CRALes nouvelles obligations de cybersécurité pour les produits numériques
La cybersécurité devient une condition de mise sur le marché des produits numériques : sécurité dès la conception, gestion des vulnérabilités et mises à jour tout au long du cycle de vie.
Qu’est-ce que le Cyber Resilience Act ?
Pendant des années, les fabricants de produits numériques ont pu commercialiser des appareils connectés et des logiciels sans aucune obligation formelle en matière de cybersécurité. Le résultat est connu : des millions de produits vulnérables sur le marché, des mises à jour de sécurité inexistantes ou trop tardives, et des utilisateurs exposés à des risques qu’ils ne pouvaient pas anticiper.
Le Cyber Resilience Act (CRA), règlement (UE) 2024/2847, met fin à cette situation. Entré en vigueur le 10 décembre 2024, il est le premier règlement mondial imposant des exigences obligatoires de cybersécurité à tous les produits comportant des éléments numériques commercialisés sur le marché européen : logiciels, appareils connectés, objets IoT, équipements informatiques et systèmes intégrant de l’intelligence artificielle. Il responsabilise les fabricants, les importateurs, les distributeurs et éditeurs sur toute la durée de vie du produit, avec un minimum de cinq ans de support de sécurité.
Avec les obligations de notification des vulnérabilités applicables dès septembre 2026 et l’application complète du règlement prévue pour décembre 2027, le temps de l’anticipation est aujourd’hui. Cette page vous présente les exigences clés du CRA, son calendrier d’application, les sanctions encourues et les étapes concrètes pour engager votre mise en conformité.
Pendant des années, les fabricants de produits numériques ont pu commercialiser des appareils connectés et des logiciels sans aucune obligation formelle en matière de cybersécurité. Le résultat est connu : des millions de produits vulnérables sur le marché, des mises à jour de sécurité inexistantes ou trop tardives, et des utilisateurs exposés à des risques qu’ils ne pouvaient pas anticiper.
Le Cyber Resilience Act (CRA), règlement (UE) 2024/2847, met fin à cette situation. Entré en vigueur le 10 décembre 2024, il est le premier règlement mondial imposant des exigences obligatoires de cybersécurité à tous les produits comportant des éléments numériques commercialisés sur le marché européen : logiciels, appareils connectés, objets IoT, équipements informatiques et systèmes intégrant de l’intelligence artificielle. Il responsabilise les fabricants, les importateurs, les distributeurs et éditeurs sur toute la durée de vie du produit, avec un minimum de cinq ans de support de sécurité.
Avec les obligations de notification des vulnérabilités applicables depuis septembre 2026 et l’application complète du règlement prévue pour décembre 2027, le temps de l’anticipation est aujourd’hui. Cette page vous présente les exigences clés du CRA, son historique, son calendrier d’application, les sanctions encourues et les enjeux de sa mise en conformité.
Le CRA est le premier cadre réglementaire horizontal mondial dédié à la cybersécurité des produits numériques. Il s’attaque à deux problèmes structurels identifiés par la Commission européenne : le niveau inadéquat de cybersécurité dans de nombreux produits mis sur le marché, et le manque de mises à jour de sécurité en temps opportun. Selon l’ANSSI, le CRA permet la création d’un marché européen de produits numériques de confiance. En France, l’ANSSI est l’autorité notifiante chargée d’évaluer et de contrôler les organismes d’évaluation de la conformité, et l’Agence nationale des fréquences (ANFR) assure la surveillance du marché avec le soutien de l’ANSSI.
Les quatre catégories de produits
Le CRA distingue quatre catégories de produits selon leur niveau de risque, chacune soumise à des procédures d’évaluation de la conformité différentes.
-
Catégorie par défaut
Tous les produits numériques non classés dans les catégories suivantes. Auto-évaluation par le fabricant.
-
Produits importants de classe I
19 types de produits, incluant des systèmes d’information et des routeurs. Évaluation renforcée possible.
-
Produits importants de classe II
4 types de produits, tels que les hyperviseurs et les pare-feux. Évaluation obligatoire par un organisme notifié.
