L’essor des produits connectés transforme en profondeur les usages professionnels, tout en élargissant considérablement la surface d’exposition aux cybermenaces. Objets connectés, logiciels, applications, équipements réseau, composants industriels ou produits intégrant de l’intelligence artificielle : la majorité des technologies numériques reposent aujourd’hui sur des composants logiciels pouvant être exposés à des vulnérabilités de sécurité.
Face à ce constat, l’Union européenne a adopté le règlement (UE) 2024/2847, plus connu sous le nom de Cyber Resilience Act (CRA), qui établit des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques mis à disposition sur le marché européen. Au-delà d’une simple approche technique, le CRA traduit un changement de paradigme : la cybersécurité n’est plus une fonctionnalité additionnelle ou un argument commercial, mais une exigence réglementaire devant être intégrée dès la conception du produit et maintenue tout au long de son cycle de vie.
Cet article propose un décryptage global du Cyber Resilience Act : ses objectifs, son champ d’application, la classification des produits qu’il introduit, les obligations qu’il fait peser sur chaque opérateur de la chaîne de valeur, ainsi que son calendrier d’application.
1. Les objectifs du Cyber Resilience Act : sécuriser les produits et responsabiliser les acteurs
Le Cyber Resilience Act s’inscrit dans la stratégie de cybersécurité de l’Union européenne et répond à un triple constat du législateur : un niveau de cybersécurité insuffisant pour de nombreux produits numériques, une gestion souvent inadaptée des vulnérabilités après la mise sur le marché, et un manque de transparence empêchant les utilisateurs d’évaluer le niveau réel de sécurité des produits qu’ils acquièrent.
Historiquement, les exigences réglementaires relatives aux produits se concentraient sur le moment de la mise sur le marché. Le CRA adopte une logique sensiblement plus large en imposant de prendre en compte la cybersécurité lors de la conception, pendant le développement, au stade de la commercialisation, puis après la mise sur le marché et pendant toute la période d’utilisation prévue du produit.
Le règlement repose ainsi sur deux objectifs principaux : garantir aux utilisateurs un niveau élevé de cybersécurité des produits comportant des éléments numériques, dès leur conception et tout au long de leur cycle de vie, afin d’assurer un choix éclairé ; et organiser une gestion continue des vulnérabilités, les produits devant recevoir les correctifs et mises à jour de sécurité nécessaires pour maintenir dans la durée le niveau de protection attendu.
2. Le champ d’application du CRA : un périmètre large assorti d’exclusions ciblées
1. Le critère matériel : la notion de produit comportant des éléments numériques
Le CRA s’applique aux produits comportant des éléments numériques, définis comme un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément. Le règlement ne s’applique toutefois qu’aux produits dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un appareil ou à un réseau.
Peuvent ainsi être concernés les logiciels autonomes téléchargeables, les micrologiciels et logiciels destinés à être intégrés dans un système d’information électronique lorsqu’ils sont mis sur le marché séparément, etc. À l’inverse, ne constituent pas des produits comportant des éléments numériques les sites internet qui ne supportent pas la fonctionnalité d’un tel produit, ainsi que les services cloud qui ne sont pas conçus et développés sous la responsabilité du fabricant du produit concerné
2. Le critère territorial : la mise à disposition sur le marché de l’Union
Le CRA s’applique dès lors que le produit est mis à disposition sur le marché de l’Union européenne, c’est-à-dire fourni pour y être distribué ou utilisé dans le cadre d’une activité commerciale, à titre onéreux ou gratuit. Le lieu d’établissement de l’opérateur est à cet égard indifférent : un fabricant établi hors de l’Union peut être pleinement soumis au règlement si son produit est destiné au marché européen.
3. Les exclusions prévues par le règlement
Afin d’éviter les chevauchements réglementaires, le CRA écarte de son champ d’application les produits déjà couverts par des cadres sectoriels spécifiques. Sont ainsi exclus les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro, les produits certifiés dans le domaine de l’aviation civile au titre du règlement (UE) 2018/1139, les produits destinés aux véhicules à moteur et à leurs remorques visés par le règlement (UE) 2019/2144, ainsi que les équipements marins relevant de la directive 2014/90/UE.
Le règlement exclut également certaines pièces de rechange fabriquées selon les mêmes spécifications que les composants qu’elles remplacent, et les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, de même que ceux spécifiquement conçus pour traiter des informations classifiées. Enfin, une clause plus générale écarte l’application du CRA lorsque d’autres règles de l’Union fixent des exigences couvrant tout ou partie des risques visés par les exigences essentielles de cybersécurité de l’annexe I, à condition de garantir un niveau de protection identique ou supérieur.
