En résumé
- Le Cyber Resilience Act (règlement (UE) 2024/2847) impose des exigences de cybersécurité à tout produit comportant des éléments numériques vendu dans l’Union européenne, qu’il s’agisse d’un logiciel ou d’un matériel connecté.
- Depuis le 11 septembre 2026, les fabricants doivent signaler toute vulnérabilité activement exploitée et tout incident grave dans un délai de 24 heures, via la plateforme unique de signalement de l’ENISA.
- Le 11 décembre 2027, toutes les obligations du Cyber Resilience Act deviendront applicables : exigences essentielles, nomenclature logicielle (SBOM), correctifs pendant au moins cinq ans et marquage CE.
- Le non-respect des exigences essentielles ou de l’obligation de signalement du Cyber Resilience Act est passible d’une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.
Quelles sont les obligations du Cyber Resilience Act pour votre entreprise, et lesquelles s’appliquent déjà ? Si vous éditez un logiciel, fabriquez un objet connecté ou importez du matériel numérique, la réponse est concrète : vous devez déjà déclarer certaines failles en 24 heures. Pour une vue d’ensemble des textes (NIS2, DORA, RGPD), consultez notre guide complet de la cybersécurité en entreprise.
Qu’est-ce que le Cyber Resilience Act ?
Le Cyber Resilience Act est un règlement européen qui fixe des exigences de cybersécurité obligatoires pour les produits comportant des éléments numériques, de leur conception jusqu’à la fin de leur période d’assistance. Il s’applique directement dans tous les États membres, sans loi de transposition, et vise les fabricants, importateurs et distributeurs.
Le texte a été adopté le 23 octobre 2024 et publié au Journal officiel de l’UE le 20 novembre 2024. Il est entré en vigueur le 10 décembre 2024, selon la Commission européenne. Comme pour un appareil électrique, un produit numérique non conforme pourra être retiré du marché.
Votre entreprise est-elle concernée par le Cyber Resilience Act ?
Votre entreprise est concernée par le Cyber Resilience Act si elle met sur le marché européen un logiciel ou un matériel capable de se connecter, directement ou indirectement, à un appareil ou à un réseau. Les éditeurs de logiciels installés, les fabricants d’objets connectés, les importateurs et les distributeurs ont chacun des obligations propres.
Le SaaS pur relève en principe d’un autre texte. Le considérant 12 du règlement précise que la directive NIS2 s’applique aux services en nuage (SaaS, PaaS, IaaS). En revanche, une fonction cloud conçue par le fabricant pour piloter son produit, comme l’application qui commande à distance un appareil connecté, entre dans le périmètre du Cyber Resilience Act.
Le règlement classe les produits en quatre niveaux. Le niveau détermine la procédure d’évaluation de la conformité.
| Catégorie | Exemples cités par le règlement | Évaluation de la conformité |
|---|---|---|
| Produits « par défaut » | La majorité des logiciels et objets connectés non listés dans les annexes | Autoévaluation possible par le fabricant |
| Produits importants, classe I (annexe III) | Gestion des identités et des accès privilégiés, navigateurs, gestionnaires de mots de passe, antimalwares, VPN, SIEM | Autoévaluation si une norme harmonisée est appliquée, sinon tiers |
| Produits importants, classe II (annexe III) | Hyperviseurs et environnements d’exécution de conteneurs, pare-feu, systèmes de détection et de prévention d’intrusion | Évaluation par un organisme notifié |
| Produits critiques (annexe IV) | Boîtiers de sécurité matériels, passerelles de compteurs intelligents, cartes à puce | Certification européenne ou organisme notifié |
Les règles applicables aux organismes notifiés (chapitre IV, articles 35 à 51) s’appliquent depuis le 11 juin 2026, selon l’article 71 du règlement. Si votre produit relève de la classe II, identifiez dès maintenant l’organisme qui l’évaluera et intégrez son calendrier à votre roadmap produit.
Quelles obligations du Cyber Resilience Act s’appliquent depuis le 11 septembre 2026 ?
Depuis le 11 septembre 2026, l’article 14 du Cyber Resilience Act oblige les fabricants à notifier toute vulnérabilité activement exploitée et tout incident grave affectant la sécurité de leurs produits. Cette obligation vaut pour tous les produits déjà disponibles sur le marché européen, y compris ceux vendus avant cette date.
