Qu’est-ce que le Cyber Resilience Act (CRA) ?
Le Cyber Resilience Act (CRA), ou Règlement sur la cyberrésilience, est le Règlement (UE) 2024/2847 du Parlement européen et du Conseil, la première norme européenne qui impose des exigences horizontales obligatoires en matière de cybersécurité à tous les produits comportant des éléments numériques commercialisés dans l’Union européenne. Sa logique est simple et novatrice : si un produit se connecte — directement ou indirectement — à un réseau de données, il ne pourra pas être vendu dans l’UE sans démontrer qu’il est sûr dès sa conception et que son fabricant maintiendra cette sécurité tout au long de la vie du produit.
Jusqu’à présent, la cybersécurité des logiciels et du matériel connecté était pratiquement un engagement volontaire du fabricant. Le CRA change la donne : il transforme la sécurité en une exigence légale d’accès au marché, au même titre que la sécurité électrique ou la compatibilité électromagnétique. L’instrument qui concrétise cela est bien connu : le marquage CE, qui, à partir du CRA, attestera également de la conformité en matière de cybersécurité.
Le champ d’application est délibérément large. Le règlement couvre tout, d’un babyphone ou d’une montre connectée à un système d’exploitation, un pare-feu industriel, une application mobile ou un microcontrôleur. Et il ne s’adresse pas uniquement aux grands fabricants technologiques : les importateurs, les distributeurs et toute entreprise mettant sur le marché européen un produit connecté sous sa propre marque entrent dans le périmètre.
Ce guide est divisé en deux parties. Dans cette première partie, nous abordons le cadrage : ce que le CRA réglemente, qui il oblige, quels produits sont inclus et lesquels sont exclus, ce qui est exigible à chaque date, comment les produits sont classés selon leur risque et à quelles sanctions s’expose celui qui ne s’y conforme pas. La partie opérationnelle — les exigences techniques de l’Annexe I, les délais de notification des vulnérabilités, le dossier de marquage CE, l’articulation avec NIS2 et ISO 27001 et la feuille de route de préparation — est développée dans Comment se conformer au Cyber Resilience Act.
Le CRA est en vigueur depuis le 10 décembre 2024 et son application est échelonnée. Deux étapes ont déjà été franchies : le Règlement d’exécution (UE) 2025/2392, en vigueur depuis le 29 novembre 2025, fixe les descriptions techniques précises des 28 catégories de produits importants et critiques ; et depuis le 11 juin 2026, les dispositions relatives aux organismes notifiés et aux autorités de notification sont opérationnelles.
La prochaine étape est immédiate : le 11 septembre 2026 entrent en vigueur les obligations de notification des vulnérabilités exploitées activement et des incidents graves — également pour les produits déjà commercialisés —, ainsi que la plateforme de notification unique gérée par l’ENISA. Le reste des obligations sera exigible le 11 décembre 2027.
En parallèle, la Commission a publié le 27 juillet 2026 son guide officiel sur le champ d’application du règlement, et a proposé de reporter de deux mois les délais de la demande de normalisation : les normes horizontales de gestion des vulnérabilités sont attendues vers la fin octobre 2026 et les normes verticales par produit, au cours du mois de décembre 2026. Il convient de vérifier l’état des normes harmonisées avant de finaliser tout plan de conformité.
Qui est concerné par le Cyber Resilience Act ?
Le CRA répartit les obligations tout au long de la chaîne d’approvisionnement numérique, avec des intensités variables selon le rôle de chaque acteur :
Fabricants
Ils conçoivent et développent le produit. Ils assument l’essentiel des obligations : exigences essentielles de l’Annexe I, analyse des risques de cybersécurité, documentation technique, évaluation de la conformité, marquage CE, gestion des vulnérabilités pendant la période de support et notification aux autorités.
Importateurs
Ils ne peuvent introduire sur le marché de l’UE que des produits conformes au règlement. Ils doivent vérifier que le fabricant a effectué l’évaluation de la conformité, qu’il existe une documentation technique et que le produit porte le marquage CE et les instructions d’utilisation.
Distributeurs
Ils doivent agir avec la diligence requise : vérifier la présence du marquage CE et de la documentation, et ne pas commercialiser un produit dont ils savent ou devraient soupçonner qu’il n’est pas conforme. S’ils détectent un risque, ils en informent le fabricant et les autorités.
Gardiens de logiciels libres
Les fondations et entités qui soutiennent des logiciels libres (open-source stewards) bénéficient d’un régime spécifique et plus léger, axé sur les politiques de sécurité et la coopération, et ne sont pas soumises à des amendes pour les infractions au règlement.