-
Produits critiques
3 types de produits, comme les dispositifs matériels avec boîtiers de sécurité. Certification européenne de cybersécurité (EUCC) requise.
Les exigences clés du Cyber Resilience Act
Les exigences essentielles de cybersécurité du CRA sont définies à l’Annexe I du règlement. Elles couvrent deux dimensions : les propriétés de sécurité des produits, et les obligations de gestion des vulnérabilités.
-
La sécurité dès la conception (Secure by Design, Secure by Default)
Le principe fondateur du CRA est l’intégration de la cybersécurité dès la conception des produits, et non a posteriori. Les fabricants doivent réaliser une évaluation des risques de cybersécurité lors de la conception, du développement et de la production, et concevoir leurs produits de façon à ce que :
- Aucune vulnérabilité exploitable connue ne soit présente lors de la mise sur le marché
- La surface d’attaque soit minimisée : ports fermés par défaut, services non essentiels désactivés
- La configuration par défaut soit sécurisée, sans que l’utilisateur ait à intervenir
- La confidentialité, l’intégrité et la disponibilité des données soient protégées
L’ANSSI défend ce principe de secure by design comme fondement de la sécurité des produits numériques, et l’intègre dans ses propres pratiques de développement de logiciels open source.
-
Les journaux d’événements (logs) pour la détection d’incidents
Les produits doivent être conçus pour produire des journaux d’événements permettant la détection des incidents de sécurité. Ces logs doivent être accessibles et exploitables par les utilisateurs pour identifier les comportements anormaux et réagir en cas d’incident.
-
Les mises à jour de sécurité automatiques ou facilement déployables
Les fabricants doivent fournir des mises à jour de sécurité gratuitement pendant toute la durée de vie prévue du produit, avec un minimum de cinq ans sauf justification d’un cycle de vie plus court. Ces mises à jour doivent être automatiques ou facilement déployables, et les utilisateurs doivent être informés de leur disponibilité.
-
La gestion des vulnérabilités et le programme CVD
Les fabricants doivent mettre en place un processus structuré de gestion des vulnérabilités, incluant :
- Un canal de réception des signalements de vulnérabilités (programme de divulgation coordonnée, CVD)
- Une équipe PSIRT (Product Security Incident Response Team) chargée de traiter les vulnérabilités signalées
- Un inventaire des composants logiciels (SBOM, Software Bill of Materials) maintenu à jour tout au long du cycle de vie du produit, aux formats standards CycloneDX ou SPDX
- La notification des vulnérabilités activement exploitées à l’ENISA via la Single Reporting Platform (SRP) dans les délais réglementaires
-
La documentation technique et la déclaration UE de conformité
Les fabricants doivent constituer et conserver une documentation technique complète démontrant la conformité du produit aux exigences essentielles du CRA. Cette documentation doit être conservée pendant dix ans après la mise sur le marché. Une déclaration UE de conformité doit être établie avant la commercialisation du produit.
-
Le marquage CE
Les produits conformes aux exigences du CRA doivent porter le marquage CE, qui atteste leur conformité aux exigences essentielles de cybersécurité. Ce marquage est obligatoire pour tous les produits concernés à partir du 11 décembre 2027.
Un peu « d'histoire » autour du Cyber Resilience Act
L'histoire du CRA retrace une prise de conscience progressive au niveau européen : la cybersécurité ne pouvait plus se limiter aux organisations, elle devait aussi s'imposer aux produits eux-mêmes, dès leur conception.
-
2021
L'annonce dans le discours sur l'état de l'Union
La présidente de la Commission européenne, Ursula von der Leyen, annonce pour la première fois l'intention de légiférer sur la cybersécurité des produits numériques, lors de son discours sur l'état de l'Union.
-
2022
Un mandat clair du Conseil
Le Conseil de l'Union européenne, dans ses conclusions du 23 mai 2022 sur le développement de la posture cyber de l'Union, invite formellement la Commission à soumettre sa proposition avant la fin de l'année 2022.
