Cyber Resilience Act : ce qui change pour les acteurs du digital dès le 11 septembre 2026

Le Cyber Resilience Act entre dans sa phase contraignante

Le Cyber Resilience Act (CRA), règlement européen sur la cyberrésilience, franchit sa première étape contraignante le vendredi 11 septembre 2026. À cette date, l'article 14 du texte impose aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Pour un directeur digital, c'est le moment de vérifier si son organisation — ou ses prestataires — entre dans le périmètre du règlement.

Qui est concerné par cette échéance ?

Le périmètre est volontairement large : il couvre les logiciels, les matériels et leurs solutions de traitement de données à distance, dès lors qu'ils sont mis à disposition sur le marché de l'Union européenne dans le cadre d'une activité commerciale. L'obligation incombe au fabricant, c'est-à-dire l'entité qui développe ou fait développer le produit et le commercialise sous son propre nom.

• Les éditeurs de logiciels : applications de bureau ou mobiles, firmwares, composants vendus séparément.
• Les fabricants de matériel connecté : des objets domestiques aux équipements réseau.
• Les agences et studios qui distribuent sous leur propre marque un produit qu'ils ont développé ou fait développer.
• Les importateurs et distributeurs qui apposent leur marque sur un produit ou le modifient avant de le remettre sur le marché.

Point important : l'obligation ne se limite pas aux nouveaux produits. L'article 69 du règlement soumet à l'article 14 les produits déjà mis sur le marché avant le 11 décembre 2027, date d'application complète du texte. Un logiciel commercialisé depuis plusieurs années et toujours maintenu entre donc dans le périmètre dès le premier jour.

Côté entreprises utilisatrices, l'obligation de signalement vise le fournisseur, pas l'organisation qui exploite le produit. Un client peut toutefois exiger de son fabricant la mise à disposition des mises à jour de sécurité pendant toute la période d'assistance du produit, comme le rappelle l'ANSSI (Agence nationale de la sécurité des systèmes d'information) dans sa foire aux questions consacrée au CRA. C'est un levier contractuel à connaître pour tout responsable digital qui achète des solutions logicielles ou du matériel connecté.

Comment signaler une vulnérabilité exploitée ou un incident grave ?

Toutes les notifications passent par une plateforme unique, commune à l'ensemble de l'Union européenne, dont la mise en ligne est prévue pour le 11 septembre 2026. Elle est gérée par l'ENISA, l'agence de l'UE pour la cybersécurité. Le processus se déroule en plusieurs temps :

• une première alerte dans les 24 heures suivant la découverte d'une vulnérabilité activement exploitée ou d'un incident grave ;
• une notification complète dans les 72 heures ;
• puis un complément avec les informations manquantes, selon les délais fixés par le règlement.

Lors de son inscription sur la plateforme, l'éditeur indique le pays auquel il se rattache, en général celui de son établissement principal, puis précise à chaque notification les pays concernés. Chaque État membre dispose d'un centre de réponse aux incidents chargé de recevoir ces signalements : en France, c'est le CERT-FR (French Computer Emergency Response Team, l'équipe française de réponse aux incidents informatiques), rattaché à l'ANSSI. Il accède aux informations transmises par le fabricant et les relaie aux autres pays concernés.

Ce centre peut également transmettre ces informations à l'autorité de surveillance du marché de son pays — l'ANFR pour la France — qui vérifiera la conformité des produits commercialisés et pourra prononcer les mesures correctives ou restrictives nécessaires.

Un guide pratique publié par la Commission européenne

Pour accompagner cette échéance, la Commission européenne a publié le 27 juillet 2026 des orientations pratiques destinées aux fabricants, développeurs et entreprises de toutes tailles. Ce document clarifie le périmètre des produits concernés, la notion de modification substantielle et les périodes d'assistance. Il comprend 67 exemples pratiques et des arbres de décision pensés pour les microentreprises et les PME.

Une étape intermédiaire avant l'application complète fin 2027

Le 11 septembre 2026 n'est qu'un jalon dans un calendrier qui s'échelonne jusqu'à fin 2027. La prochaine étape concerne le contrôle de conformité : les produits importants de classe II et les produits critiques devront être évalués par un organisme notifié. En France, c'est l'ANSSI qui assure ce rôle d'autorité « notifiante ». La procédure de notification, qui s'appuiera sur l'accréditation des organismes candidats par le Cofrac, sera prochainement publiée : l'accréditation devrait être ouverte au second semestre 2026 et les premières notifications interviendraient fin 2026.

L'application complète du règlement interviendra le 11 décembre 2027, avec l'ensemble des exigences essentielles de cybersécurité, la documentation technique, la déclaration UE de conformité et le marquage CE prévus par le CRA. En clair : le signalement des incidents n'est que la première brique d'un dispositif de conformité beaucoup plus large, qu'il vaut mieux anticiper dès maintenant plutôt que de le découvrir en 2027.