Attention à un point critique : un importateur ou distributeur qui commercialise un produit sous sa propre marque, ou qui le modifie de manière substantielle, est considéré comme un fabricant à toutes fins utiles et assume toutes ses obligations. C’est l’erreur de cadrage la plus fréquente lors des premières évaluations internes, et il convient de la résoudre avant toute chose : le volume total de travail qui vous attend dépend de votre rôle.
Qu’est-ce qu’un « produit comportant des éléments numériques » et qu’est-ce qui est exclu ?
Le règlement définit un produit comportant des éléments numériques comme tout produit logiciel ou matériel — et ses solutions de traitement de données à distance associées — dont l’usage prévu ou raisonnablement prévisible comprend une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau. En pratique, cette définition englobe presque tout le matériel connecté et pratiquement tous les logiciels commercialisés dans l’UE.
Les exclusions sont limitées et répondent à deux critères : l’existence d’une législation sectorielle équivalente ou l’absence de finalité commerciale. Sont exclus du CRA :
- Dispositifs médicaux couverts par les règlements (UE) 2017/745 et 2017/746.
- Véhicules à moteur soumis au règlement (UE) 2019/2144 et aux exigences de cybersécurité de la réception par type.
- Aviation civile relevant du règlement (UE) 2018/1139 et équipements marins.
- Logiciels libres et open-source non fournis dans le cadre d’une activité commerciale.
- Produits développés exclusivement à des fins de sécurité nationale, de défense ou de traitement d’informations classifiées.
- Pièces de rechange destinées à remplacer des composants identiques dans des produits déjà commercialisés.
Le reste — y compris les logiciels distribués en tant que SaaS lorsqu’ils font partie de la solution de traitement à distance d’un produit — entre dans le champ d’application. Le guide de la Commission sur le champ d’application, publié le 27 juillet 2026, est la référence à consulter pour les cas limites.
Calendrier du CRA : ce qui est déjà exigible et ce qui reste à venir
Le CRA ne s’applique pas d’un coup. Son déploiement échelonné laisse une marge de manœuvre pour se préparer, mais oblige à distinguer précisément ce qui est déjà arrivé à échéance et ce qui est à venir. En août 2026, la situation est la suivante :
Entrée en vigueur du règlement
Le règlement (UE) 2024/2847 entre en vigueur. La période transitoire commence : aucune obligation matérielle n’est encore exigible.
TerminéDescriptions techniques des 28 catégories
Le règlement d’exécution (UE) 2025/2392 remplace les catégories génériques de l’Annexe III par des descriptions techniques précises. C’est aujourd’hui la référence obligatoire pour classer un produit.
TerminéOrganismes notifiés opérationnels
Les dispositions relatives aux autorités de notification et aux organismes d’évaluation de la conformité s’appliquent : ils peuvent désormais être désignés et notifiés.
TerminéObligations de notification des vulnérabilités et des incidents
Les fabricants doivent notifier les vulnérabilités exploitées activement et les incidents graves au CSIRT coordinateur et à l’ENISA, via la plateforme de notification unique. Cela s’applique également aux produits déjà commercialisés, sans période transitoire.
Prochaine étape · dans quelques semainesPleine application du règlement
Les exigences essentielles de l’Annexe I, l’évaluation de la conformité, la documentation technique, la déclaration UE de conformité et le marquage CE sont exigibles. À partir de cette date, un produit non conforme ne peut plus être commercialisé dans l’UE.
En attenteEn d’autres termes : bien que la pleine application n’intervienne qu’à la fin de 2027, un ensemble d’obligations commence à courir dans quelques semaines et affecte l’ensemble du portefeuille vendu à ce jour. Les délais concrets — 24 heures, 72 heures, 14 jours — et la manière de mettre en place le processus sont détaillés dans la deuxième partie de ce guide.
Classification des produits : par défaut, importants et critiques
Le CRA module l’exigence selon le risque du produit, avec quatre niveaux. Cette classification détermine la procédure d’évaluation de la conformité : plus le risque est élevé, plus la marge d’auto-évaluation est réduite.
