Cyber Resilience Act
Règlement concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques (règlement sur la cyberrésilience)
Règlement (UE) 2024/2847 du 23 octobre 2024
En deux mots
Le Cyber Resilience Act impose que tout produit matériel ou logiciel connecté vendu dans l'Union soit conçu de manière sécurisée, suivi pendant toute sa durée de support et corrigé gratuitement en cas de faille. Le fabricant doit signaler les failles exploitées à l'ENISA dès le 11 septembre 2026, puis apposer le marquage CE au titre de la cybersécurité à partir du 11 décembre 2027.
Qui est concerné
Fabricants, importateurs et distributeurs qui mettent à disposition sur le marché de l'Union des produits comportant des éléments numériques (objets connectés, équipements industriels, logiciels vendus, composants), quelle que soit leur taille, à l'exception des produits relevant de régimes sectoriels propres (dispositifs médicaux, véhicules, aéronautique, équipements marins), des produits exclusivement militaires et des logiciels libres fournis hors activité commerciale. Les services SaaS purs relèvent plutôt de NIS2.
Sanctions
Jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial pour le non-respect des exigences essentielles et des obligations des articles 13 et 14 ; 10 M€ ou 2 % pour les autres obligations ; 5 M€ ou 1 % pour des informations inexactes fournies aux autorités (art. 64), le montant le plus élevé étant retenu, ainsi que le retrait ou le rappel des produits non conformes.
Autorité de contrôle
Autorités françaises de surveillance du marché (dont l'ANSSI) ; CERT-FR comme CSIRT coordinateur et ENISA pour les signalements
État au 14 octobre 2026 : le règlement est entré en vigueur le 10 décembre 2024 et s'applique par étapes. Depuis le 11 juin 2026, les règles relatives aux organismes d'évaluation de la conformité (notification des organismes notifiés) s'appliquent. Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves (alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d'un correctif ou sous un mois pour un incident), y compris pour les produits déjà sur le marché. Ces signalements passent par la plateforme unique de signalement (Single Reporting Platform) de l'ENISA, lancée le 11 septembre 2026 (portal.cra-srp.enisa.europa.eu), qui transmet simultanément au CSIRT coordinateur de l'État de l'établissement principal ; l'accès se fait par un compte EU Login. À venir le 11 décembre 2027 : toutes les autres obligations (exigences essentielles de l'annexe I, gestion des vulnérabilités, documentation technique, évaluation de la conformité, déclaration UE de conformité, marquage CE, obligations des importateurs et distributeurs, obligations de signalement des gestionnaires de logiciels libres). Les normes harmonisées sont en cours d'élaboration par le CEN, le CENELEC et l'ETSI. La proposition « Omnibus numérique » prévoit de faire de la plateforme CRA le point unique de notification pour NIS2, DORA et le RGPD ; elle n'est pas adoptée.
Ce que couvre le questionnaire
| Questions de périmètre | 4 |
| Sécurité dès la conception | 3 |
| Gestion des vulnérabilités et mises à jour | 6 |
| Signalement à l'ENISA (en vigueur depuis le 11 septembre 2026) | 3 |
| Évaluation de la conformité et marquage CE (à partir du 11 décembre 2027) | 4 |
Version 1 du questionnaire.