Le Cyber Resilience Act pour les PME : obligations des fabricants et calendrier

Le Cyber Resilience Act (CRA) de l'UE s'applique aux PME qui fabriquent des produits se connectant à Internet : thermostats connectés, applications mobiles, capteurs industriels ou logiciels. Cette réglementation s'applique directement à tous les États membres.

Le CRA est le premier règlement européen horizontal de cybersécurité des produits : il couvre l'ensemble des produits avec éléments numériques, là où les textes antérieurs visaient des secteurs particuliers.

Ce guide décompose le Cyber Resilience Act (Règlement (UE) 2024/2847) pour les fabricants, importateurs, distributeurs et équipes logicielles de petite taille : périmètre, obligations, calendrier et séquence de mise en conformité.

Qu'est-ce que le Cyber Resilience Act ?

Le CRA est un règlement de l'UE, pas une directive. Cela signifie qu'il s'applique directement dans chaque État membre sans attendre une transposition nationale. Il fixe des exigences de cybersécurité pour les produits avec éléments numériques mis sur le marché européen.

Les dates à retenir :

• Adopté : 23 octobre 2024
• Entré en vigueur : 10 décembre 2024
• Obligations de notification (article 14) : 11 septembre 2026
• Application complète : 11 décembre 2027

Le principe central est celui du « sécurisé par conception et par défaut ». Le CRA déplace la responsabilité de la cybersécurité du produit de l'acheteur vers le fabricant : à partir de décembre 2027, la sécurité d'un produit connecté mis sur le marché relève du fabricant, sous peine des sanctions décrites plus bas.

Le CRA s'applique-t-il à votre PME ?

Trois questions tranchent. Si la réponse aux trois est oui, vous êtes concerné.

Question 1 : fabriquez-vous ou vendez-vous un « produit avec éléments numériques » ?

La définition est large : tout produit logiciel ou matériel capable de se connecter à un autre appareil ou réseau, directement ou indirectement.

Cela inclut :

• Appareils connectés maison (thermostats, caméras, serrures)
• Équipements réseau (routeurs, pare-feu, switches)
• Applications mobiles et logiciels
• Systèmes de contrôle industriel et capteurs IoT
• Ordinateurs portables, smartphones, objets connectés
• Logiciels et firmware embarqués
• Solutions de traitement de données à distance

Restent en dehors : dispositifs médicaux (MDR/IVDR), composants automobiles (UNECE), équipements marins et certains systèmes aéronautiques. Ces secteurs ont d'autres réglementations.

Point à noter : le CRA s'applique selon l'endroit où le produit est commercialisé, pas où il est fabriqué. Une entreprise SaaS américaine vendant à des clients européens est concernée. Un fabricant chinois distribuant via Amazon UE l'est aussi.

Question 2 : êtes-vous un « opérateur économique » ?

Le CRA impose des obligations à quatre rôles :

Pour les PME, le rôle de fabricant est le plus exigeant. Si vous concevez, commercialisez ou vendez un produit numérique, vous êtes le fabricant, même dans une équipe de 10 personnes.

Question 3 : votre produit est-il commercial ?

Un logiciel open source développé sans activité commerciale est généralement exempté. Mais si vous le monétisez (abonnements, support, hébergement), l'intégrez dans un produit commercial ou le fournissez en tant que service (SaaS), le CRA s'applique probablement.

Les trois classes de produits

Tous les produits ne sont pas traités de la même manière. Le CRA fait monter les exigences sur trois niveaux :

La plupart des petits éditeurs de logiciels et fabricants d'IoT relèvent des classes « Standard » ou « Importants Classe I » : vous pouvez vous auto-évaluer. Seuls les pare-feu, systèmes de contrôle industriel et matériels de sécurité exigent une certification par un tiers. L'outil CRA Fast Check détermine votre classe en environ une minute.

Le tiers évaluateur n'est pas un prestataire choisi librement : le règlement parle d'organisme notifié, c'est-à-dire un organisme d'évaluation de la conformité désigné par une autorité notifiante nationale au titre des articles 39, 47, 49 et 51. En France, ce rôle d'autorité notifiante revient à l'ANSSI. Un candidat doit d'abord obtenir une accréditation du COFRAC sur le périmètre visé, puis déposer une demande de notification auprès de l'ANSSI. L'agence a publié le 21 juillet 2026 le processus applicable au module B (examen UE de type), celui du module H (assurance qualité complète) devant suivre. Pour un fabricant de produits importants de classe II ou de produits critiques, la conséquence est calendaire : le vivier d'organismes notifiés se constitue en 2026 et 2027, et c'est lui qui déterminera la disponibilité réelle d'un créneau d'évaluation avant le 11 décembre 2027.

