Cyber Resilience Act : ce que votre entreprise doit faire, et quand

En bref

• Quoi : le règlement (UE) 2024/2847, publié au Journal officiel le 20 novembre 2024, en vigueur depuis le 10 décembre 2024.
• Pour qui : les fabricants, importateurs et distributeurs de produits comportant des éléments numériques mis sur le marché européen.
• Déjà obligatoire : le signalement des vulnérabilités activement exploitées et des incidents graves, depuis le 11 septembre 2026.
• Tout le reste : exigences essentielles, documentation technique, marquage CE, au 11 décembre 2027.
• Sanctions : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Qui est concerné ?

Le CRA vise les produits comportant des éléments numériques : tout logiciel ou matériel qui se connecte, directement ou non, à un autre appareil ou à un réseau. Un logiciel vendu sous licence, une application installée chez le client, un agent, un micrologiciel, un routeur ou une caméra connectée sont concernés.

Les obligations portent surtout sur le fabricant : celui qui conçoit ou fait concevoir le produit et le commercialise sous son nom. Les importateurs et distributeurs ont des obligations de vérification.

Sont exclus, parce que couverts par d’autres textes : les dispositifs médicaux, les véhicules, l’aviation, les équipements marins et les produits conçus pour la défense ou la sécurité nationale. Un service purement SaaS n’est pas un produit au sens du CRA, sauf s’il assure le traitement de données à distance indispensable au fonctionnement d’un produit (l’application cloud d’un objet connecté, par exemple). Le logiciel libre développé hors de toute activité commerciale est exclu ; les fondations qui soutiennent durablement un logiciel libre utilisé commercialement ont un régime allégé.

Les produits sont classés : la grande majorité relève de la catégorie par défaut (auto-évaluation par le fabricant). Les produits « importants » (classes I et II : navigateurs, gestionnaires de mots de passe, VPN, pare-feu…) et « critiques » demandent une évaluation plus poussée, parfois par un organisme notifié.

Calendrier

Le signalement s’applique dès septembre 2026 à tous les produits sur le marché, même ceux vendus avant cette date. Les autres exigences ne concernent que les produits mis sur le marché à partir de décembre 2027, mais un produit vendu en continu y est soumis dès cette date.

Les quatre obligations du fabricant

1. Sécurité dès la conception. Le produit est conçu, développé et livré selon les exigences essentielles de l’annexe I : pas de faille exploitable connue à la livraison, configuration sûre par défaut, protection des données, surface d’attaque réduite, mises à jour de sécurité possibles. Une analyse des risques est documentée.

2. Gestion des vulnérabilités. Le fabricant identifie et documente les composants du produit, notamment dans une nomenclature logicielle (SBOM) lisible par machine, couvrant au moins les dépendances de premier niveau. Il corrige les failles sans délai, publie des correctifs gratuits, met en place une politique de divulgation coordonnée et un point de contact pour signaler une faille.

3. Signalement en 24 heures. Toute vulnérabilité activement exploitée et tout incident grave touchant la sécurité du produit sont notifiés à l’ENISA et au CSIRT coordinateur, en trois temps : 24 heures, 72 heures, puis rapport final. Voir le circuit de signalement pas à pas.

4. Support pendant toute la durée d’utilisation. Le fabricant fixe une période de support (au moins cinq ans, sauf si le produit est prévu pour durer moins), l’indique clairement à l’achat, et fournit les mises à jour de sécurité pendant cette période. La documentation technique et la déclaration UE de conformité sont conservées dix ans.

Sanctions

Les autorités de surveillance du marché peuvent aussi exiger la mise en conformité, le retrait ou le rappel d’un produit. Les microentreprises et petites entreprises ne peuvent pas être sanctionnées pour le seul dépassement du délai de 24 heures de l’alerte précoce ; les autres délais et obligations s’appliquent à elles.

Checklist pour une PME

• Lister vos produits concernés et leur catégorie (par défaut, important, critique).
• Générer un SBOM à chaque version (CycloneDX ou SPDX), depuis votre CI.
• Surveiller chaque jour les failles qui touchent ces composants, en priorité celles qui sont exploitées (catalogue KEV de la CISA, base européenne EUVD).
• Publier un point de contact de sécurité, par exemple un fichier /.well-known/security.txt, et une politique de divulgation coordonnée.
• Préparer dès maintenant le circuit de signalement : qui décide, qui envoie, sous 24 heures, y compris le week-end.
• Décider et afficher la période de support de chaque produit.
• Documenter vos décisions sur les failles non exploitables (déclarations VEX) pour pouvoir les justifier.
• Rassembler la documentation technique : analyse des risques, SBOM, résultats de tests, procédure de mise à jour.

Comment CheckOps aide

CheckOps reçoit vos SBOM et les résultats de vos scanners, les compare chaque jour aux bases EUVD, OSV, KEV et EPSS, et vous alerte quand une faille exploitée touche un de vos produits. Il prépare les trois étapes du signalement CRA avec leurs échéances, garde l’historique de vos décisions VEX et génère le dossier technique et le rapport PDF de chaque version. Hébergé en France, sans dépendance à un cloud américain.

Questions fréquentes