3. Une approche fondée sur les risques : la classification des produits
Le CRA retient une approche par les risques permettant de classer les produits comportant des éléments numériques en fonction de l’incidence qu’aurait l’exploitation d’une vulnérabilité les affectant. Cette classification est déterminante, puisqu’elle conditionne la procédure d’évaluation de la conformité que le fabricant devra suivre avant la mise sur le marché.
La classification repose sur la fonctionnalité de base du produit, c’est-à-dire sa fonctionnalité principale, celle qui caractérise sa finalité essentielle. Le fait qu’un produit intègre accessoirement un navigateur, un pare-feu ou un système d’exploitation ne suffit pas à lui conférer la fonctionnalité de base de la catégorie correspondante. Inversement, l’exercice de fonctions complémentaires à celles décrites dans les catégories des annexes III et IV ne fait pas perdre au produit la qualification qui découle de sa fonctionnalité principale.
1. Les produits relevant de la catégorie par défaut
Il s’agit de l’ensemble des produits comportant des éléments numériques autres que les produits importants et les produits critiques. Ils sont soumis aux exigences essentielles de cybersécurité de l’annexe I et aux exigences de gestion des vulnérabilités, mais peuvent en principe faire l’objet d’un contrôle interne réalisé par le fabricant sous sa propre responsabilité.
2. Les produits importants relevant de l’annexe III
Un produit est qualifié d’important lorsque sa fonctionnalité de base correspond à une catégorie énumérée à l’annexe III et qu’il exécute soit des fonctions essentielles pour la cybersécurité d’autres produits, réseaux ou services, soit une fonction comportant un risque important d’effets néfastes du fait de sa capacité à perturber, contrôler ou endommager d’autres produits, ou à porter atteinte à la santé, à la sécurité ou à la sûreté des utilisateurs par une manipulation directe.
La classe I regroupe notamment les systèmes de gestion des identités et des accès privilégiés, les navigateurs autonomes et intégrés, les gestionnaires de mots de passe, les logiciels de détection de logiciels malveillants, les produits dotés d’une fonction VPN, les systèmes SIEM, les gestionnaires de démarrage, les systèmes d’exploitation, les routeurs, modems et commutateurs, ainsi que certains produits domestiques intelligents, jouets connectés et produits portables personnels de surveillance de la santé non couverts par la réglementation des dispositifs médicaux.
La classe II, réservée aux produits dont l’exploitation d’une vulnérabilité serait susceptible d’entraîner des répercussions très graves, comprend les hyperviseurs et systèmes d’exécution de conteneurs, les pare-feu et systèmes de détection et de prévention des intrusions, ainsi que les microprocesseurs et microcontrôleurs résistants aux manipulations.
3. Les produits critiques relevant de l’annexe IV
Relèvent de cette catégorie les produits dont la fonctionnalité de base correspond à une catégorie de l’annexe IV — dispositifs matériels avec boîtier de sécurité, passerelles pour compteur intelligent, cartes à puce ou dispositifs similaires — et à l’égard desquels il existe soit une dépendance critique d’entités essentielles au sens de la directive NIS 2, soit un risque que des incidents ou vulnérabilités exploitées entraînent de graves perturbations des chaînes d’approvisionnement critiques du marché intérieur.
4. Les opérateurs de la chaîne de valeur et leurs obligations
Le CRA ne vise pas uniquement les fabricants : il attribue des obligations spécifiques à chaque acteur intervenant dans la mise à disposition d’un produit comportant des éléments numériques sur le marché européen. La première étape consiste donc à qualifier son rôle au regard du CRA car celui-ci détermine le périmètre exact des responsabilités applicables.
1. Le fabricant
Le fabricant est la personne physique ou morale qui développe ou fabrique un produit comportant des éléments numériques, ou le fait concevoir, développer ou fabriquer, et le commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit.
C’est sur lui que pèse l’essentiel de la charge, et celle-ci ne se limite pas à un contrôle ponctuel avant commercialisation : le fabricant doit garantir un niveau de cybersécurité approprié aux risques identifiés dès la conception, puis le maintenir pendant toute la période d’assistance. Ses obligations s’organisent autour de trois temps.
- Avant la mise sur le marché, il conçoit un produit conforme aux exigences essentielles de cybersécurité, documente son évaluation des risques, établit la documentation technique, applique la procédure d’évaluation de la conformité pertinente, puis établit la déclaration UE de conformité et appose le marquage CE.
- Lors de la mise sur le marché, il informe les utilisateurs et désigne un point de contact unique.
- Après la mise sur le marché, il gère les vulnérabilités pendant toute la période d’assistance, notifie les vulnérabilités activement exploitées et les incidents graves, prend les mesures correctives nécessaires et coopère avec les autorités de surveillance du marché.
