Votre entreprise est-elle concernée par le Cyber Resilience Act ?
Le règlement (UE) 2024/2847, dit règlement sur la cyberrésilience, vise les « produits comportant des éléments numériques ». Soit un logiciel ou un matériel, avec ses traitements de données à distance. Selon son article 2, il couvre ceux mis à disposition sur le marché européen. Il faut aussi que leur usage, prévu ou raisonnablement prévisible, comprenne une connexion, même indirecte, à un appareil ou à un réseau.
Le fabricant n'est pas forcément celui qui écrit le code. L'article 3 vise aussi celui qui fait concevoir ou développer un produit, puis le commercialise sous son nom ou sa marque, même gratuitement. Une PME qui confie son application à un prestataire, puis la vend sous sa marque, en est donc le fabricant. Les importateurs et les distributeurs ont aussi des obligations, rappelle la DGE.
Certains produits restent hors champ. La foire aux questions de la Commission européenne cite une cafetière dont le micrologiciel règle l'infusion, sans aucune possibilité de connexion. Elle écarte aussi un produit fabriqué pour votre propre usage, comme un outil interne, faute de mise sur le marché. Un site internet qui ne fait fonctionner aucun produit n'est pas visé. Un logiciel en ligne autonome, dit SaaS, non plus, sauf s'il est conçu par le fabricant d'un produit pour le faire fonctionner. Certaines catégories, comme les dispositifs médicaux ou les systèmes automobiles, sont exclues, rappelle l'ANSSI.
Le sur-mesure n'y échappe pas pour autant. Pour un produit fait pour une entreprise utilisatrice précise, le règlement n'accorde que deux assouplissements, à convenir explicitement avec elle. Ils portent sur la configuration sécurisée par défaut et sur la gratuité des mises à jour de sécurité. La Commission attend que la documentation technique prouve ce caractère sur mesure.
Fin 2024, la communauté de communes Pévèle Carembault comptait 189 établissements employeurs dans l'industrie, soit 7 % du total, selon le dossier complet de l'Insee. Tous ne vendent pas de produit numérique. Mais une machine vendue sous votre nom, dont l'automate se raccorde à un réseau, entre dans le champ.
Que devez-vous signaler depuis le 11 septembre 2026 ?
L'article 14 du règlement vise d'abord la vulnérabilité activement exploitée. L'article 3 la définit comme « une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système ». Une faille découverte de bonne foi par un chercheur, sans trace d'exploitation malveillante, n'est pas soumise à la déclaration obligatoire, précise la Commission européenne.
Il vise ensuite l'incident grave. C'est celui qui compromet, ou risque de compromettre, la protection des données ou des fonctions sensibles du produit. C'est aussi celui qui introduit, ou risque d'introduire, un code malveillant dans le produit ou dans le réseau d'un utilisateur. L'obligation vaut aussi pour les produits déjà commercialisés, rappelle la DGE.
Tout passe par la plateforme unique de signalement, gérée par l'ENISA. Pour un fabricant dont l'établissement principal est en France, la notification arrive au CERT-FR de l'ANSSI et, simultanément, à l'ENISA, indique l'ANSSI. Le fabricant prévient aussi les utilisateurs touchés et leur indique les mesures à prendre.
| Envoi | Faille activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | 24 heures au plus après en avoir eu connaissance. | 24 heures au plus, en indiquant si l'incident pourrait venir d'un acte illicite ou malveillant. |
| Notification | 72 heures au plus : produit concerné, nature de l'exploitation, mesures prises ou à prendre. | 72 heures au plus : nature de l'incident, évaluation initiale, mesures prises ou à prendre. |
| Rapport final | 14 jours au plus après la mise à disposition d'un correctif ou d'une mesure d'atténuation. | Un mois au plus après la notification. |
Qu'est-ce qui change le 11 décembre 2027 ?
Le règlement s'applique alors en entier, selon son article 71. Avant de mettre un produit sur le marché, le fabricant évalue ses risques de cybersécurité et rédige une documentation technique. Il respecte les exigences essentielles de l'annexe I : pas de vulnérabilité exploitable connue, une configuration sécurisée par défaut, des mises à jour de sécurité possibles. Il réalise l'évaluation de la conformité, établit la déclaration UE de conformité et appose le marquage CE, prévoit l'article 13.