-
2022
La proposition de la Commission
Le 15 septembre 2022, la Commission européenne soumet sa proposition de règlement sur la cyber-résilience. Elle vise à compléter le cadre européen existant, construit autour de la directive NIS, de NIS 2 et de l'Acte sur la cybersécurité (Cybersecurity Act), en s'attaquant cette fois directement aux produits plutôt qu'aux organisations.
-
2023
L'accord en trilogue
Après plusieurs mois de négociations interinstitutionnelles entre la Commission, le Conseil et le Parlement européen, un accord provisoire est trouvé le 20 décembre 2023. Le texte final répond notamment aux inquiétudes exprimées par la communauté du logiciel libre, en clarifiant la notion d'activité commerciale et en prenant mieux en compte les petites et moyennes entreprises.
-
2024
L'adoption par le Parlement européen
Le Parlement européen adopte le texte le 12 mars 2024, avec 517 voix pour, 12 voix contre et 78 abstentions. Les députés obtiennent au passage l'inclusion explicite de produits comme les gestionnaires de mots de passe, les lecteurs biométriques, les assistants domestiques intelligents ou les caméras de sécurité privées.
-
2024
L'adoption par le Conseil
Le Conseil de l'Union européenne adopte formellement le règlement le 10 octobre 2024, dernière étape avant sa signature et sa publication au Journal officiel de l'Union européenne.
-
2024
L'entrée en vigueur
Le règlement (UE) 2024/2847 entre en vigueur le 10 décembre 2024. Conformément à son article 57, il prévoit une application échelonnée sur 36 mois, afin de laisser aux fabricants, importateurs et distributeurs le temps de s'organiser face à l'ampleur de leurs nouvelles obligations.
Le CRA face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Pourquoi la mise en conformité au CRA est-elle essentielle ?
Le CRA ne s’adresse pas à un marché de niche.
c'est le chiffre d'affaires annuel du marché européen des matériels et logiciels concernés par le règlement, selon l'évaluation d'impact de la Commission européenne. Des milliards d'appareils sont potentiellement concernés sur le territoire de l'Union.
c'est le coût direct de mise en œuvre du règlement estimé par la Commission européenne, pour l'ensemble des opérateurs économiques concernés.
c'est le coût moyen estimé d'un incident lié à un objet IoT, dommages immédiats et conséquences à plus long terme compris (atteinte à la réputation, sanctions réglementaires, perte de confiance des clients).
Source : évaluation d'impact de la Commission européenne sur le CRA ; études sectorielles sur la sécurité IoT, 2025-2026.
Face à cette réalité, les entreprises industrielles commencent à se mobiliser concrètement. Une enquête menée auprès de 200 entreprises industrielles allemandes en 2026 montre qu'un cinquième d'entre elles a déjà constitué une équipe interne dédiée à la mise en conformité CRA, et qu'un tiers supplémentaire y a affecté une partie de ses collaborateurs. Plus de 60 % des entreprises interrogées anticipent d'ailleurs un allongement de leurs cycles de développement produit du fait des nouvelles exigences de sécurité à intégrer.
Quels sont les avantages d'une mise en conformité anticipée ?
Au-delà de la conformité réglementaire, engager sa mise en conformité au CRA dès maintenant apporte des bénéfices concrets :
Réduction du risque de vulnérabilités critiques
Avantage concurrentiel sur le marché européen
Anticipation des délais de développement
Réduction du risque de retrait de marché
Valorisation de la gestion des vulnérabilités
Mutualisation avec les démarches de sécurité existantes
Le CRA transforme la cybersécurité produit d'un argument marketing optionnel en une exigence réglementaire structurante. Les organisations qui l'anticipent dès aujourd'hui transformeront cette contrainte en un avantage concurrentiel durable sur le marché européen.
Qui est concerné par le Cyber Resilience Act ?
Le CRA s’applique à tous les opérateurs économiques qui mettent des produits comportant des éléments numériques sur le marché européen, sans seuil de taille d’entreprise. Une startup qui commercialise une application, une PME qui fabrique des objets connectés, ou un grand groupe qui édite des logiciels professionnels sont tous concernés, dès lors que leurs produits sont mis sur le marché européen.