La notification passe par la plateforme unique de signalement (Single Reporting Platform), mise en service par l’ENISA le 11 septembre 2026. Le fabricant déclare une seule fois. Le CSIRT coordinateur de l’État membre de son établissement principal reçoit la notification, l’ENISA en même temps, puis l’information est relayée aux autres États où le produit est vendu.
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | 24 heures après en avoir eu connaissance | 24 heures après en avoir eu connaissance |
| Notification complète | 72 heures | 72 heures |
| Rapport final | 14 jours au plus tard après la mise à disposition d’un correctif ou d’une mesure d’atténuation | Un mois après la notification de 72 heures |
Ces délais sont ceux publiés par la Commission européenne dans sa page sur les obligations de signalement, mise à jour le 11 septembre 2026. Le délai court à partir du moment où vous « prenez connaissance » de l’exploitation. Sans veille ni astreinte, ce moment arrive souvent trop tard.
Quelles obligations arriveront le 11 décembre 2027 ?
Le 11 décembre 2027, l’ensemble du Cyber Resilience Act deviendra applicable : sécurité dès la conception, gestion des vulnérabilités, documentation technique, évaluation de la conformité et marquage CE. Un produit qui ne respecte pas ces exigences essentielles ne pourra plus être mis à disposition sur le marché européen.
Quatre exigences pèsent le plus sur les équipes techniques :
- Sécurité par défaut : pas de vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, protection des données et des accès (annexe I, partie I).
- SBOM : une nomenclature des logiciels « dans un format couramment utilisé et lisible par machine », couvrant au moins les dépendances de premier niveau (annexe I, partie II, point 1).
- Période d’assistance : des correctifs de sécurité pendant au moins cinq ans, ou pendant la durée d’utilisation prévue si elle est plus courte (article 13, paragraphe 8).
- Divulgation coordonnée : une politique publique de traitement des vulnérabilités et un point de contact pour les signaler.
L’engagement de cinq ans change le modèle économique d’un produit. Il faut budgéter la maintenance de sécurité et la conserver dans l’équipe, même quand la roadmap passe à la version suivante.
Quelles sanctions prévoit le Cyber Resilience Act ?
Le Cyber Resilience Act prévoit trois niveaux d’amendes administratives, dont le plus élevé atteint 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond vise les manquements aux exigences essentielles de l’annexe I et aux obligations des articles 13 et 14.
Selon l’article 64 du règlement (UE) 2024/2847 du 23 octobre 2024, les autres obligations sont plafonnées à 10 millions d’euros ou 2 % du chiffre d’affaires, et les informations inexactes ou trompeuses à 5 millions d’euros ou 1 %. Les microentreprises et petites entreprises ne sont pas sanctionnées pour le seul dépassement du délai d’alerte de 24 heures. En France, l’ANSSI a précisé le 23 septembre 2026 que l’ANFR assurera le contrôle et la surveillance des produits sur le marché.
Comment se mettre en conformité avec le Cyber Resilience Act ?
La mise en conformité avec le Cyber Resilience Act commence par l’obligation déjà en vigueur, le signalement en 24 heures, puis s’étend aux exigences de conception avant décembre 2027. Voici l’ordre de priorité que nous recommandons à un éditeur ou un fabricant :
- Inventorier les produits vendus dans l’UE et les classer : par défaut, classe I, classe II ou critique.
- Désigner un responsable du signalement et un suppléant, avec un accès à la plateforme de l’ENISA et une astreinte couvrant week-ends et jours fériés.
- Écrire la procédure 24 h / 72 h / rapport final et la tester sur un scénario fictif, comme un exercice de crise.
- Générer un SBOM dans la chaîne CI/CD pour chaque version publiée, puis le croiser avec les bases de vulnérabilités.
- Publier une politique de divulgation coordonnée et une adresse de contact dédiée aux chercheurs en sécurité.
- Fixer la période d’assistance de chaque produit et le budget de maintenance associé.
- Préparer la documentation technique et, pour les classes II et critiques, réserver un organisme notifié.
Les erreurs fréquentes à éviter
- Confier le sujet au seul service juridique : la conformité se joue dans le code, la chaîne de build et la gestion des correctifs.
- Oublier les produits déjà vendus : l’obligation de signalement les couvre aussi.