| Niveau | Exemples de produits | Voie de conformité |
|---|---|---|
| Par défaut (~90 % du marché) |
Applications mobiles, jeux vidéo, disques durs externes, enceintes connectées, logiciels de gestion générale. | Auto-évaluation Contrôle interne (module A). |
| Importants Classe I (Annexe III, 19 catégories) |
Gestionnaires de mots de passe, navigateurs, antimalware, VPN, SIEM, systèmes de gestion des identités et des accès, systèmes d’exploitation, routeurs et commutateurs, PKI, gestionnaires de démarrage, assistants virtuels domestiques, serrures et caméras intelligentes, jouets connectés, wearables de santé. | Auto-évaluation uniquement si des normes harmonisées ou un schéma de certification sont appliqués ; à défaut, évaluation par un tiers. |
| Importants Classe II (Annexe III) |
Hyperviseurs et moteurs de conteneurs, pare-feu, systèmes de détection et de prévention des intrusions (IDS/IPS), microprocesseurs et microcontrôleurs résistants aux manipulations, systèmes de contrôle industriel critiques pour les entités NIS2. | Tiers obligatoire Examen UE de type (B+C) ou assurance qualité complète (H). |
| Critiques (Annexe IV, 3 catégories) |
Dispositifs matériels avec boîtiers de sécurité (HSM), passerelles de compteurs intelligents et dispositifs de cryptoprocessement sécurisé, cartes à puce et éléments sécurisés. | Certification Certification européenne de cybersécurité (EUCC) d’au moins un niveau « substantiel » lorsque la Commission l’exige. |
Bien classer le produit est la première décision structurelle du projet de conformité : d’elle dépendent le coût, les délais et la nécessité de faire appel à un organisme notifié. Le Règlement d’exécution (UE) 2025/2392 est aujourd’hui la référence obligatoire pour le faire, car il remplace les catégories génériques de l’Annexe III par des descriptions techniques précises.
Et cela a une conséquence pratique avec son propre calendrier : si l’un des produits de votre portefeuille tombe dans la catégorie important classe II ou critique, vous avez besoin d’un tiers. Les organismes notifiés sont opérationnels depuis juin 2026, mais leur capacité est limitée et la demande se concentrera à l’approche de décembre 2027.
Vous ne savez pas dans quelle catégorie du CRA tombent vos produits ? Nous vous montrons comment les inventorier, les classer et tracer leurs exigences sur la plateforme.
Demander une démoSanctions pour non-conformité au Cyber Resilience Act
Le régime de sanctions du CRA s’articule en trois paliers, selon le critère habituel du droit européen : le montant le plus élevé entre un montant fixe et un pourcentage du chiffre d’affaires mondial total de l’exercice précédent.
| Type de manquement | Sanction maximale |
|---|---|
| Non-respect des exigences essentielles de l’Annexe I — les propriétés de cybersécurité du produit et la gestion des vulnérabilités — et des obligations des articles 13 et 14 (obligations du fabricant et notification). | 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial. |
| Non-respect de toute autre obligation du règlement (importateurs, distributeurs, mandataires, organismes notifiés). | 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. |
| Fourniture d’informations incorrectes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités de surveillance du marché. | 5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial. |
Au-delà de l’amende, les autorités de surveillance du marché peuvent exiger le retrait du produit, interdire sa commercialisation ou restreindre sa disponibilité. Pour un fabricant, ce risque commercial pèse souvent plus lourd que la sanction financière. Une nuance importante pour les plus petites entreprises : les microentreprises et petites entreprises ne s’exposent pas à des amendes pour le non-respect spécifique du délai d’alerte précoce de 24 heures, bien qu’elles conservent le reste des obligations.
Traduit en priorités : l’essentiel du risque financier se concentre sur le palier supérieur — exigences de l’Annexe I et obligations de notification —, qui est précisément le bloc de travail que nous abordons dans la deuxième partie de ce guide.
Comment un logiciel GRC peut-il aider à cadrer le CRA ?
Chez GlobalSuite Solutions, nous abordons le CRA pour ce qu’il est réellement : un problème de gouvernance, de risque et de conformité avec des délais légaux fixés, et non une simple feuille de calcul d’exigences techniques. Et tout commence par le cadrage que nous avons parcouru dans cet article. Notre plateforme GlobalSuite® permet de construire l’inventaire des produits comportant des éléments numériques et de leurs composants, d’enregistrer le rôle de l’organisation pour chacun d’eux — fabricant, importateur ou distributeur, avec l’effet de la marque propre —, de les classer selon les Annexes III et IV et le règlement d’exécution 2025/2392, et de déduire de cette classification la voie de conformité et les dates exigibles pour chaque produit. Sur cette même base, on gère la traçabilité de chaque exigence légale jusqu’à un contrôle, un responsable et une preuve, le suivi du plan d’action avec des alertes d’échéance, et la correspondance multinorme avec NIS2, ISO 27001, IEC 62443, DORA ou l’ENS, de sorte qu’une preuve serve pour plusieurs cadres. Le résultat est un tableau de bord unique de l’état de conformité et du risque résiduel, prêt pour un audit ou une inspection de l’autorité de surveillance du marché.
