réglementations européennes en matière numérique, il devient essentiel d’adopter une stratégie de conformité cohérente et pragmatique. Le Cyber Resilience Act constitue une opportunité de renforcer la sécurité de vos produits tout en sécurisant vos activités commerciales.
Ne manquez pas notre Earlegal sur le sujet le 20 novembre 2026 !