2. La mandataire
Établi dans l’Union, le mandataire agit au nom du fabricant en vertu d’un mandat écrit, pour l’accomplissement de tâches déterminées. La rédaction de ce mandat est l’acte de conformité central : il ne peut porter sur les obligations substantielles du fabricant relatives à la conception, au développement, à la production, à l’évaluation des risques et à la gestion des vulnérabilités, mais doit au minimum couvrir la conservation documentaire, la transmission d’informations aux autorités sur requête motivée et la coopération aux mesures destinées à éliminer les risques.
3. L’importateur et le distributeur
L’importateur, établi dans l’Union, met sur le marché un produit portant le nom ou la marque d’une personne établie hors de l’Union. Il joue un rôle de filtre à l’entrée du marché européen : il lui revient de s’assurer, avant toute mise sur le marché, que le fabricant a effectivement accompli ses propres obligations de conformité.
Le distributeur, qui met le produit à disposition sans en altérer les propriétés, exerce un contrôle plus formel, centré sur la vigilance et la remontée d’information : diligence requise, abstention en cas de doute sérieux sur la conformité, alerte du fabricant en cas de vulnérabilité et coopération avec les autorités.
Néanmoins, l’importateur ou le distributeur qui met un produit sur le marché sous son propre nom ou sa propre marque, ou qui lui apporte une modification substantielle, est considéré comme un fabricant et se trouve alors soumis à l’ensemble des obligations correspondantes.
4. L’utilisateur modificateur et l’intendant de logiciels ouverts
Le CRA introduit deux figures nouvelles. L’utilisateur modificateur désigne toute personne qui apporte une modification substantielle à un produit comportant des éléments numériques et le met à disposition sur le marché ; il est alors soumis aux mêmes exigences que le fabricant, pour la partie modifiée ou pour l’ensemble du produit lorsque la modification affecte sa cybersécurité globale.
L’intendant de logiciels ouverts est une personne morale, nécessairement distincte du fabricant, qui fournit un soutien systématique et continu au développement de produits répondant aux critères des logiciels libres et ouverts destinés à des activités commerciales et en assure la viabilité. Ses obligations varient selon son implication réelle : tout intendant doit mettre en place et documenter de manière vérifiable une politique de cybersécurité et coopérer avec les autorités compétentes.
5. Les exigences essentielles de cybersécurité
Un produit comportant des éléments numériques ne peut être mis à disposition sur le marché que s’il satisfait aux exigences essentielles de l’annexe I, partie I, et si les processus mis en place par le fabricant sont conformes à celles de l’annexe I, partie II, relatives à la gestion des vulnérabilités.
Ces exigences peuvent être comprises au regard de quatre axes.
Le premier, la garantie d’un niveau de cybersécurité approprié, repose sur une sécurité dès la conception et par défaut : prise en compte des risques connus et raisonnablement prévisibles, limitation des surfaces d’attaque, correction des vulnérabilités par des mises à jour régulières, enregistrement et surveillance des activités internes pertinentes. Le deuxième concerne les données et leur gouvernance : confidentialité, intégrité, minimisation au regard de la finalité du produit, et possibilité pour l’utilisateur de supprimer ses données de manière sécurisée. Le troisième, la gestion des incidents, impose de protéger la disponibilité des fonctions essentielles, de limiter l’exploitation des failles et de prévoir des mesures correctives et de résilience. Le quatrième enfin regroupe la documentation technique et l’information due aux utilisateurs, avec notamment la désignation d’un point de contact unique et la communication de la date de fin de la période d’assistance.
L’ensemble de ces exigences constitue le socle fondamental du Cyber Resilience Act aux fins de garantir un niveau de sécurité élevé lors de la mise sur le marché de produits comportant des éléments numériques.
6. Les procédures d’évaluation de la conformité
Le niveau d’exigence de l’évaluation de conformité varie selon la catégorie du produit.
Pour les produits de la catégorie par défaut, le contrôle interne (module A), réalisé par le fabricant sous sa propre responsabilité, est en principe suffisant.
Pour les produits importants de classe I, le contrôle interne reste possible à condition que le fabricant applique intégralement des normes harmonisées, des spécifications communes ou des schémas européens de certification de cybersécurité pertinents, atteignant au minimum le niveau d’assurance « substantiel ». À défaut, ou lorsque de tels référentiels n’existent pas, le produit doit être soumis à une évaluation par un organisme notifié, selon la procédure d’examen UE de type suivie de la conformité au type (modules B + C) ou selon l’assurance complète de la qualité (module H).
