Page à jour au 14 novembre 2026.

Qu’est-ce que le Cyber Resilience Act ?

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, est le règlement (UE) 2024/2847 du 23 octobre 2024. Il fixe des exigences de cybersécurité pour les produits comportant des éléments numériques. Publié au Journal officiel de l’Union européenne du 20 novembre 2024, il est entré en vigueur le 10 décembre 2024.

S’agissant d’un règlement, il s’applique directement dans tous les États membres, sans loi de transposition.

Quels produits sont concernés ?

Le règlement vise les produits comportant des éléments numériques mis sur le marché, matériels comme logiciels, dont l’utilisation prévue ou raisonnablement prévisible implique une connexion, directe ou indirecte, à un appareil ou à un réseau (article 2).

Sont exclus les produits déjà couverts par des textes sectoriels, notamment les dispositifs médicaux (règlements (UE) 2017/745 et 2017/746), les véhicules à moteur (règlement (UE) 2019/2144), les produits certifiés au titre de la réglementation de l’aviation civile et les équipements marins, ainsi que les produits développés exclusivement à des fins de sécurité nationale ou de défense.

Depuis quand s’applique-t-il ?

L’application est échelonnée (article 71). Les dispositions relatives aux organismes d’évaluation de la conformité s’appliquent depuis le 11 juin 2026 et les obligations de notification de l’article 14 depuis le 11 septembre 2026. L’ensemble du règlement sera applicable le 11 décembre 2027.

Que doit notifier le fabricant ?

Depuis le 11 septembre 2026, le fabricant doit notifier toute vulnérabilité activement exploitée contenue dans son produit, ainsi que tout incident grave ayant un impact sur la sécurité de celui-ci. La notification est adressée simultanément au CSIRT désigné comme coordinateur et à l’ENISA, par une plateforme unique de signalement (article 14).

Une alerte précoce doit être transmise au plus tard 24 heures après la prise de connaissance, puis une notification au plus tard dans les 72 heures. Un rapport final est dû au plus tard 14 jours après la mise à disposition d’une mesure corrective pour une vulnérabilité, et dans le délai d’un mois après la notification pour un incident grave.

Quelles autres obligations s’appliqueront en décembre 2027 ?

Les produits devront respecter les exigences essentielles de cybersécurité de l’annexe I, faire l’objet d’une évaluation de la conformité et porter le marquage CE. Les produits classés « importants » ou « critiques » par les annexes III et IV relèvent de procédures d’évaluation plus strictes.

Le fabricant devra aussi traiter les vulnérabilités pendant toute la période d’assistance, qui est d’au moins cinq ans, sauf si la durée d’utilisation prévue du produit est plus courte (article 13).

Les logiciels libres sont-ils concernés ?

Le règlement crée un statut particulier pour les « intendants de logiciels ouverts », soumis à des obligations allégées : mettre en place une politique de cybersécurité documentée et coopérer avec les autorités de surveillance du marché (article 24).

Quelles sont les sanctions ?

Le non-respect des exigences essentielles de l’annexe I et des obligations des articles 13 et 14 est passible d’une amende administrative pouvant aller jusqu’à 15 millions d’euros ou, pour une entreprise, 2,5 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Les autres manquements sont passibles d’amendes pouvant aller jusqu’à 10 millions d’euros ou 2 %, et la fourniture d’informations inexactes, incomplètes ou trompeuses aux autorités jusqu’à 5 millions d’euros ou 1 % (article 64).

Quelle articulation avec la directive NIS 2 ?

Les deux textes ne portent pas sur le même objet : la directive NIS 2 impose des obligations aux organisations, le Cyber Resilience Act aux produits. Un même acteur, par exemple un fabricant d’objets connectés, peut donc relever des deux.