- Produire un SBOM une seule fois : il doit suivre chaque version.
- Confondre CRA et NIS2 : une entreprise peut relever des deux, comme fabricant d’un produit et comme exploitant d’un service essentiel.
Pour les fondamentaux (sauvegardes, MFA, correctifs), lisez notre article sur les bonnes pratiques de cybersécurité pour protéger une PME les résume.
Quelles compétences mobiliser pour respecter le Cyber Resilience Act ?
Respecter le Cyber Resilience Act demande trois familles de compétences : la sécurité applicative (DevSecOps, SBOM, tests), la gestion des vulnérabilités et des incidents (veille, SOC, réponse), et la conformité (GRC, documentation, évaluation). Peu d’éditeurs réunissent ces trois familles en interne.
| Besoin CRA | Profil | Salaire confirmé (3-6 ans) | TJM freelance |
|---|---|---|---|
| Tests d’intrusion, recherche de vulnérabilités avant mise sur le marché | Pentester / Ethical Hacker | 52-66 k€ | 600-900 € |
| Détection de l’exploitation, alerte en 24 heures | Analyste SOC (N1/N2) | 42-54 k€ | 380-560 € |
| Sécurité des produits connectés au cloud, chaîne CI/CD | Ingénieur sécurité cloud | 56-70 k€ | 620-880 € |
| Analyse de risques, documentation technique, évaluation de conformité | Consultant GRC | 46-58 k€ | 450-650 € |
Ces fourchettes proviennent du baromètre des salaires et TJM IT d’EasyPartner, établi à partir de plus de 2 000 placements. Elles concernent l’Île-de-France. Le baromètre indique un écart de -10 à -18 % en région.
Comment arbitrer ? Recrutez en CDI pour la compétence durable, celle qui assurera les cinq ans d’assistance : un ingénieur DevSecOps ou un référent sécurité produit. Renforcez en assistance technique pour les pics : premier inventaire, mise en place du SBOM, documentation de conformité. Formez enfin vos développeurs au développement sécurisé, car l’exigence de sécurité dès la conception s’applique à chaque ligne de code.
Notre panorama des métiers de la cybersécurité qui recrutent détaille ces profils.
Questions fréquentes
Le Cyber Resilience Act s’applique-t-il aux logiciels SaaS ?
Non, en principe. Le considérant 12 du règlement renvoie les services en nuage (SaaS, PaaS, IaaS) vers la directive NIS2. Une exception existe : une fonction cloud conçue par le fabricant et nécessaire au fonctionnement de son produit relève du Cyber Resilience Act.
Les logiciels open source sont-ils concernés par le Cyber Resilience Act ?
Oui, dès qu’ils sont intégrés à un produit commercialisé. Le fabricant qui embarque un composant open source répond de sa sécurité. Les « intendants de logiciels ouverts » (fondations, par exemple) ont des obligations allégées, applicables à partir du 11 décembre 2027, et ne sont pas soumis aux amendes de l’article 64.
Quel délai pour signaler une vulnérabilité exploitée ?
24 heures pour l’alerte précoce. La notification complète suit sous 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d’un correctif. Tout passe par la plateforme unique de signalement de l’ENISA, ouverte le 11 septembre 2026.
Quelle est la différence entre le Cyber Resilience Act et NIS2 ?
Le Cyber Resilience Act vise les produits, NIS2 vise les organisations. Le CRA impose des règles à ceux qui fabriquent et vendent des produits numériques. NIS2 impose une gestion des risques aux entités essentielles et importantes de 18 secteurs, et doit être transposée en droit national, contrairement au CRA, directement applicable.
Sources
- Parlement européen et Conseil, règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act), Journal officiel de l’UE, 20 novembre 2024.
- Commission européenne, Cyber Resilience Act : Reporting obligations, mise à jour le 11 septembre 2026.
- Commission européenne, Cyber Resilience Act, mise à jour le 7 septembre 2026.
- ENISA, The CRA Single Reporting Platform is launched, 11 septembre 2026.
- ANSSI, Cyber Résilience Act : l’ANSSI, l’ANFR et la DGE accompagnent les fabricants, 23 septembre 2026.
- EasyPartner, Baromètre des salaires et TJM IT, consulté le 9 novembre 2026.