Hors produits importants ou critiques, listés aux annexes III et IV, le fabricant peut évaluer lui-même la conformité. Pour ces produits-là, la foire aux questions de l'ANSSI indique qu'un organisme notifié est obligatoire en classe II et pour les produits critiques. Il l'est aussi en classe I quand les normes ne sont pas appliquées.
Le fabricant fixe aussi une période d'assistance, pendant laquelle il traite les vulnérabilités. Elle dure au moins cinq ans, sauf si le produit est censé servir moins longtemps. Sa date de fin, au moins le mois et l'année, est indiquée au moment de l'achat. Chaque mise à jour de sécurité reste disponible dix ans au moins, ou jusqu'à la fin de la période d'assistance si elle est plus longue.
Un produit mis sur le marché avant le 11 décembre 2027 n'y est soumis qu'en cas de modification substantielle ultérieure, selon l'article 69. Le signalement, lui, s'applique déjà à tous.
Quelles règles pour les micro et petites entreprises ?
Le règlement reprend la définition européenne de 2003. Une petite entreprise occupe moins de 50 personnes, avec un chiffre d'affaires annuel ou un total de bilan annuel de 10 millions d'euros au plus. Une microentreprise occupe moins de 10 personnes, avec 2 millions d'euros au plus. Les entreprises partenaires ou liées comptent dans le calcul. En Pévèle Carembault, 123 des 189 établissements industriels employeurs avaient moins de 10 postes salariés fin 2024, selon l'Insee. La taille se mesure toutefois par entreprise, pas par établissement.
Le premier allègement porte sur le délai de 24 heures. Une micro ou petite entreprise qui le dépasse n'encourt pas d'amende administrative pour ce seul retard, selon l'article 64 rectifié le 2 juillet 2025. La notification à 72 heures et le rapport final restent dus. Pour les autres manquements aux exigences essentielles ou aux articles 13 et 14, l'amende peut atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. Le plafond le plus élevé s'applique, et la taille de l'entreprise pèse dans le montant. En France, la surveillance du marché et les sanctions reviennent à l'ANFR, selon l'ANSSI.
L'article 33 ajoute un soutien. Les États membres organisent, le cas échéant, sensibilisation, formation et un canal de conseil dédié aux micro et petites entreprises. Ils peuvent ouvrir des sas réglementaires pour tester un produit avant sa mise sur le marché. Ces entreprises peuvent remplir leur documentation technique sur un formulaire simplifié, que le règlement charge la Commission de fixer. Selon l'article 32, les redevances d'évaluation de la conformité des PME sont réduites en proportion de leurs besoins. La Commission a aussi publié le 27 juillet 2026 des lignes directrices non contraignantes, avec 67 exemples pratiques et une attention particulière aux PME.
Que préparer dès maintenant ?
Ce que je vérifierais, produit par produit :
À vérifier
- Recensez ce que vous vendez sous votre nom : machines, objets connectés, logiciels, applications. Notez pour chacun votre rôle, fabricant, importateur ou distributeur, comme le conseille la DGE.
- Inscrivez l'entreprise sur la plateforme unique de signalement avant d'en avoir besoin : la déclaration se fait après inscription. Désignez qui déclare, et qui prend le relais en son absence.
- Écrivez une procédure courte : qui établit qu'une faille est activement exploitée, qui envoie l'alerte, qui prévient les clients.
- Ouvrez une adresse de contact pour les signalements de failles et rédigez votre politique de divulgation coordonnée des vulnérabilités. Une équipe dédiée n'est pas obligatoire, précise l'ANSSI.
- Dressez la nomenclature logicielle (SBOM) de chaque produit, lisible par machine, au moins pour les dépendances de premier niveau.
- Fixez la période d'assistance de chaque produit et prévoyez qui corrigera les failles pendant toute sa durée.
- Pour un produit sur mesure, écrivez au contrat les écarts convenus avec le client.
Le contrat avec votre prestataire compte aussi. Quand je développe une application, le code, les comptes et l'hébergement sont au nom du client dès le départ, comme le décrit ma méthode. Les défauts du périmètre sont corrigés sans frais pendant trois mois après la mise en ligne. La maintenance se convient au devis. Si vous vendez cette application sous votre marque, vous en êtes le fabricant : la période d'assistance se prévoit dès le devis.
L'ANSSI tient une foire aux questions sur le règlement. L'ENISA publie une fiche en français sur la plateforme et répond à l'adresse cra-srp.helpdesk@enisa.europa.eu. Ces informations générales datent de septembre 2026 : vérifiez votre situation auprès de l'organisme compétent.