1. En résumé
- ➜ Le Cyber Resilience Act concerne les produits comportant des éléments numériques mis à disposition sur le marché de l’Union européenne, dans les limites de son champ d’application.
- ➜ Depuis le 11 septembre 2026, les fabricants concernés doivent notifier les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur la sécurité de leurs produits.
- ➜ Les premières échéances sont de 24 heures et de 72 heures à compter de la prise de connaissance.
- ➜ L’assurance cyber peut accompagner la gestion d’un incident, selon les garanties souscrites. Elle ne remplace pas votre démarche de conformité.
2. Que change le Cyber Resilience Act ?
Le Cyber Resilience Act, ou CRA, établit un cadre européen de cybersécurité pour les produits comportant des éléments numériques, notamment certains logiciels et équipements connectés. Son objectif est de mieux protéger leurs utilisateurs contre les failles de sécurité, en imposant des exigences communes aux opérateurs économiques qui mettent ces produits à disposition sur le marché de l’Union européenne.
Si vous êtes fabricant ou éditeur d’un produit concerné, la cybersécurité doit être prise en compte dès sa conception et faire l’objet d’un suivi après sa commercialisation. Vous devez anticiper les risques liés à son utilisation, limiter les vulnérabilités et organiser leur traitement lorsqu’elles sont découvertes.
Une responsabilité qui se prolonge après la vente
Le CRA encadre plusieurs étapes de la vie du produit : conception, développement, mise sur le marché et suivi de sécurité. À l’échéance générale du règlement, vous devrez notamment pouvoir démontrer le respect des exigences applicables, fournir les informations nécessaires aux utilisateurs et organiser la gestion des vulnérabilités pendant la période d’assistance.
Pour votre entreprise, cela implique de structurer votre organisation autant que vos pratiques techniques. Qui reçoit les signalements de failles ? Qui évalue leur gravité ? Comment préparez-vous et diffusez-vous les mises à jour de sécurité ? Comment informez-vous vos clients ?
Ces questions doivent trouver une réponse dans vos procédures internes. La livraison d’un produit ne marque donc pas la fin de vos responsabilités en matière de cybersécurité.
Deux échéances à distinguer
L’application du règlement est progressive, avec deux dates essentielles pour les fabricants concernés.
- ● Depuis le 11 septembre 2026, les obligations de notification sont applicables. Vous devez signaler les vulnérabilités activement exploitées contenues dans vos produits ainsi que les incidents graves ayant une incidence sur leur sécurité. Cette première étape exige une capacité de détection, d’analyse et de réaction rapide.
- ● À partir du 11 décembre 2027, le règlement devient généralement applicable, notamment pour les exigences de cybersécurité et de conformité des produits concernés, sous réserve des dispositions transitoires.
Vous devez donc avancer sur deux fronts : disposer dès maintenant d’une procédure de signalement opérationnelle et préparer votre conformité aux exigences applicables en 2027. Attendre cette seconde échéance pour organiser la remontée des incidents vous exposerait à manquer des obligations déjà en vigueur.
3. Votre entreprise est-elle concernée ?
Le Cyber Resilience Act ne vise pas indistinctement toutes les entreprises qui utilisent des outils numériques. Pour déterminer si vous êtes concerné par les obligations de notification des fabricants, vous devez examiner votre rôle, la nature de vos produits et les conditions dans lesquelles vous les mettez à disposition sur le marché de l’Union européenne.
Vous commercialisez un produit sous votre nom ou votre marque
Vous pouvez être considéré comme fabricant lorsque vous développez ou fabriquez un produit comportant des éléments numériques, puis le commercialisez sous votre nom ou votre marque.
Cette qualification peut également s’appliquer si vous confiez sa conception ou sa fabrication à un prestataire. Externaliser le développement ne suffit donc pas à vous décharger des obligations du fabricant.
Par exemple, si vous faites développer une application que vous commercialisez sous votre propre marque, vous devez examiner votre situation au regard du CRA, même si votre entreprise ne dispose d’aucun développeur en interne.
Le terme « fabricant » ne désigne donc pas uniquement une entreprise industrielle : il peut aussi concerner un éditeur de logiciels.
Votre produit possède une connexion de données
Le règlement couvre des produits logiciels ou matériels dont l’utilisation prévue, ou raisonnablement prévisible, comprend une connexion de données à un appareil ou à un réseau. Cette connexion peut être directe ou indirecte, physique ou logique.
Votre produit n’a donc pas nécessairement besoin d’être directement connecté à Internet pour entrer dans le champ du CRA. Une connexion à un autre équipement peut également être pertinente.
L’analyse porte sur les produits finis, mais aussi sur certains composants logiciels ou matériels mis à disposition séparément. Vous devez ainsi examiner chaque produit commercialisé, ses fonctionnalités et ses interactions avec d’autres équipements.
Vous utilisez simplement des outils numériques pour votre activité
Si vous utilisez un logiciel de caisse, une messagerie professionnelle ou un outil de gestion, cette utilisation ne fait pas, à elle seule, de vous un fabricant soumis aux notifications du CRA.