Pour les produits importants de classe II, l’intervention d’un tiers est obligatoire : modules B + C, module H, ou, lorsqu’il est disponible et pertinent, un schéma européen de certification de cybersécurité d’un niveau d’assurance au moins substantiel.
Pour les produits critiques, la certification européenne de cybersécurité devient obligatoire lorsqu’un acte délégué de la Commission le prévoit et qu’un schéma pertinent est disponible. En l’absence d’un tel acte, le fabricant applique l’une des procédures prévues pour les produits importants de classe II.
Un régime spécifique est enfin prévu pour les produits répondant aux critères de logiciels libres et ouverts qui relèvent des catégories de l’annexe III : leurs fabricants peuvent démontrer la conformité en utilisant l’une des procédures générales, y compris le contrôle interne, à condition que la documentation technique soit mise à la disposition du public au moment de la mise sur le marché.
7. Un calendrier d’application progressif et un régime de sanctions significatif
1. L’entrée en application échelonnée
Entré en vigueur le 10 décembre 2024, le CRA prévoit une application échelonnée. Le chapitre IV relatif à la notification des organismes d’évaluation de la conformité s’applique depuis le 11 juin 2026.
Les obligations de signalement des vulnérabilités activement exploitées et des incidents graves prévues à l’article 14 s’appliquent depuis le 11 septembre 2026, et visent les fabricants, les utilisateurs modificateurs et les intendants de logiciels ouverts participant au développement du produit. Le règlement devient applicable dans sa totalité, pour l’ensemble des opérateurs, à compter du 11 décembre 2027.
2. Le régime de sanctions
Trois plafonds structurent le régime, le montant le plus élevé étant retenu dans chaque cas.
- Le non-respect des exigences essentielles de l’annexe I ou des obligations des articles 13 et 14 applicables aux fabricants peut donner lieu à une amende allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total.
- Le manquement à d’autres obligations telles que celles des mandataires, importateurs et distributeurs, ou celles relatives à la déclaration UE de conformité, au marquage CE et à la documentation technique, est plafonné à 10 millions d’euros ou 2 % du chiffre d’affaires.
- La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités est sanctionnée à hauteur de 5 millions d’euros ou 1 % du chiffre d’affaires.
Ces amendes ne sont pas exclusives : elles peuvent être imposées en plus de toute autre mesure corrective ou restrictive appliquée pour la même infraction : mise en conformité, restriction ou interdiction de mise à disposition, retrait ou rappel du produit.
Conclusion : la cybersécurité comme exigence de gouvernance
Avec le Cyber Resilience Act, l’Union européenne franchit une nouvelle étape dans la régulation du numérique. Le règlement ne se limite pas à encadrer les incidents ou les cyberattaques : il impose une transformation plus profonde, consistant à intégrer la cybersécurité dès la conception des produits et à maintenir ce niveau de protection durant toute leur durée de vie.
Pour les fabricants, mandataires, importateurs, distributeurs, intendants de logiciels ouverts ou utilisateurs modificateurs, l’enjeu dépasse la seule sécurité technique. Il s’agit de démontrer une véritable gouvernance de la cybersécurité, articulant qualification du rôle de chaque acteur, classification des produits, gestion des risques, traitement des vulnérabilités, documentation technique, surveillance post-commercialisation et traçabilité des décisions.
Comment structurer votre mise en conformité au CRA ?
Cinq actions prioritaires permettent d’amorcer la démarche sans attendre l’échéance de décembre 2027 :
- Réaliser un inventaire des produits comportant des éléments numériques pour identifier ceux qui entrent dans le périmètre et les opérateurs concernés dans la chaîne de valeur ;
- classifier ces produits selon leur criticité afin de déterminer les obligations et modes d’évaluation applicables ;
- effectuer une analyse d’écart entre les exigences du CRA et les pratiques existantes en matière de développement sécurisé, de gestion des vulnérabilités, de documentation et de surveillance ;
- définir une gouvernance transverse impliquant les équipes produit, qualité, conformité, juridique et cybersécurité ; et
- mettre en place une plateforme de pilotage centralisant les preuves, les plans d’action, les évaluations de risques et le cycle de vie des vulnérabilités.
Anticiper l’imbrication des réglementations numériques avec Naaia
Avec Naaia, identifiez automatiquement les produits concernés par le CRA, déterminez les obligations applicables à chaque acteur de votre chaîne de valeur et pilotez votre mise en conformité grâce à un plan d’action opérationnel, centralisé et continuellement actualisé. En centralisant la cartographie des produits et systèmes, la qualification des rôles et des cas d’usage, le pilotage des obligations et la traçabilité des décisions, Naaia aide les organisations à passer d’une conformité fragmentée à une gouvernance numérique cohérente, articulant AI Act, RGPD et Cyber Resilience Act.
