Cyber Resilience Act (CRA) : ce qui change pour les entreprises et comment s’y préparer

Avec la transformation numérique, la diffusion des produits connectés, des logiciels embarqués et des matériels interopérables s’intensifie et gagne l’ensemble des secteurs d’activité. Cette évolution offre de nouvelles opportunités pour l’économie française et européenne, tout en exposant davantage les entreprises et les utilisateurs aux vulnérabilités et aux attaques cyber. Dans ce contexte, l’Union européenne a adopté le Cyber Resilience Act (CRA) pour renforcer la cybersécurité des produits comportant des éléments numériques.

Qu’est-ce que le Cyber Resilience Act ?

Le Cyber Resilience Act (CRA) a pour objectif d’élever le niveau de cybersécurité de l’ensemble des produits comportant des éléments numériques mis sur le marché européen, qu’il s’agisse de matériels, de logiciels ou de solutions hybrides.

En complément d’autres textes européens comme la directive NIS 2, le CRA concerne directement les produits et impose des obligations de cybersécurité pour leur mise sur le marché.

Avec la mise en place du CRA, la cybersécurité devient une exigence intrinsèque du produit, prise en compte dès sa conception et tout au long de son cycle de vie afin de renforcer la confiance des consommateurs et des entreprises dans les produits numériques.

Un champ d’application large : quels produits et quelles entreprises sont concernés ?

Ce que le CRA change concrètement pour les entreprises

La cybersécurité intégrée aux produits dès leur conception 

Le Cyber Resilience Act impose aux entreprises de prendre en compte la cybersécurité dès la phase de conception (« security by design ») et de l’assurer tout au long du cycle de vie du produit.

Cela se traduit notamment par : 

• l’identification et la réduction des risques cyber dès le développement ;
• la mise en place de mécanismes de mise à jour de sécurité ;
• l’absence de vulnérabilités connues lors de la mise sur le marché ;
• la capacité à réagir efficacement en cas d’incident ou de vulnérabilité découverte après commercialisation.

Une gestion continue des vulnérabilités

Le règlement introduit un cadre structuré de gestion des vulnérabilités, incluant :

• la mise en place de processus internes pour détecter, analyser et corriger les vulnérabilités ;
• une information transparente des utilisateurs sur les risques et les mises à jour de sécurité.

Obligations de notification

Dès septembre 2026, les fabricants devront notifier certaines vulnérabilités activement exploitées ou incidents significatifs via les dispositifs nationaux prévus à cet effet.

Les notifications devront être faites via la plateforme unique de l’ENISA qui transmettra automatiquement l’information au CSIRT, coordinateur national compétent. 

En France, il s’agit du CERT-FR, centre de réponse aux incidents de sécurité informatique (CSIRT) de l’Agence nationale de la sécurité des systèmes d'information (ANSSI), via le CERTson. Celui-ci assurera la réception, l’analyse et la coordination du traitement des vulnérabilités ou incidents signalés, en lien avec les autorités compétentes.

Évaluations de conformité et marquage

Le CRA distingue différents niveaux de criticité des produits numériques. Pour les produits les plus sensibles, des procédures d’évaluation de la conformité par des organismes tiers sont prévues. Ces organismes d’évaluation de la conformité seront accrédités et notifiés au niveau national. 

Le marquage CE attestera de la conformité au CRA pour la mise sur le marché.

Les autorités nationales impliquées 

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est activement impliquée dans la mise en œuvre du CRA. 

L’ANSSI assurera le rôle d’autorité notifiante au titre du CRA en charge d’évaluer, de contrôler et de notifier les organismes d’évaluation de la conformité (OEC) exerçant dans ce cadre, tandis que la surveillance du marché sera assurée par l’ANFR, avec l’appui technique de l’ANSSI. 

Une responsabilité accrue et des sanctions dissuasives

Les entreprises qui ne respecteraient pas les obligations du CRA s’exposeront à des mesures de surveillance ou de contrôle et de sanction, pouvant aller jusqu’à : 

• la mise en conformité ;
• la restriction ou l’interdiction de mise sur le marché européen ;
• le retrait ou le rappel des produits ;
• des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.

Comment les entreprises peuvent se préparer dès maintenant

Même si toutes les obligations ne s’appliqueront pleinement qu’en 2027, la préparation doit commencer sans attendre.

Le CRA : une contrainte, mais aussi une opportunité

Au-delà des obligations, le CRA constitue une opportunité stratégique pour les entreprises. Il permet de : 

• renforcer la transparence des clients et des utilisateurs ;
• valoriser la cybersécurité comme un avantage compétitif ;
• contribuer à la construction d’un marché européen de produits numériques de confiance.

En anticipant dès aujourd’hui les exigences du Cyber Resilience Act, les entreprises se donnent les moyens de transformer cette évolution réglementaire en levier de compétitivité et de résilience.