Le Cyber Resilience Act (CRA) arrive.
Votre produit est-il prêt ?

Le CRA a été adopté au niveau européen et sa mise en œuvre se déroule par phases.

• La première échéance est fixée au 11 septembre 2026, date d’entrée en vigueur des obligations de signalement.
• La conformité totale est exigée à partir du 11 décembre 2027.

Cela peut sembler laisser du temps, mais intégrer la sécurité dans vos processus de développement et de support ne se fait pas du jour au lendemain. Plus vous commencez tôt, plus vous avez de marge pour bien faire les choses.

Cela dépend du type de logiciel concerné. Si votre logiciel doit être installé localement et nécessite une connexion réseau, il entre le plus souvent dans le champ d’application. Les produits purement SaaS ne sont en général pas couverts par le CRA, mais peuvent relever de NIS2. La frontière n’est pas toujours nette, et l’UE travaille encore sur des lignes directrices techniques pour la clarifier. En cas de doute, contactez-nous : nous l’établirons ensemble.

Cela dépend du mode de distribution du logiciel. Un logiciel open source développé et partagé à titre non commercial est en général exempté du CRA. En revanche, si vous en tirez un revenu, proposez un support payant, ou l’intégrez à un produit commercial, vous pouvez entrer dans le champ d’application. La frontière n’est pas toujours évidente, et l’UE travaille encore sur des lignes directrices techniques pour clarifier les cas limites. Si votre organisation distribue ou développe des solutions commerciales à partir de logiciels open source, il est recommandé d’évaluer votre situation avec attention.

L’ISO 27001 constitue une base solide, mais elle ne suffit pas à elle seule. Elle porte sur la manière dont votre organisation gère la sécurité de l’information. Le CRA va plus loin en fixant des exigences spécifiques pour les produits que vous concevez et commercialisez : leur conception, la gestion des vulnérabilités après leur mise sur le marché, ainsi que la documentation et la preuve de votre conformité.

Cela dit, l’ISO 27001 et le CRA se complètent bien. La version 2022 de la norme ISO 27001 inclut plusieurs mesures de l’Annexe A spécifiquement dédiées au développement sécurisé, couvrant notamment les pratiques de codage sécurisé, la protection des environnements de test et la sécurité des processus de développement et de support. Ces mesures constituent un bon point de départ, mais le CRA exige une approche plus spécifique au produit et davantage documentée, qui va au-delà de ce que demande l’ISO 27001 à elle seule.

Ces deux réglementations visent des objets différents. NIS2 porte sur la manière dont les organisations protègent leurs propres systèmes, réseaux et activités. Le CRA, lui, porte sur les produits qu’elles conçoivent et commercialisent.

Si votre organisation relève de NIS2 et développe ou distribue également des produits comportant des éléments numériques, les deux réglementations s’appliquent à vous. En pratique, elles se complètent : une gouvernance solide et une bonne gestion des risques au titre de NIS2 constituent une base utile pour la conformité au CRA, mais ce dernier ajoute des obligations propres aux produits que NIS2 ne couvre pas.

Le non-respect du CRA peut entraîner des amendes, des mesures coercitives, voire une interdiction de vente de votre produit sur le marché européen. Au-delà des conséquences juridiques, cela peut également nuire à vos relations avec vos clients et partenaires, ainsi qu’à votre couverture d’assurance. Plus fondamentalement, le CRA vise à relever le niveau d’exigence pour l’ensemble des produits numériques en Europe. Les organisations qui en font une priorité stratégique plutôt qu’une simple obligation légale seront mieux positionnées, tant sur le plan commercial que sur celui de leur réputation.

La conformité au titre du CRA se démontre principalement par le marquage CE, associé à une évaluation de conformité documentée. Vous devez donc pouvoir démontrer quelle analyse de risques a été menée, quelles mesures de sécurité ont été mises en place, comment les vulnérabilités sont surveillées et traitées, et comment les mises à jour de sécurité sont mises à disposition. Le CRA impose également que certaines informations soient rendues publiques, notamment les risques pertinents et les aspects de sécurité de votre produit. En résumé, la conformité ne se limite pas à ce que vous faites : elle repose sur votre capacité à le prouver, de façon claire et cohérente.

Cingulum peut vous accompagner dans la préparation de l’ensemble de ces documents de conformité.

À partir du 11 septembre 2026, les organisations devront signaler aux autorités nationales compétentes les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Le calendrier de signalement est strict : une alerte précoce doit être transmise dans les 24 heures suivant la prise de connaissance de l’incident, suivie d’une notification plus détaillée dans les 72 heures. Cela suppose des processus internes clairs, bien avant l’échéance. De nombreuses organisations sous-estiment l’ampleur de la préparation structurelle nécessaire, qu’il s’agisse de définir les responsabilités ou de mettre en place les bons processus de surveillance et de documentation.

Oui. Dès lors que vos produits sont mis sur le marché européen, le CRA s’applique, quel que soit le lieu où se trouve votre organisation. La réglementation suit le produit, pas le producteur. Si vous vendez à des clients dans l’UE, importez dans l’UE, ou distribuez sous votre propre marque au sein de l’UE, vous êtes concerné(e). De nombreux fabricants et éditeurs de logiciels non européens sont ainsi concernés, même sans présence physique en Europe.