Provetry
ENDEDemander l’accès anticipé
Test gratuit
Demander l’accès anticipé

Provetry ouvre en novembre 2026. Le test CRA gratuit, les outils et les guides sont disponibles dès maintenant.

Qu’est-ce que le Cyber Resilience Act ? Le résumé en clair

8 min de lecture

Sur cette page
  1. Pourquoi l’UE l’a adopté
  2. Ce qu’il couvre
  3. Qui doit faire quoi
  4. Les exigences essentielles
  5. Les classes de produits
  6. Le signalement à l’ENISA
  7. Les dates clés
  8. Les amendes
  9. Le CRA et les autres textes
  10. Par où commencer
  11. Ce que fait Provetry
  12. Sources

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, est la loi de l’Union européenne sur la cybersécurité des produits qui contiennent du logiciel. Son nom officiel est le règlement (UE) 2024/2847. Il impose aux entreprises qui fabriquent des produits matériels et logiciels vendus dans l’UE de les concevoir de façon sûre, de gérer leurs vulnérabilités pendant toute leur période d’assistance, et de signaler aux autorités les vulnérabilités activement exploitées et les incidents graves.

C’est un règlement, pas une directive : le même texte s’applique directement dans chaque État membre, sans transposition nationale.

Pourquoi l’UE l’a adopté

Deux problèmes, selon la Commission quand elle a proposé le texte en 2022 : trop de produits connectés arrivent sur le marché avec une sécurité faible, et les acheteurs ne peuvent pas savoir lesquels sont sûrs. Les mises à jour de sécurité étaient souvent courtes, voire absentes. Le CRA répond aux deux en faisant de la sécurité une condition de vente dans l’UE, comme l’est déjà la sécurité électrique, et en l’attestant par le marquage CE.

Ce qu’il couvre

Le CRA s’applique aux produits comportant des éléments numériques : matériels et logiciels, et leurs composants vendus séparément, qui se connectent directement ou indirectement à un appareil ou à un réseau. Cela comprend les logiciels installés, les applications mobiles, les micrologiciels, les objets connectés de toute sorte, les bibliothèques et SDK vendus seuls, et le traitement de données à distance dont un produit a besoin pour fonctionner.

Il ne couvre pas :

  • le logiciel en tant que service pur, sauf s’il est la solution de traitement de données à distance d’un produit ;
  • les logiciels libres et open source développés ou fournis en dehors d’une activité commerciale ;
  • les produits déjà couverts par leurs propres règles européennes : dispositifs médicaux et de diagnostic in vitro, véhicules à moteur, aviation civile, équipements marins ;
  • les produits conçus uniquement pour la sécurité nationale ou la défense, ou pour traiter des informations classifiées.

Notre guide Le CRA s’applique-t-il à votre produit ? passe chaque critère en revue.

Qui doit faire quoi

Les fabricants portent l’essentiel (article 13). Lors de la mise sur le marché, puis pendant la période d’assistance, ils doivent :

  1. évaluer ses risques de cybersécurité et le concevoir pour respecter les exigences essentielles de l’annexe I ;
  2. gérer ses vulnérabilités pendant la période d’assistance, en principe au moins cinq ans, avec des mises à jour de sécurité gratuites ;
  3. établir la documentation technique (annexe VII), dont une nomenclature logicielle ;
  4. mener la bonne évaluation de la conformité, signer une déclaration UE de conformité et apposer le marquage CE ;
  5. donner aux utilisateurs des informations claires : un point de contact pour les vulnérabilités, la date de fin d’assistance, des instructions d’utilisation sûre.

Les importateurs et les distributeurs vérifient que les produits qu’ils vendent respectent ces obligations, et cessent de les vendre sinon. Un importateur ou un distributeur qui vend un produit sous son propre nom ou sa propre marque, ou quiconque le modifie substantiellement, en devient le fabricant.

Les intendants de logiciels ouverts, fondations et organisations qui soutiennent des projets open source destinés à un usage commercial, ont un régime allégé : une politique de cybersécurité, la coopération avec les autorités et certaines obligations de signalement.