Trois catégories d’opérateurs économiques
Les fabricants de matériels et de logiciels
y compris les éditeurs de logiciels fournissant des logiciels indépendamment du matériel. Certaines obligations s'appliquent également aux intendants de logiciels libres (open source stewards).
Les importateurs de produits numériques
développés hors de l'Union européenne.
Les distributeurs
qui mettent des produits à disposition sur le marché européen.
Le cas particulier du SaaS
Le SaaS pur, c'est-à-dire un service entièrement hébergé sans composant installé chez l'utilisateur, est en principe hors périmètre du CRA. En revanche, si votre solution SaaS distribue des composants logiciels installés chez le client (agent, plugin, application desktop), ces composants peuvent être soumis aux exigences du règlement. La Commission européenne a publié des orientations spécifiques sur ce point pour aider les entreprises à déterminer précisément leur périmètre d'application.
Calendrier d’application du CRA
-
Passé
Entrée en vigueur du règlement
Le règlement (UE) 2024/2847 est publié au Journal officiel de l'Union européenne et entre en vigueur, ouvrant une période d'application échelonnée sur 36 mois.
-
Passé
Accréditation des organismes d’évaluation
Les obligations de notification pour les organismes d'évaluation de la conformité entrent en application. L'ANSSI, en tant qu'autorité notifiante en France, évalue et notifie les organismes habilités à certifier les produits importants et critiques.
-
Passé
Obligations de déclaration des vulnérabilités
Les fabricants doivent désormais notifier les vulnérabilités activement exploitées et les incidents graves via la Single Reporting Platform (SRP) gérée par l'ENISA : alerte précoce sous 24 heures, notification complète sous 72 heures, puis rapport final sous 14 jours pour une vulnérabilité exploitée (un mois pour un incident grave). Ces obligations s'appliquent à tous les produits déjà sur le marché, pas seulement aux nouveaux produits.
-
À venir
Application complète du règlement
L'ensemble des exigences essentielles du CRA s'appliquent. Le marquage CE intégrant la cybersécurité devient obligatoire pour tous les produits comportant des éléments numériques mis sur le marché européen. Les produits déjà commercialisés avant cette date ne sont soumis aux exigences principales que s'ils subissent une modification substantielle après le 11 décembre 2027.
Sanctions et risques en cas de non-conformité
Le CRA prévoit un régime de sanctions administratives à trois niveaux, proportionnés à la gravité de l’infraction.
Non-conformité aux exigences essentielles
Le non-respect des exigences essentielles de cybersécurité définies à l’Annexe I expose aux amendes les plus élevées du règlement.
Non-conformité aux obligations de processus
Le non-respect des obligations relatives aux processus de gestion des vulnérabilités, de documentation ou d’évaluation de la conformité est sanctionné jusqu’à ce plafond.
Fausses déclarations aux autorités
La fourniture d’informations incorrectes ou trompeuses aux autorités de contrôle expose à des amendes pouvant atteindre ce montant.
Au-delà des sanctions financières, les autorités nationales de surveillance du marché disposent de pouvoirs qui peuvent avoir un impact commercial direct et immédiat :
- Retrait ou rappel de produits : un produit non conforme peut être retiré du marché européen ou rappelé auprès des utilisateurs déjà équipés, avec les coûts logistiques et réputationnels que cela implique.
- Restriction ou interdiction de mise sur le marché : avant même la constatation d'une non-conformité avérée, les autorités peuvent restreindre ou interdire la commercialisation d'un produit jugé à risque.
- Mise en demeure de mise en conformité : une injonction formelle de corriger les manquements dans un délai défini, généralement avant tout passage à une sanction pécuniaire.
En France, l'Agence nationale des fréquences (ANFR) assure la surveillance du marché, avec le soutien technique de l'ANSSI. Pour une organisation qui commercialise ses produits dans plusieurs pays européens, une décision de retrait prise par une seule autorité nationale peut avoir des répercussions sur l'ensemble du marché unique.
Les étapes de mise en conformité au CRA
La mise en conformité au CRA est une démarche structurée qui implique plusieurs fonctions au sein de l’organisation, pas uniquement les équipes techniques.