Questions fréquemment posées sur le Cyber Resilience Act
Quand le Cyber Resilience Act entre-t-il en vigueur ?
Le règlement (UE) 2024/2847 est en vigueur depuis le 10 décembre 2024, mais son application est échelonnée. Les dispositions relatives aux organismes notifiés s’appliquent depuis le 11 juin 2026, les obligations de notification des vulnérabilités et des incidents depuis le 11 septembre 2026, et le reste des obligations — exigences essentielles, évaluation de la conformité et marquage CE — depuis le 11 décembre 2027.
À quels produits le CRA s’applique-t-il ?
À tous les produits comportant des éléments numériques commercialisés dans l’UE dont l’usage prévu comprend une connexion, directe ou indirecte, à un appareil ou à un réseau : matériel connecté, logiciels, applications, systèmes d’exploitation et solutions de traitement de données à distance associées. Sont exclus les dispositifs médicaux, les véhicules à moteur, l’aviation civile, les équipements marins, les logiciels libres sans activité commerciale et les produits de défense ou de sécurité nationale.
Le CRA affecte-t-il les produits déjà sur le marché ?
Oui, sur un point précis et avec une échéance immédiate : les obligations de notification des vulnérabilités exploitées activement et des incidents graves, exigibles depuis le 11 septembre 2026, s’appliquent également aux produits déjà commercialisés, sans période transitoire ni exception liée à l’ancienneté. Les exigences essentielles de l’Annexe I et le marquage CE, en revanche, s’appliquent aux produits introduits sur le marché à partir du 11 décembre 2027.
Que se passe-t-il si je vends sous ma propre marque un produit fabriqué par un tiers ?
Vous cessez d’être importateur ou distributeur et devenez fabricant à toutes les fins du règlement. Il en va de même si vous modifiez de manière substantielle un produit déjà commercialisé. Cela implique d’assumer l’ensemble des obligations : exigences de l’Annexe I, analyse des risques, documentation technique, évaluation de la conformité, marquage CE, gestion des vulnérabilités et notification. C’est le premier point à vérifier lors de toute évaluation interne, car il détermine la portée réelle du projet.
Ai-je besoin d’un organisme notifié pour certifier mon produit ?
Cela dépend de la classification. Les produits par défaut font l’objet d’une auto-évaluation par contrôle interne. Les produits importants de classe I peuvent être auto-évalués uniquement s’ils appliquent des normes harmonisées ou un schéma de certification européen ; sinon, ils nécessitent l’intervention d’un tiers. Les produits importants de classe II requièrent toujours une évaluation par un organisme notifié, et les produits critiques de l’Annexe IV peuvent exiger une certification européenne de cybersécurité.
Quelles sanctions le CRA prévoit-il ?
Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial pour le non-respect des exigences essentielles de l’Annexe I et des obligations des articles 13 et 14 ; jusqu’à 10 millions ou 2 % pour le reste des obligations ; et jusqu’à 5 millions ou 1 % pour la fourniture d’informations incorrectes ou trompeuses aux autorités. Le montant le plus élevé est toujours appliqué, et cela peut s’ajouter au retrait du produit du marché.
Le Cyber Resilience Act fait de la cybersécurité une condition d’accès au marché européen pour tout produit connecté, avec le marquage CE comme preuve et des sanctions allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. Il oblige les fabricants, importateurs et distributeurs — celui qui vend sous sa propre marque étant considéré comme fabricant —, avec des exclusions limitées aux secteurs disposant déjà d’une législation équivalente.
Le calendrier laisse peu de marge : trois étapes déjà franchies, le 11 septembre 2026 pour les obligations de notification — également sur les produits déjà commercialisés — et le 11 décembre 2027 pour le reste. Les deux décisions qui ordonnent tout le reste sont de déterminer votre rôle et de classer votre portefeuille selon les Annexes III et IV : c’est de là que découlent le coût, les délais et la nécessité d’un organisme notifié.
Une fois le cadrage résolu, l’étape suivante est le travail technique et documentaire : Comment se conformer au Cyber Resilience Act : exigences de l’Annexe I, notification et feuille de route.
Inventoriez et classez votre portefeuille de produits sur une plateforme unique
Inventaire des produits comportant des éléments numériques et des composants, enregistrement du rôle par produit, classification selon les Annexes III et IV, dates exigibles par produit et correspondance multinorme avec NIS2 et ISO 27001. Nous vous le montrons avec un cas réel.
Demander une démo
