Cyber Resilience Act : première échéance le 11 septembre
La réponse courte
Le 11 septembre 2026, la première obligation contraignante entre en vigueur : les fabricants de produits connectés doivent signaler sous 24 heures les failles activement exploitées. Vous n’êtes pas fabricant, donc vous n’avez rien à déclarer — mais vous êtes acheteur, et c’est là que la question se pose lors de vos prochains équipements. Le gros du règlement, lui, attend décembre 2027.
En bref
- Public visé : dirigeants de TPE et de PME qui fabriquent, éditent, importent ou revendent un produit contenant du numérique — et tous ceux qui en achètent ; formateurs et médiateurs numériques.
- Enjeu central : le règlement européen sur la cyberrésilience franchit sa première marche contraignante le 11 septembre 2026. Le reste du texte n’entre en jeu qu’en décembre 2027.
- Chiffre clé : 24 heures pour donner l’alerte, 72 heures pour la notification complète — et jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial d’amende.
- Temps de lecture : 8 minutes.
Un aquarium connecté qui sert de porte d’entrée dans le réseau d’un casino. Des babyphones dont les images se retrouvent en ligne. Des caméras vendues avec le même mot de passe pour tous les exemplaires. Depuis dix ans, la liste des objets du quotidien détournés par des attaquants s’allonge, et le constat est toujours le même : le produit avait été conçu pour fonctionner, pas pour résister.
L’Union européenne y met bon ordre avec un règlement au nom peu engageant, le Cyber Resilience Act — règlement (UE) 2024/2847, ou CRA. Son principe tient en une phrase : un produit numérique vendu en Europe devra être sécurisé dès sa conception et le rester pendant toute sa durée de vie. Le texte est entré en vigueur fin 2024, mais s’applique par paliers. Le premier palier vraiment contraignant tombe le 11 septembre 2026, soit dans un mois. Et le 27 juillet dernier, la Commission européenne a publié plus de quatre-vingts pages de lignes directrices pour expliquer qui doit faire quoi.
1. Ce qui se passe le 11 septembre — et surtout ce qui ne se passe pas
Il faut être clair sur ce point, parce que beaucoup d’articles entretiennent la confusion. Le 11 septembre 2026, une seule obligation entre en application : signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité d’un produit. Elle pèse sur les fabricants, c’est-à-dire sur ceux qui mettent le produit sur le marché sous leur propre nom.
Tout le reste — marquage CE attestant la conformité cyber, documentation technique, déclaration de conformité, période d’assistance minimale, évaluation par un organisme tiers pour les produits sensibles — n’entre en jeu que le 11 décembre 2027.
Le contresens à éviter
Non, les produits numériques vendus en Europe n’ont pas besoin d’arborer un « marquage CE cybersécurité » en septembre 2026 : cette obligation-là, c’est décembre 2027. Si un prestataire vous explique le contraire pour vous vendre une mise en conformité en urgence, demandez-lui l’article du règlement. Méfiez-vous symétriquement de l’argument inverse : « on a jusqu’à fin 2027 » est faux aussi, puisque le signalement, lui, démarre dans un mois.
Une subtilité, précisée par la Commission le 27 juillet : l’obligation de signalement vaut aussi pour les produits déjà commercialisés avant décembre 2027, et survit à la fin de la période d’assistance. Aucun fabricant ne peut donc se retrancher derrière un catalogue « antérieur au CRA ».
2. Suis-je concerné ? Le test en quatre questions
La réaction spontanée d’un dirigeant de TPE, en lisant « fabricant de produits numériques », est de tourner la page. C’est souvent une erreur : le règlement raisonne en rôles, pas en tailles d’entreprise, et l’un de ces rôles attrape beaucoup de petites structures sans qu’elles s’en doutent.
| Votre situation | Votre rôle au sens du CRA | Concerné par le 11 septembre ? |
|---|---|---|
| Vous éditez un logiciel, une application mobile ou une extension vendue sous votre marque | Fabricant | Oui |
| Vous faites fabriquer un objet connecté à l’étranger et le vendez sous votre nom (marque blanche) | Fabricant | Oui |
| Vous importez dans l’UE des produits connectés depuis un pays tiers pour les revendre | Importateur | Non, mais obligations dès 2027 |
| Vous revendez en boutique ou en ligne des produits déjà présents sur le marché européen | Distributeur | Non, mais obligations dès 2027 |
| Vous achetez et utilisez des équipements connectés dans votre entreprise | Utilisateur | Non — vous gagnez des droits |
Deux pièges. Le premier : apposer sa marque sur un produit fabriqué par un tiers fait de vous un fabricant. Le second : une modification substantielle d’un produit existant produit le même effet. Les lignes directrices précisent qu’une réparation ou une pièce détachée identique ne change rien, mais qu’une évolution ouvrant de nouveaux scénarios d’attaque, si.
