Le Cyber Resilience Act s’applique-t-il à votre produit ?

Le Cyber Resilience Act (règlement (UE) 2024/2847, le « CRA ») fixe des règles de cybersécurité pour presque tous les produits qui contiennent du logiciel et sont vendus dans l’Union européenne. Ses obligations de signalement s’appliquent depuis le 11 septembre 2026 ; la plupart des autres s’appliquent à partir du 11 décembre 2027. Ce guide passe en revue les questions qui décident s’il vous concerne, et quel poids auront vos obligations.

Si vous préférez répondre à quelques questions plutôt que lire, utilisez notre test gratuit.

1. Est-ce un « produit comportant des éléments numériques » ?

Le CRA couvre les produits matériels et logiciels, et leurs composants vendus séparément, dont la destination ou l’usage raisonnablement prévisible comprend une connexion de données, directe ou indirecte, à un appareil ou à un réseau. En pratique, cela comprend :

• les logiciels installables et les applications mobiles ;
• les appareils connectés, des caméras et routeurs aux capteurs industriels et aux jouets ;
• les micrologiciels, et les composants logiciels comme les bibliothèques ou les SDK que vous vendez seuls ;
• le traitement de données à distance dont un produit a besoin pour fonctionner, comme le service en ligne d’un appareil connecté.

Un produit qui ne se connecte jamais à rien, ni directement ni indirectement, est hors du CRA.

2. Le mettez-vous à disposition sur le marché de l’UE, dans une activité commerciale ?

Le CRA s’applique dès qu’un produit est mis sur le marché de l’UE, où que soit établi le fabricant. Une entreprise hors de l’UE qui vend à des clients européens est concernée.

L’« activité commerciale » compte pour le logiciel libre. Le logiciel libre et open source développé ou fourni en dehors d’une activité commerciale n’est pas concerné. Dès que du code open source est monétisé ou intégré à un produit que vous vendez, les obligations s’attachent à celui qui met ce produit sur le marché. Les organisations qui soutiennent de façon systématique des projets open source destinés à un usage commercial (les « intendants de logiciels ouverts ») ont un régime allégé, et ne peuvent pas recevoir d’amende au titre du CRA.

3. Le SaaS pur : en général hors champ

Un logiciel proposé uniquement comme service, à travers le réseau, est en général hors du CRA ; c’est la directive NIS2 qui peut s’appliquer à l’entreprise qui l’exploite. L’exception est le traitement de données à distance qui fait partie d’un produit : le service en ligne d’un appareil connecté ou d’une application installée fait partie de ce produit.

4. Est-il couvert par un autre texte européen sur les produits ?

Certains produits ont déjà leurs propres règles de cybersécurité et sont exclus, notamment :

• les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro ;
• les véhicules à moteur et leurs systèmes couverts par les règles de réception par type ;
• les produits de l’aviation civile certifiés selon les règles européennes de sécurité aérienne ;
• les équipements marins ;
• les produits développés exclusivement pour la sécurité nationale ou la défense.

Les pièces détachées fabriquées pour remplacer des composants identiques d’un produit sont aussi exclues.

5. Dans quelle classe est votre produit ?

La plupart des produits sont dans la catégorie par défaut. Le fabricant évalue alors lui-même la conformité (contrôle interne, « module A »).

Certains produits sont classés importants ou critiques, parce qu’une faille chez eux aurait des effets plus larges :

Catégorie	Exemples tirés des annexes	Évaluation de la conformité
Par défaut	La plupart des applications, jeux, logiciels de bureautique, appareils grand public sans fonction de sécurité listée	Auto-évaluation
Important, classe I	Systèmes d’exploitation, navigateurs, gestionnaires de mots de passe, VPN, routeurs et modems, gestion des identités et des accès, serrures connectées, caméras de sécurité, babyphones, jouets avec interaction sociale ou géolocalisation	Auto-évaluation seulement si vous appliquez des normes harmonisées, des spécifications communes ou un schéma de certification ; sinon un organisme notifié
Important, classe II	Hyperviseurs et environnements d’exécution de conteneurs, pare-feux, systèmes de détection et de prévention d’intrusion, microprocesseurs et microcontrôleurs inviolables	Un organisme notifié, ou un schéma de certification
Critique	Dispositifs matériels avec boîtiers de sécurité, passerelles de compteurs intelligents, cartes à puce et éléments sécurisés	Un organisme notifié, ou une certification européenne de cybersécurité quand elle est exigée

Les listes exactes figurent aux annexes III et IV du règlement et dans le règlement d’exécution (UE) 2025/2392, qui décrit techniquement chaque catégorie. Les produits libres et open source des classes I et II peuvent s’auto-évaluer si leur documentation technique est publique.

6. Êtes-vous le fabricant ?

Les obligations les plus lourdes pèsent sur le fabricant : celui qui développe ou fabrique le produit, ou le fait fabriquer, et le commercialise sous son nom ou sa marque. Importateurs et distributeurs ont leurs propres vérifications, plus légères. Si vous vendez sous votre marque le produit d’une autre entreprise, ou si vous le modifiez substantiellement, vous êtes considéré comme le fabricant.

Ce qui s’applique, et quand

Date	Ce qui change
10 décembre 2024	Entrée en vigueur du CRA
11 juin 2026	Application des règles sur les organismes notifiés
11 septembre 2026	Signalement à l’ENISA des vulnérabilités activement exploitées et des incidents graves (article 14), y compris pour les produits déjà sur le marché
11 décembre 2027	Tout le reste : exigences essentielles, gestion des vulnérabilités, SBOM, documentation technique, marquage CE. Les produits mis sur le marché avant cette date n’ont à s’y conformer que s’ils sont substantiellement modifiés ensuite

Depuis septembre 2026, une vulnérabilité activement exploitée déclenche une horloge : une alerte précoce sous 24 heures, une notification sous 72 heures, et un rapport final au plus tard 14 jours après la mise à disposition d’un correctif. Notre guide de l’horloge de signalement détaille chaque étape.

Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les exigences essentielles et les obligations de signalement. Les micro et petites entreprises ne peuvent pas être sanctionnées pour un dépassement du délai de 24 heures, mais l’obligation de signaler s’applique quand même à elles.

Par où commencer

1. Dressez la liste de vos produits et passez chacun au crible des questions ci-dessus.
2. Pour chaque produit concerné, notez sa classe et la façon dont vous évaluerez sa conformité.
3. Établissez une nomenclature logicielle (SBOM), pour savoir ce que contient chaque produit. Notre guide du SBOM explique ce qu’attend le CRA.
4. Mettez en place la procédure de signalement dès maintenant : l’horloge tourne depuis le 11 septembre 2026.

Ce guide est une information générale, pas un conseil juridique. Pour les cas limites, lisez les orientations de la Commission et interrogez votre avocat.

Sources

• Règlement (UE) 2024/2847, le Cyber Resilience Act, articles 2, 3, 7, 8, 13, 14, 32, 64 et 71, annexes III et IV
• Commission européenne : Cyber Resilience Act
• Commission européenne : résumé du texte