Obligations principales des fabricants

L'article 13 énumère les devoirs du fabricant. Voici ceux qui comptent le plus pour les PME, traduits du jargon juridique en français clair.

1. Sécurisé par conception et par défaut (Annexe I, Partie I)

Avant la livraison, un produit doit être fourni avec des configurations sécurisées par défaut : pas de mots de passe par défaut, principe du moindre privilège, protection contre les accès non autorisés, confidentialité et intégrité des données, disponibilité des fonctions essentielles, impact minimisé sur d'autres systèmes.

En pratique : ne livrez pas avec des identifiants « admin/admin », n'obligez pas l'utilisateur à désactiver la sécurité pour que le produit fonctionne, et ne laissez pas votre appareil IoT être transformé en botnet.

2. Gestion des vulnérabilités (Annexe I, Partie II)

Il faut un processus documenté pour identifier et documenter les vulnérabilités, publier rapidement des mises à jour de sécurité, les maintenir disponibles pendant la période de support (minimum 5 ans), tenir une politique de divulgation coordonnée des vulnérabilités (CVD) et partager les correctifs avec les mainteneurs amont.

En pratique : une adresse security@, un délai de réponse raisonnable aux signalements, des correctifs rapides pour les bugs critiques, et la discipline de continuer pendant au moins 5 ans après l'arrêt de la vente.

3. Évaluation des risques de cybersécurité

Avant de mettre un produit sur le marché, vous devez mener une évaluation des risques et la documenter. Elle doit guider votre conception sécurité. Conservez-la au moins 10 ans.

En pratique : consignez ce qui pourrait mal tourner, ce que vous avez fait pour l'empêcher, et pourquoi c'est suffisant. Un document de 5 pages suffit pour un produit simple.

4. Documentation technique

Maintenez une documentation couvrant la description du produit et son usage prévu, l'évaluation des risques, le respect des exigences essentielles, vos procédures de gestion des vulnérabilités et les preuves de test.

En pratique : gardez un dossier numérique avec votre évaluation des risques, les schémas d'architecture, les résultats de tests de sécurité et les journaux de mises à jour. Les autorités de surveillance du marché peuvent le demander à tout moment pendant 10 ans.

5. Déclaration UE de conformité et marquage CE

Une fois l'auto-évaluation (ou la certification) effectuée, rédigez une Déclaration UE de conformité, apposez le marquage CE et incluez l'identification du fabricant ainsi que la date de fin de support.

Le marquage CE signifie désormais aussi « ce produit respecte les exigences de cybersécurité ». Vous ne pouvez pas l'apposer sans avoir fait le travail.

6. Période de support et disponibilité des mises à jour

La période de support minimale est de 5 ans, ou la durée de vie prévue du produit si elle est plus courte. Les mises à jour de sécurité doivent rester disponibles au moins 10 ans après leur publication. La date de fin de support doit être communiquée aux acheteurs au moment de l'achat.

Le calendrier de notification : 24h / 72h / 14 jours

L'article 14 introduit une notification stricte pour les vulnérabilités activement exploitées et les incidents graves. Il s'applique dès le 11 septembre 2026, avant les obligations principales.

Les rapports vont au CSIRT de votre État membre d'établissement principal et à l'ENISA via la Plateforme unique de signalement du CRA.

Une équipe de 15 personnes a besoin d'un chemin d'escalade 24/7 pour les incidents de sécurité. Cela ne signifie pas un SOC. C'est un processus documenté pour savoir qui appeler quand une vulnérabilité critique tombe un vendredi soir.

Importateurs, distributeurs et chaîne d'approvisionnement

Si vous n'êtes pas le fabricant mais que vous importez ou distribuez des produits, vous avez vos propres devoirs.

Les importateurs doivent vérifier le marquage CE, confirmer l'existence de la documentation technique et de la Déclaration de conformité, s'assurer que les instructions utilisateur sont compréhensibles, conserver la documentation 10 ans et coopérer avec les autorités.

Les distributeurs doivent vérifier le marquage CE et la documentation requise, refuser de commercialiser des produits non conformes, coopérer avec les enquêtes et prendre des mesures correctives si un produit présente un risque de cybersécurité.

Si vous importez des appareils connectés et les revendez sur Amazon UE, vous êtes responsable de vérifier la conformité au CRA. Vous ne pouvez pas rejeter la responsabilité sur le fabricant s'il est en défaut.