Les exigences essentielles

L’annexe I est le cœur du règlement. Sa partie I liste les propriétés de sécurité du produit : aucune vulnérabilité exploitable connue à la mise sur le marché, une configuration sûre par défaut, des mises à jour de sécurité, le contrôle d’accès, le chiffrement, l’intégrité, la minimisation des données, la résilience, une surface d’attaque réduite, la journalisation, et la possibilité pour l’utilisateur d’effacer ses données. Sa partie II décrit la gestion des vulnérabilités : un SBOM, des corrections rapides, des tests réguliers, des avis publics, une politique de divulgation coordonnée, une adresse de contact et une distribution sûre des mises à jour.

Nous les détaillons une par une dans Les exigences essentielles de l’annexe I.

Les classes de produits

La plupart des produits sont dans la catégorie par défaut : leur fabricant évalue lui-même la conformité. Ceux dont une défaillance aurait des effets plus larges sont listés comme importants (classe I ou II, annexe III) ou critiques (annexe IV) : systèmes d’exploitation, navigateurs, gestionnaires de mots de passe, VPN, routeurs, serrures connectées et caméras de sécurité en classe I ; pare-feu, hyperviseurs et puces inviolables en classe II ; cartes à puce et passerelles de compteurs intelligents parmi les produits critiques. Plus la classe est haute, plus un tiers, un organisme notifié, intervient.

Le signalement à l’ENISA

Depuis le 11 septembre 2026, les fabricants doivent signaler deux types d’événements, à la fois au CSIRT coordinateur et à l’ENISA, par la plateforme unique de signalement de l’ENISA : les vulnérabilités activement exploitées de leurs produits et les incidents graves qui touchent leur sécurité. Les délais sont serrés : une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final. Cette obligation couvre déjà tous les produits sur le marché, pas seulement les nouveaux. Voir l’horloge de signalement.

Les dates clés

  • 10 décembre 2024 : entrée en vigueur du CRA.
  • 11 juin 2026 : application des règles sur les organismes notifiés.
  • 11 septembre 2026 : application des obligations de signalement.
  • 11 décembre 2027 : application de tout le reste, dont les exigences essentielles et le marquage CE.

Le calendrier complet, avec les règles de transition pour les produits déjà vendus, est dans notre calendrier du CRA.

Les amendes

Chaque État membre fait appliquer le CRA par son autorité de surveillance du marché, qui peut aussi ordonner le retrait ou le rappel des produits. Le règlement fixe les amendes maximales :

Manquement Amende maximale
Exigences essentielles, obligations du fabricant et signalement 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel
Autres obligations (importateurs, distributeurs, marquage CE, déclaration de conformité…) 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel
Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités de surveillance du marché 5 millions d’euros ou 1 % du chiffre d’affaires mondial annuel

Dans chaque cas, le montant le plus élevé s’applique. Les microentreprises et petites entreprises ne peuvent pas être sanctionnées d’une amende pour le seul dépassement du délai de 24 heures de l’alerte précoce, et les intendants de logiciels ouverts ne peuvent recevoir aucune amende.

Le CRA et les autres textes

Le CRA porte sur les produits. La directive NIS2 porte sur les organisations qui fournissent des services essentiels et importants : elle régit la sécurité de leurs propres réseaux et le signalement de leurs incidents. Une entreprise peut relever des deux : du CRA pour ce qu’elle vend, de NIS2 pour son fonctionnement. Les équipements radioélectriques ont déjà des exigences de cybersécurité au titre d’un acte délégué de la directive sur les équipements radioélectriques, appliqué depuis août 2025 ; la Commission devrait abroger ou restreindre cet acte pour les produits que couvre le CRA.

Par où commencer

  1. Listez vos produits et vérifiez si le CRA s’applique à chacun, et dans quelle classe.
  2. Préparez-vous à signaler dès maintenant : connaissez vos composants, surveillez leurs vulnérabilités exploitées, répétez l’alerte précoce de 24 heures.
  3. Publiez une politique de divulgation des vulnérabilités et un point de contact security.txt.
  4. Constituez la documentation technique version après version, en commençant par un SBOM.

Ce que fait Provetry

Provetry établit le SBOM de chaque version, surveille chaque composant face aux vulnérabilités nouvelles et exploitées, lance l’horloge de signalement avec des brouillons pour l’ENISA, rédige votre politique de divulgation et garde les preuves et la documentation que demande le CRA.

Ce guide est une information générale, pas un conseil juridique.

Sources