Par exemple, si vous exploitez un restaurant et utilisez une caisse connectée achetée auprès d’un fournisseur, vous n’endossez pas les obligations de fabricant du seul fait de cet usage.
La distinction essentielle est donc la suivante : utilisez-vous un produit fourni par un tiers ou mettez-vous vous-même un produit sur le marché sous votre nom ? Si vous cumulez plusieurs activités, examinez-les séparément.
Vérifiez le périmètre produit par produit
Ne vous limitez pas à votre secteur d’activité pour conclure que vous êtes concerné ou exempté. Certains produits font l’objet d’exclusions, notamment lorsqu’ils relèvent de législations européennes spécifiques.
Pour préparer votre analyse, recensez vos produits, leur marque de commercialisation, leurs connexions et votre rôle dans leur développement ou leur distribution. Cette cartographie vous permettra d’identifier les situations qui nécessitent un examen plus approfondi.
Enfin, ne limitez pas votre inventaire aux futurs lancements : les obligations de notification applicables depuis le 11 septembre 2026 peuvent concerner des produits déjà mis sur le marché, dès lors que les conditions prévues par le CRA sont réunies.
4. Quels événements devez-vous notifier et dans quels délais ?
Deux catégories sont visées : les vulnérabilités activement exploitées contenues dans votre produit et les incidents graves ayant une incidence sur la sécurité du produit comportant des éléments numériques.
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|
| Alerte précoce | Sous 24 heures après en avoir pris connaissance | Sous 24 heures après en avoir pris connaissance |
| Notification à 72 heures | Sous 72 heures après en avoir pris connaissance | Sous 72 heures après en avoir pris connaissance |
| Rapport final | Au plus tard 14 jours après la disponibilité d’une mesure corrective ou d’atténuation | Dans le mois suivant la notification à 72 heures |
Les délais de 24 et de 72 heures partent du même événement : votre prise de connaissance. Vous ne disposez donc pas de 72 heures supplémentaires après l’alerte précoce.
Ces échéances imposent de préparer votre circuit de décision avant l’incident. Attendre la fin de toutes les investigations peut vous empêcher de respecter les premières notifications.
Si vous êtes soumis aux obligations de notification du CRA, vous devez transmettre vos signalements sur la plateforme européenne unique mise en place par l’ENISA : la « Single Reporting Platform », ou « SRP ». Ce dispositif centralise vos déclarations et leurs compléments.
Identifiez votre pays de rattachement
Lors de votre inscription, vous devez identifier le CSIRT désigné comme coordinateur compétent. En principe, il s’agit de celui de l’État membre dans lequel se situe votre établissement principal dans l’Union, c’est-à-dire celui où sont principalement prises les décisions relatives à la cybersécurité de vos produits comportant des éléments numériques.
Si cet État membre ne peut pas être déterminé, d’autres critères prévus par le CRA s’appliquent, notamment celui de l’établissement comptant le plus grand nombre de salariés dans l’Union. Des règles particulières sont également prévues lorsque vous ne disposez pas d’un établissement principal dans l’Union européenne.
Si le CSIRT coordinateur compétent pour votre entreprise est celui de la France, il s’agit du CERT-FR de l’ANSSI. Il reçoit les informations transmises par la plateforme et participe à leur circulation vers les autres États membres concernés, selon les mécanismes prévus par le règlement.
Le pays de rattachement ne doit donc pas être choisi uniquement en fonction de la localisation d’un client touché par l’incident.
Transmettez votre notification puis ses compléments
La SRP propose des formulaires adaptés au signalement d’une vulnérabilité ou d’un incident. Lors de votre déclaration, vous devez notamment préciser les États membres concernés.
Votre démarche se déroule en plusieurs étapes : l’alerte précoce, la notification à 72 heures et le rapport final, selon les délais applicables. La première transmission ne clôt donc pas votre obligation de signalement. Vous devez organiser le suivi du dossier et apporter les précisions attendues sur la même plateforme.
Les informations sont ensuite accessibles aux CSIRT concernés selon les mécanismes prévus par le règlement.
Pour faciliter la saisie et les mises à jour, préparez une fiche interne regroupant les éléments disponibles : produit et versions concernés, date et heure de prise de connaissance, nature de l’événement, conséquences identifiées et premières mesures prises.
Distinguez les faits confirmés des points encore en cours d’analyse. Cette méthode vous aidera à transmettre des informations cohérentes au fil des investigations, sans attendre de disposer d’un diagnostic définitif pour préparer votre premier signalement.
Conservez également une trace des déclarations envoyées, de leurs dates et des compléments apportés. Ce suivi facilite la coordination entre vos équipes techniques, votre direction et vos conseils.
Assurez la continuité de votre organisation
Votre capacité à notifier ne doit pas dépendre de la disponibilité d’une seule personne. Identifiez un responsable des déclarations et un remplaçant, puis vérifiez qu’ils disposent des accès et des informations nécessaires.
Prévoyez également qui qualifie l’événement, qui valide les informations et qui surveille les échéances. Une procédure trop longue à faire approuver peut devenir difficile à appliquer dans les premières heures.
