Le Cyber Resilience Act (CRA) est un règlement européen qui impose des exigences de cybersécurité à tout produit comportant des éléments numériques mis sur le marché de l'Union. Autrement dit, si votre entreprise conçoit un équipement connecté, une machine pilotée par du code embarqué ou un dispositif communicant, ce texte vous concerne directement. Le CRA vise à renforcer la cybersécurité des produits sur l'ensemble de leur cycle de vie, de la conception jusqu'au retrait du marché.
Qui est concerné par le CRA
Le texte s'applique aux produits comportant des éléments numériques, définis comme les produits logiciels ou matériels et leurs solutions de traitement de données à distance, y compris les composants mis sur le marché séparément. Cette définition large concerne aussi bien le matériel que le code qu'il exécute.
Le champ d'application vise trois acteurs. Il couvre le fabricant, l'importateur et le distributeur, chacun avec des obligations prévues par le règlement. Aucun acteur de la chaîne n'échappe au système. Un équipement industriel, une borne, un terminal de paiement, un capteur connecté, un objet grand public relèvent tous du même cadre européen dès lors qu'ils embarquent des éléments numériques.
La logique diffère de la directive NIS2.
Cette dernière régule les organisations, le Cyber Resilience Act (CRA) régule les produits concernés eux-mêmes. Les deux textes se complètent au sein du cadre européen défini par la Commission européenne.
Le calendrier d'entrée en application
L'entrée en vigueur date de fin 2024, mais le texte entrera en application progressivement entre juin 2026 et la fin 2027.
Juin 2026 marque les premières obligations, avec la notification des organismes d'évaluation de la conformité. L'objectif est de rendre la chaîne d'évaluation opérationnelle avant l'échéance principale.
L'échéance de septembre constitue la première date ferme pour les industriels.
Les fabricants devront notifier certaines vulnérabilités activement exploitées et les incidents graves via les dispositifs nationaux prévus, en pratique la plateforme unique de l'ENISA, qui transmettra l'information au CSIRT coordinateur national, le CERT-FR pour la France. Toute vulnérabilité exploitée doit être signalée sous vingt-quatre heures par le fabricant.
Fin 2027 correspond à l'application complète. Les produits devront être conformes, et le marquage CE intégrera officiellement la cybersécurité.
Point de vigilance !
Les produits déjà vendus avant cette date ne sont pas soumis rétroactivement aux exigences principales, sauf modification substantielle. En revanche, l'obligation de signalement s'applique au parc existant.
Les acteurs nationaux et le contrôle
En France, l'ANSSI assurera le rôle d'autorité notifiante au titre du CRA en charge d'évaluer, de contrôler et de notifier les organismes d'évaluation de la conformité exerçant dans ce cadre.
La surveillance du marché sera assurée par l'ANFR, avec l'appui de l'ANSSI.
Cette autorité nationale pourra conduire une analyse de marché du produit, réaliser une étude documentaire et prendre les mesures correctives nécessaires.
L'agence agit ici comme appui technique.
Les entreprises qui ne respecteraient pas leurs obligations s'exposent à des sanctions pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, allant jusqu'au retrait du marché.
Ce que le règlement exige concrètement
Le règlement vise à imposer des obligations qui dépassent la seule protection du dispositif. Voici les dispositions applicables.
La sécurité
doit être intégrée dès la conception, et non ajoutée en correctif tardif.
La gestion des vulnérabilités
doit être continue sur tout le cycle de vie des produits, avec une période d'assistance définie. Chaque vulnérabilité identifiée implique une correction et, le cas échéant, une notification.
La documentation technique
doit être maintenue et pourra être exigée par les autorités de surveillance du marché. C'est la preuve à produire en cas de contrôle.
L'évaluation de la conformité
suit des procédures définies selon la classe du produit, avant sa mise sur le marché de l'Union. Chaque niveau de risque appelle une procédure adaptée, en s'appuyant sur les normes harmonisées publiées à cet effet.
Un fabricant doit donc savoir précisément quels composants il embarque, qui pilote le traitement des failles et comment il apporte la preuve de sa conformité.
C'est là qu'un inventaire des dépendances, le fameux SBOM, devient un outil de travail plutôt qu'une formalité réglementaire.
Le point critique, votre logiciel embarqué
Pour un industriel, la difficulté n'est pas de comprendre le texte. Elle est de le traduire dans des équipements déjà déployés, parfois anciens, dont personne ne maîtrise l'ensemble du code.
Un produit resté dix ans en service intègre des bibliothèques dont le suivi s'est perdu. Identifier ces composants, évaluer leur exposition, mettre en place une chaîne de correction et transmettre une notification dans les délais suppose une capacité d'intervention directe sur le code.
C'est précisément le métier d'Elipce Solutions : Notre activité d'éditeur de logiciel embarqué couvre la conception, le développement et la maintenance de programmes intégrés dans des équipements industriels et de terrain, y compris la reprise de bases de code existantes. Ce travail facilite la mise en conformité sans repartir de zéro.
Comment se préparer dès maintenant
Même si l'échéance principale se situe en 2027, la préparation doit commencer sans attendre.
- Cartographiez les produits concernés et leur classification au regard du texte, en identifiant ceux qui relèvent du champ d'application.
- Évaluez votre maturité en matière de cybersécurité et relevez les écarts entre l'existant et les exigences essentielles.
- Structurez une gouvernance de la conformité, avec un responsable identifié et un niveau de sécurité cible défini.
- Appuyez-vous sur les normes et dispositifs déjà en place plutôt que de tout reprendre. Adopter une démarche progressive reste la voie la plus réaliste.
- Préparez la chaîne de signalement des incidents dès à présent, puisque c'est la première obligation applicable. Impliquer les équipes techniques tôt évite l'urgence.
Questions fréquentes
Un texte européen, référencé (UE) 2024/2847, adopté pour définir des exigences essentielles de cybersécurité applicables aux produits comportant des éléments numériques vendus dans l'Union. Chaque État membre en organise le contrôle.
Les fabricants, importateurs et distributeurs de produits logiciels ou matériels connectables vendus sur le marché européen.
Il va entrer en application progressivement entre juin 2026 et fin 2027, avec une première échéance relative au signalement des failles à l'automne 2026.
Les produits mis sur le marché avant décembre 2027 échappent aux exigences principales, sauf modification substantielle. L'obligation de notification s'applique néanmoins au parc existant dès septembre 2026.
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.
Le CRA déplace la cybersécurité du statut d'argument commercial vers celui d'exigence opposable. Pour l'utilisateur final, c'est une garantie. Pour l'industriel du secteur, c'est un chantier à lancer maintenant.
Si vos produits embarquent du code et que la mise en œuvre vous semble hors de portée avec vos ressources actuelles,