-
Classification du produit
La première action consiste à identifier la catégorie CRA applicable à chaque produit : catégorie par défaut, produit important de classe I ou II, ou produit critique. Cette classification détermine directement les procédures d’évaluation de la conformité applicables et les délais à respecter.
-
Audit de sécurité produit
Pour chaque produit concerné, un audit de sécurité doit être réalisé pour évaluer la conformité aux exigences essentielles du CRA : analyse de l’architecture, revue du code, identification des vulnérabilités connues, et vérification de la configuration par défaut. L’ANSSI précise que les tests de sécurité à réaliser sont déterminés par la propre analyse de risques du fabricant, sans fréquence imposée par le règlement.
-
Politique de gestion des vulnérabilités
L’organisation doit mettre en place un processus formalisé de gestion des vulnérabilités, incluant un canal de réception des signalements (CVD), une équipe PSIRT dédiée, et les procédures de notification à l’ENISA dans les délais réglementaires : alerte précoce sous 24 heures, notification complète sous 72 heures, et rapport final sous 14 jours.
-
Documentation technique
La documentation technique démontrant la conformité du produit aux exigences essentielles du CRA doit être constituée et conservée pendant dix ans. Elle inclut notamment l’évaluation des risques de cybersécurité, les mesures de sécurité mises en œuvre, et le SBOM maintenu à jour.
-
Marquage CE
Selon la catégorie du produit, la procédure d’évaluation de la conformité peut être réalisée par auto-évaluation (catégorie par défaut et classe I dans certains cas) ou par un organisme notifié (classe II et produits critiques). Une fois la conformité établie, la déclaration UE de conformité est établie et le marquage CE apposé.
-
Formation des équipes
Les équipes de développement doivent être formées aux pratiques secure by design et aux exigences du CRA. Cette formation couvre la modélisation des menaces, les pratiques de développement sécurisé, la gestion des dépendances logicielles, et les procédures de notification des vulnérabilités.
CRA en 4 questions
Mon logiciel SaaS est-il concerné par le CRA ?
Le SaaS pur, c’est-à-dire un service entièrement hébergé sans composant installé chez l’utilisateur, est en principe hors périmètre du CRA. En revanche, si votre solution SaaS distribue des composants logiciels installés chez le client (agent, plugin, application desktop…), ces composants peuvent être soumis aux exigences du CRA. La Commission européenne a publié des orientations spécifiques sur ce point pour aider les entreprises à déterminer leur périmètre.
Qu’est-ce qu’un SBOM et est-il obligatoire ?
Le SBOM (Software Bill of Materials) est un inventaire exhaustif des composants logiciels d’un produit, incluant les bibliothèques tierces et leurs versions. Il est obligatoire pour les fabricants soumis au CRA. Il doit être maintenu à jour tout au long du cycle de vie du produit et régénéré à chaque nouvelle version. Les formats standards reconnus par la Commission européenne sont CycloneDX et SPDX.
Que se passe-t-il pour les produits déjà sur le marché avant décembre 2027 ?
Les produits commercialisés avant le 11 décembre 2027 ne sont pas soumis aux exigences principales du CRA, sauf s’ils subissent une modification substantielle après cette date. En revanche, les obligations de notification des vulnérabilités activement exploitées s’appliquent à partir du 11 septembre 2026 à tous les produits sur le marché, y compris ceux déjà commercialisés.
Quelle est la différence entre le CRA et NIS 2 ?
Le CRA et NIS 2 sont complémentaires et se renforcent mutuellement. NIS 2 régule les organisations et leurs pratiques de cybersécurité. Le CRA régule les produits numériques eux-mêmes, en imposant des exigences de sécurité dès leur conception. Une organisation peut être soumise à NIS 2 pour ses pratiques internes et au CRA pour les produits qu’elle fabrique ou distribue.
Votre conformité CRA avec Fidens
Analyse des risques produit, gestion des vulnérabilités, documentation technique : nos consultants accompagnent vos équipes produit vers la conformité au Cyber Resilience Act.
