Depuis cet été, un nouveau règlement européen bouleverse discrètement le quotidien numérique des entreprises comme des particuliers : le Cyber Resilience Act (CRA). Ce texte, adopté par l’Union européenne en octobre 2024, impose pour la première fois un socle commun d’exigences de cybersécurité à la quasi-totalité des logiciels et objets connectés vendus sur le marché européen. Son entrée en application se fait par étapes, et la prochaine échéance, fixée au 11 septembre 2026, concerne directement les éditeurs et fabricants qui commercialisent leurs produits en France.
Un calendrier d’application par étapes
Contrairement à une entrée en vigueur brutale, le CRA suit un calendrier progressif pensé pour laisser aux acteurs du secteur high-tech le temps de s’adapter :
- 11 juin 2026 : les États membres, dont la France, peuvent commencer à notifier les organismes chargés d’évaluer la conformité des produits soumis au règlement.
- 11 septembre 2026 : les fabricants devront signaler certaines vulnérabilités activement exploitées et les incidents de sécurité graves via une plateforme européenne dédiée.
- 11 décembre 2027 : l’ensemble des obligations du CRA deviendra contraignant pour les fabricants, importateurs et distributeurs de produits numériques commercialisés dans l’Union.
Ce phasage explique pourquoi le sujet reste encore peu visible du grand public, alors même que les premières obligations concrètes s’appliquent déjà dans le secteur du développement logiciel.
Sécurité dès la conception : ce que devront garantir les fabricants
Le principe central du texte est celui de la sécurité par conception (« security by design ») : un produit ne devra plus être mis sur le marché avec une faille de sécurité connue. Concrètement, les éditeurs de logiciels et les fabricants d’objets connectés devront :
- fournir une documentation claire sur les risques de sécurité et les conditions d’installation des mises à jour ;
- garantir des correctifs de sécurité pendant au moins cinq ans après la commercialisation du produit ;
- intégrer la gestion des vulnérabilités tout au long du cycle de vie du produit, et non plus seulement au moment de sa sortie.
Pour les entreprises qui commercialisent des solutions connectées, cette obligation implique de revoir en profondeur les processus internes de développement et de suivi des correctifs, souvent gérés jusqu’ici de façon informelle.
Vulnérabilités actives : un signalement sous 24 heures
À partir du 11 septembre 2026, tout fabricant qui détecte une vulnérabilité activement exploitée devra transmettre une alerte préliminaire sous 24 heures à l’Agence de l’Union européenne pour la cybersécurité (Enisa), puis une notification complète dans un délai de 72 heures. Cette obligation de réactivité, inédite à cette échelle en Europe, vise à réduire le temps d’exposition des utilisateurs face aux failles activement utilisées par des attaquants, un enjeu devenu central pour tout le secteur du high-tech et de l’informatique.
Des sanctions dissuasives en cas de non-conformité
Le règlement prévoit un arsenal de sanctions destiné à rendre ces obligations réellement contraignantes : amendes financières, restrictions de mise sur le marché et, dans les cas les plus graves, rappels de produits déjà commercialisés. De quoi inciter les entreprises, y compris les plus petites structures, à anticiper dès maintenant plutôt que d’attendre l’échéance de décembre 2027.
Questions fréquentes
Le Cyber Resilience Act concerne-t-il aussi les petites entreprises ?
Oui. Le règlement s’applique à tout fabricant, éditeur ou distributeur de produits comportant des éléments numériques commercialisés dans l’Union européenne, quelle que soit la taille de l’entreprise, dès lors que son produit intègre un logiciel ou une connexion réseau.
Depuis quand le CRA s’applique-t-il concrètement ?
Le texte entre en application de façon progressive depuis le 11 juin 2026. La prochaine étape majeure, le 11 septembre 2026, porte sur l’obligation de signaler les vulnérabilités activement exploitées. L’ensemble des obligations deviendra pleinement contraignant le 11 décembre 2027.
Qu’est-ce que cela change pour les utilisateurs finaux ?
Les utilisateurs devraient bénéficier d’une meilleure information sur les risques de sécurité de leurs appareils et logiciels, ainsi que d’une garantie de mises à jour de sécurité pendant au moins cinq ans après l’achat, un engagement rarement formalisé jusqu’ici.