Bonne nouvelle pour les agences web et les développeurs
Les lignes directrices du 27 juillet tranchent deux questions qui inquiétaient beaucoup de monde. Un site internet n’est pas, en lui-même, un « produit comportant des éléments numériques » — il ne le devient que s’il constitue le traitement de données à distance qui fait fonctionner un produit. Un logiciel qui s’exécute à distance et auquel l’utilisateur se contente d’accéder n’en est pas un non plus, de ce seul fait. Quant au logiciel libre, il ne déclenche d’obligations que s’il est fourni dans le cadre d’une activité commerciale : le code publié sur un dépôt public sans intention commerciale reste hors champ, et les dons volontaires ne font pas basculer un projet — sauf s’ils conditionnent en pratique l’accès aux mises à jour.
3. Le calendrier complet, sans jargon
| Date | Ce qui s’applique |
|---|---|
| Déc. 2024 | Entrée en vigueur du règlement. Les exigences essentielles de sécurité sont posées ; leur respect ne dépend d’aucune norme à venir. |
| Juin 2026 | Ouverture du dispositif de notification des organismes d’évaluation de la conformité. |
| 11 sept. 2026 | Signalement obligatoire des vulnérabilités activement exploitées et des incidents graves, par les fabricants, via la plateforme unique européenne. |
| Fin 2026 | Premières désignations d’organismes notifiés en France (accréditation Cofrac, notification par l’ANSSI). Adoption attendue de l’acte délégué sur la présomption de conformité des certificats européens. |
| 11 déc. 2027 | Application complète : marquage CE, documentation technique, période d’assistance, obligations des importateurs et des distributeurs. |
Un mot sur les normes, parce que c’est l’excuse la plus répandue pour ne rien faire. L’ANSSI, dans sa foire aux questions consacrée au CRA, coupe court.
« La mise en conformité est une obligation réglementaire indépendante de la disponibilité des normes. […] Les fabricants n’ont pas à attendre l’adoption des normes pour se conformer au CRA. »
ANSSI, Questions fréquentes sur le CRA
Les normes harmonisées ouvrent une présomption de conformité : elles facilitent la démonstration, elles ne la conditionnent pas. Leur usage reste volontaire, tout autre moyen de preuve est recevable.
4. Comment fonctionne le signalement : 24 h, 72 h, 14 jours
Le mécanisme est calqué sur celui que connaissent déjà les entreprises soumises au RGPD ou à NIS 2, avec le même déclencheur : le moment où l’on prend connaissance du problème.
- 24 heures — une alerte précoce, même incomplète, pour signaler l’existence de la faille exploitée ou de l’incident.
- 72 heures — une notification complète, avec ce que l’on sait à ce stade et les mesures correctives engagées.
- 14 jours après la mise à disposition d’un correctif — le rapport final, pour une vulnérabilité activement exploitée. Le délai passe à un mois après la notification des 72 heures pour un incident grave.
Tout passe par une plateforme unique européenne de signalement, la Single Reporting Platform, opérée par l’ENISA. Le fabricant s’y inscrit avec un compte EU Login, indique le pays de l’Union auquel il se rattache, puis déclare la vulnérabilité en désignant les États concernés. Côté français, c’est le CERT-FR de l’ANSSI qui reçoit la notification et coordonne la réponse ; la surveillance du marché et les sanctions relèvent de l’Agence nationale des fréquences (ANFR).
Point de vigilance : la plateforme n’était pas encore ouverte cet été
L’ENISA annonce la mise en ligne de la plateforme pour le 11 septembre 2026 — le jour même où l’obligation démarre. Fin juin, elle n’était toujours pas accessible. Ne comptez pas découvrir l’outil en situation de crise : créez dès maintenant le compte EU Login de l’entreprise, désignez la personne qui déclarera, rédigez à froid le modèle de notification. Une alerte à produire en vingt-quatre heures ne se prépare pas en vingt-quatre heures.
Bonne nouvelle pour les petites structures : le règlement n’impose aucune organisation type. L’ANSSI le confirme, constituer une équipe dédiée à la réponse aux incidents produit n’est pas obligatoire. Ce qui est exigé, c’est un point de contact unique accessible aux utilisateurs et le respect effectif des délais. Une personne nommée et une procédure écrite suffisent.
5. Et si je ne fais qu’acheter ? Vous y gagnez
C’est la face du CRA dont on parle le moins, et pourtant celle qui concerne l’immense majorité des entreprises. Le règlement crée des droits pour l’acheteur, que l’ANSSI résume en deux points : exiger du fabricant les mises à jour de sécurité pendant toute la période d’assistance du produit, et disposer d’informations transparentes sur l’identité du produit et de son fabricant.