Enfin, testez votre organisation avec un scénario simple : une vulnérabilité signalée un vendredi soir alors que votre responsable technique est absent. Vous pourrez ainsi repérer les accès manquants, les contacts indisponibles ou les validations qui risquent de retarder votre déclaration.
Un même incident peut affecter la sécurité d’un produit, compromettre des données personnelles et perturber les services de votre entreprise. Vous devez alors examiner plusieurs cadres réglementaires, dont les conditions d’application et les obligations de notification diffèrent.
Une déclaration effectuée au titre du CRA ne vous dispense pas automatiquement des démarches requises par les autres textes. Pour organiser votre réponse, identifiez séparément ce qui déclenche chaque obligation.
Le CRA concerne la sécurité de vos produits numériques
Si vous êtes fabricant d’un produit concerné, le CRA impose de notifier les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur sa sécurité.
Cette obligation peut exister même en l’absence de fuite de données personnelles. Une vulnérabilité activement exploitée dans un équipement connecté peut ainsi nécessiter un signalement au titre du CRA sans entraîner de notification à la CNIL.
Le RGPD concerne les violations de données personnelles
Pour le RGPD, vous devez déterminer si l’événement a compromis la confidentialité, l’intégrité ou la disponibilité de données personnelles. Une violation peut donc correspondre à une divulgation non autorisée, mais aussi à une modification, une destruction ou une perte d’accès aux données.
Si cette violation est susceptible de présenter un risque pour les droits et libertés des personnes, vous devez, en tant que responsable du traitement, la notifier à l’autorité de contrôle compétente — généralement la CNIL pour une entreprise relevant de sa compétence — dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance.
En cas de risque élevé, vous devez également, en principe, informer les personnes concernées, sous réserve des exceptions prévues par le RGPD.
Toutes les vulnérabilités d’un produit ne constituent donc pas des violations de données personnelles. Inversement, une violation de données peut survenir sans qu’un produit commercialisé par votre entreprise soit en cause.
NIS 2 concerne certaines entités et la sécurité de leurs services
Le cadre NIS 2 prévoit des obligations de déclaration pour les incidents importants affectant les entités qui entrent dans son périmètre. L’analyse porte notamment sur les conséquences de l’incident pour la fourniture de leurs services et activités.
Vous devez donc vérifier séparément votre assujettissement à ce cadre et les dispositions nationales qui vous sont applicables. Commercialiser un produit soumis au CRA ne signifie pas automatiquement que votre entreprise relève de NIS 2.
Si vous êtes concerné par les deux dispositifs, un même événement peut nécessiter une analyse au titre de chacun : d’une part pour la sécurité du produit, d’autre part pour l’impact sur vos services.
Préparez une procédure commune, avec des obligations distinctes
Pour éviter les oublis, centralisez les informations techniques dans un même dossier, puis examinez chaque obligation de déclaration séparément.
Votre fiche de suivi doit préciser, pour chaque destinataire, le fait déclencheur, le point de départ du délai, l’échéance, la personne responsable et le canal de transmission. Ajoutez les obligations d’information prévues dans vos contrats clients ainsi que les modalités de déclaration à votre assureur.
Par exemple, si une attaque exploite une vulnérabilité de votre logiciel et permet d’accéder à des données personnelles, vous devez analyser à la fois les obligations du fabricant au titre du CRA et celles liées à la violation de données au titre du RGPD. L’éventuelle application de NIS 2 nécessite une vérification supplémentaire.
Ne partez pas du principe que tous les délais commencent au même moment. Documentez les faits connus et leur chronologie afin de déterminer correctement les échéances propres à chaque démarche.
7. Quelle assurance peut vous accompagner ?
L’assurance cyber pour gérer les conséquences de l’incident
Selon votre contrat, une assurance cyber peut vous donner accès à une assistance spécialisée, à des experts informatiques et à une cellule de gestion de crise.
Elle peut également couvrir certains frais d’investigation, de restauration des systèmes et des données, de défense, ainsi que certaines pertes d’exploitation résultant d’un événement garanti.
Ne présumez toutefois pas que les frais liés à une notification CRA sont automatiquement couverts. Faites préciser le périmètre de l’accompagnement réglementaire, les conditions d’intervention et les éventuels sous-plafonds.
Si un client vous réclame une indemnisation après un défaut de sécurité, l’analyse doit aussi porter sur vos garanties de responsabilité.
Pour vérifier votre protection avec votre courtier, partez de scénarios concrets :
| Situation envisagée | Garantie à examiner |
|---|
| Votre entreprise subit une attaque et doit restaurer ses systèmes | Assurance cyber |
| Un client vous reproche une erreur dans une prestation informatique | RC Pro informatique |
| Un équipement commercialisé provoque un dommage chez un client | RC produits ou RC après livraison |
| Un incident entraîne des dommages matériels dans vos locaux | Multirisque professionnelle, selon l’origine du sinistre et les garanties souscrites |
Ce tableau constitue une grille de lecture pour examiner vos contrats. Il ne préjuge pas d’une indemnisation : celle-ci dépend notamment de la nature du dommage, de votre responsabilité, de l’événement garanti, des plafonds, des franchises et des exclusions prévues au contrat.