Open source : l'exception du steward

Le texte final du CRA répond aux préoccupations exprimées par la communauté open source pendant la négociation avec le concept de « steward de logiciel open source » :

Si vous construisez un produit commercial sur des composants open source (comme la plupart des entreprises), vous êtes responsable de la sécurité du produit entier, parties open source comprises. Assurez-vous une diligence raisonnable en intégrant des composants tiers et signalez les vulnérabilités aux mainteneurs amont.

Maintenez un Software Bill of Materials (SBOM) pour chaque version. Des outils comme Syft, CycloneDX ou SPDX peuvent l'automatiser.

Feuille de route de conformité : 24 mois pour les PME

Avec l'application complète le 11 décembre 2027, les PME disposent de 24 mois pour se préparer. Une approche par phases :

Phase 1 : cadrage et évaluation (mois 1 à 3)

• Confirmer votre classe de produit avec CRA Fast Check
• Cartographier votre portefeuille : quels produits concernés, lesquels exemptés
• Identifier votre rôle : fabricant, importateur, distributeur ou steward
• Analyser les écarts par rapport aux exigences essentielles de l'Annexe I
• Créer des SBOMs initiaux pour chaque produit

Phase 2 : construction des fondations (mois 4 à 9)

• Établir un cycle de développement sécurisé : modélisation des menaces, revue de code, tests de sécurité
• Mettre en place la gestion des vulnérabilités : politique CVD, canal de signalement, SLA de triage
• Rédiger un modèle de documentation technique
• Définir les périodes de support (5 ans minimum par produit)
• Construire la capacité de réponse aux incidents : escalade 24/7, modèles de signalement
• Rédiger la documentation sécurité utilisateur

Phase 3 : conformité et documentation (mois 10 à 18)

• Compléter les évaluations des risques pour tous les produits concernés
• Mener l'auto-évaluation de conformité interne (Standard ou Classe I)
• Préparer la Déclaration UE de conformité pour chaque produit
• Apposer le marquage CE (peut être numérique pour les logiciels)
• Publier les instructions utilisateur avec la date de fin de support
• Mettre en place un mécanisme de livraison des mises à jour (OTA, dépôt de patchs)

Phase 4 : préparation au signalement (mois 19 à 22)

• S'inscrire sur la Plateforme unique de signalement du CRA (via l'ENISA)
• Tester le workflow de signalement avec un exercice de crise
• Former l'équipe aux délais 24h, 72h et 14 jours
• Établir une relation avec votre CSIRT national
• Documenter votre processus de conservation des preuves sur 10 ans

Phase 5 : mise en production et amélioration continue (mois 23 à 24+)

• Confirmer que tout produit mis sur le marché après le 11 décembre 2027 est conforme
• Surveiller la citation des normes harmonisées au Journal officiel (livraisons M/606 attendues entre août 2026 et octobre 2027) et les actes délégués
• Mener une revue annuelle des évaluations des risques et de la documentation
• Postuler au financement SECURE UE si éligible (jusqu'à 30 000 € pour les micro-PME)

Sanctions et application

Les sanctions du CRA sont à deux niveaux :

Les autorités peuvent aussi retirer ou rappeler des produits, interdire la vente, émettre des injonctions de mise en conformité et dénoncer publiquement les entreprises non conformes.

Les plafonds s'expriment en pourcentage du chiffre d'affaires mondial annuel ou en montant fixe, le plus élevé des deux étant retenu ; le montant effectif d'une sanction relève des autorités de surveillance du marché, au regard de la gravité et de la durée du manquement.

Normes harmonisées : où en est le calendrier

Les exigences essentielles de l'annexe I sont formulées en objectifs, pas en spécifications techniques. Ce sont les normes harmonisées qui feront la traduction : un produit conforme à une norme harmonisée citée au Journal officiel de l'UE bénéficiera de la présomption de conformité prévue à l'article 27 du règlement.

La demande de normalisation M/606, acceptée par le CEN, le CENELEC et l'ETSI en 2025, porte sur 41 normes : une quinzaine de normes horizontales, applicables à tous les produits du champ, et le reste de normes verticales, par catégorie de produits importants ou critiques. Le calendrier fixé par la demande place les deux normes horizontales principales (développement sécurisé et traitement des vulnérabilités) au 30 août 2026, les normes verticales au 30 octobre 2026 et les normes horizontales restantes en octobre 2027.