Cette période d’assistance est fixée à cinq ans minimum. Les lignes directrices de juillet insistent sur un point souvent mal compris : ces cinq ans sont un plancher, pas une valeur par défaut. Un produit dont on attend raisonnablement qu’il serve dix ou quinze ans — système d’alarme, portail motorisé, équipement industriel — doit être suivi plus longtemps.
Cinq questions à poser avant d’acheter un équipement connecté
- Jusqu’à quelle date ce modèle recevra-t-il des mises à jour de sécurité ? (Exigez une date, pas un « on suit nos produits ».)
- Les mises à jour sont-elles automatiques, et gratuites ?
- Qui contacter, précisément, en cas de faille découverte ?
- Le produit impose-t-il de changer le mot de passe par défaut à la première utilisation ?
- Que deviennent les données si le service en ligne associé ferme ?
Elles n’attendent pas décembre 2027 : elles trient dès aujourd’hui les fournisseurs sérieux des autres.
Pour les médiateurs numériques et les animateurs d’ateliers, il y a là un message simple à faire passer : un objet connecté n’est pas un objet fini le jour de l’achat. Caméra, montre, télé, assistant vocal, robot aspirateur — tous ont besoin d’être mis à jour, et tous cessent un jour de l’être. Savoir quand fait partie du prix.
6. Quatre chantiers à ouvrir avant la rentrée
Si vous relevez du statut de fabricant, voici l’ordre de priorité que retiennent aussi bien la Direction générale des entreprises que l’ANSSI.
Cartographier. Listez ce que vous mettez sur le marché, ce qui contient du numérique, et le rôle exact que vous jouez pour chaque référence. Beaucoup d’entreprises découvrent à cette étape qu’elles cumulent plusieurs casquettes.
Inventorier les composants. On ne signale pas une faille dans une brique qu’on ignore embarquer. L’inventaire des composants logiciels — le SBOM — est le socle de tout le reste : les vulnérabilités venues de composants tiers doivent être signalées dès lors qu’elles sont exploitables dans votre produit.
Nommer et écrire. Une personne responsable, un point de contact publié, une procédure d’une page qui dit qui fait quoi dans les vingt-quatre premières heures.
Reprendre les contrats. Vos fournisseurs de composants doivent s’engager à vous informer de leurs failles dans des délais compatibles avec les vôtres. Une clause de quelques lignes ajoutée aux prochains renouvellements vaut mieux qu’un audit dans deux ans.
Ce que vous risquez
Les sanctions vont de la mise en demeure au retrait ou au rappel du produit, en passant par l’interdiction de mise sur le marché européen. Le plafond des amendes atteint 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial. Pour une entreprise de quelques personnes, la vraie menace n’est évidemment pas l’amende : c’est la perte d’accès au marché, puisque le marquage CE conditionnera à partir de décembre 2027 le droit de vendre. Un produit non conforme devient un produit invendable.
La charge documentaire est réelle, et le règlement n’allège la situation des micro et petites entreprises que sur la forme de la documentation technique. Mais le raisonnement inverse mérite d’être tenu : dans un marché où plus personne ne distingue un produit sérieusement suivi d’un produit abandonné six mois après sa sortie, annoncer une date de fin de support et un point de contact devient un argument de vente. Les acheteurs publics et les grands donneurs d’ordre poseront ces questions bien avant décembre 2027.
À retenir
- 11 septembre 2026 : seule l’obligation de signalement des vulnérabilités activement exploitées et des incidents graves entre en application, et seulement pour les fabricants.
- 11 décembre 2027 : marquage CE, documentation, période d’assistance, obligations des importateurs et distributeurs. Ne confondez pas les deux dates.
- Le statut de fabricant s’attrape sans le vouloir : vendre sous sa marque un produit fabriqué ailleurs, ou modifier substantiellement un produit existant, suffit.
- Les délais sont courts : alerte en 24 h, notification en 72 h, rapport final sous 14 jours, via la plateforme européenne de l’ENISA — CERT-FR côté français, ANFR pour les sanctions.
- Si vous êtes acheteur, vous gagnez des droits : mises à jour de sécurité garanties pendant la période d’assistance (cinq ans au minimum) et information transparente sur le fabricant.
Le CRA rejoint NIS 2, DORA et l’AI Act dans une pile réglementaire européenne qui a de quoi décourager. Mais si l’on retire le vocabulaire, il ne demande au fond que trois choses raisonnables : savoir ce qu’il y a dans ce qu’on vend, être joignable quand ça casse, prévenir vite. Beaucoup d’entreprises font déjà les deux premières. La troisième se prépare en quelques heures — à condition de ne pas attendre le 11 septembre pour s’y mettre.
Num Compagny accompagne les TPE, les PME et les collectivités dans leur mise en conformité numérique : cartographie des produits et des rôles, rédaction des procédures de signalement, sensibilisation des équipes à la cybersécurité. Nos formations professionnelles sont détaillées sur la page Formation professionnelle.