À la mi-2026, aucune norme harmonisée CRA n'est citée au Journal officiel. La présomption de conformité n'est donc disponible pour aucune catégorie de produit, et la citation au Journal officiel suivra la livraison des normes selon un calendrier que la Commission n'a pas encore publié. Cela ne justifie pas d'attendre : l'auto-évaluation se fait dès aujourd'hui directement contre les exigences de l'annexe I, et les projets de normes soumis à consultation donnent une indication des attentes techniques. La Commission tient par ailleurs une FAQ technique sur la mise en œuvre du CRA, mise à jour en juillet 2026, qui répond aux questions récurrentes des opérateurs sur le périmètre et les obligations.

CRA vs NIS2 : comment ils interagissent

Beaucoup de PME seront soumises aux deux. Voici comment ils diffèrent et se chevauchent :

Si vous êtes un fabricant de logiciels et une « Entité importante » sous NIS2, vous avez une double obligation. Mais la documentation technique, l'évaluation des risques et la gestion des vulnérabilités du CRA s'alignent étroitement sur les mesures de l'article 21 de NIS2. Un programme de sécurité bien structuré sert les deux. Pour le volet organisationnel, voyez notre guide NIS2 pour les PME.

Le socle organisationnel du CRA dans Komplyo

Les devoirs de sécurité produit du CRA (évaluation des risques, gestion des vulnérabilités, configuration sécurisée par défaut, documentation technique) reposent sur une base de sécurité organisationnelle. Komplyo utilise le NIST CSF 2.0 comme référentiel d'évaluation et projette les réponses sur NIS2, le RGPD, l'ISO 27001 et SOC 2 ; les lacunes identifiées alimentent une feuille de route priorisée et les documents générés. La page Conformité CRA détaille la couverture, et le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier score de maturité par fonction CSF.

Foire aux questions

Le Cyber Resilience Act s'applique-t-il aux logiciels ou seulement au matériel ?

Aux deux. Le CRA couvre tout « produit avec éléments numériques » capable de se connecter à un appareil ou un réseau, y compris les logiciels autonomes, les applications mobiles, les firmware et le SaaS avec composants de traitement de données à distance.

À partir de quand le CRA s'applique-t-il vraiment ?

Les obligations de notification de l'article 14 s'appliquent dès le 11 septembre 2026, et l'ensemble des obligations dès le 11 décembre 2027. Les produits mis sur le marché après cette date doivent être conformes.

Les petites entreprises doivent-elles payer une certification par un tiers ?

En général non. La plupart des logiciels et produits IoT des PME relèvent des classes « Standard » ou « Importants Classe I », qui autorisent l'auto-évaluation. Seuls les produits de Classe II et critiques (pare-feu, systèmes de contrôle industriel, matériel de sécurité) exigent une évaluation par un tiers ou un certificat européen de cybersécurité.

Quels sont les délais de notification du CRA ?

Pour les vulnérabilités activement exploitées et les incidents graves : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous 14 jours (vulnérabilités) ou 1 mois (incidents), adressés à votre CSIRT national et à l'ENISA.

Faut-il attendre les normes harmonisées pour se mettre en conformité ?

Non. Aucune norme harmonisée CRA n'est citée au Journal officiel à la mi-2026 ; la demande de normalisation M/606 prévoit les premières livraisons entre août et octobre 2026. En attendant, l'auto-évaluation se fait directement contre les exigences essentielles de l'annexe I, et les obligations de notification de l'article 14 s'appliquent le 11 septembre 2026 sans dépendre de la publication des normes.

Combien de temps dois-je supporter un produit sous le CRA ?

Au minimum 5 ans (ou la durée de vie prévue du produit si elle est plus courte). Les mises à jour de sécurité doivent rester disponibles pendant au moins 10 ans après leur publication, et la date de fin de support doit être communiquée aux acheteurs lors de l'achat.

Ressources et outils gratuits

En résumé

Pour une PME, l'analyse CRA tient en trois points : le périmètre (un produit avec éléments numériques, mis sur le marché UE, dans le cadre d'une activité commerciale), la classe du produit (Standard, Important I ou II, Critique), qui détermine le mode d'évaluation de la conformité, et l'attribution de la coordination, entre ingénierie, juridique et opérations. La non-conformité expose aux sanctions et au retrait du marché ; à l'inverse, un cycle de vie de sécurité documenté répond aux exigences que les équipes d'achat intègrent dans leurs évaluations de fournisseurs.

Des cadres comme le NIST CSF 2.0, l'ISO 27001 et NIS2 fournissent la structure organisationnelle ; le règlement fixe les échéances, avec l'article 14 applicable dès le 11 septembre 2026 et l'ensemble des obligations au 11 décembre 2027.