Cyber Resilience Act : ce qui change pour les pros du digital dès le 11 septembre 2026

Le Cyber Resilience Act (CRA) franchit sa première étape contraignante ce vendredi 11 septembre 2026. L’article 14 du règlement européen sur la cyberrésilience impose aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents graves affectant leur sécurité.

Ce que l’échéance du 11 septembre change, et qui est concerné ?

Le périmètre est large : logiciels, matériels et leurs solutions de traitement de données à distance, dès lors qu’ils sont mis à disposition sur le marché de l’UE dans le cadre d’une activité commerciale. L’obligation incombe au fabricant, soit l’entité qui développe ou fait développer le produit et le commercialise sous son propre nom.

Voici les acteurs concernés par cette échéance :

• Les éditeurs de logiciels : application de bureau ou mobile, firmware, composant vendu séparément,
• Les fabricants de matériel connecté : des objets domestiques aux équipements réseau,
• Les agences et les studios, qui distribuent sous leur propre marque un produit qu’ils ont développé ou fait développer,
• Les importateurs et les distributeurs, qui apposent leur marque sur un produit, ou le modifient avant de le remettre sur le marché.

L’obligation ne se limite pas aux nouveautés. L’article 69 du règlement soumet à l’article 14 les produits déjà mis sur le marché avant le 11 décembre 2027, date d’application complète du texte. Un logiciel commercialisé depuis plusieurs années et toujours maintenu entre donc dans le périmètre dès le premier jour.

Côté utilisateurs, l’obligation vise le fournisseur, pas l’entreprise qui exploite le produit. Un client peut en revanche exiger de son fabricant la mise à disposition des mises à jour de sécurité pendant toute la période d’assistance du produit, comme le rappelle l’ANSSI dans sa foire aux questions consacrée au CRA.

Comment signaler une vulnérabilité exploitée ou un incident grave ?

Concrètement, toutes les notifications passent par une plateforme unique, commune à l’ensemble de l’Union européenne, dont la mise en ligne est prévue pour le 11 septembre 2026. Elle est gérée par l’ENISA, l’agence de l’UE pour la cybersécurité. Le fabricant y dépose une première alerte dans les 24 heures suivant la découverte d’une vulnérabilité ou d’un incident, puis une notification complète dans les 72 heures. Il complète ensuite cette notification avec les informations manquantes, selon les délais fixés par le règlement.

Lors de son inscription sur la plateforme, l’éditeur indique le pays auquel il se rattache, en général celui de son établissement principal. Il précise ensuite, à chaque notification, les pays concernés par la vulnérabilité ou l’incident signalé. Chaque pays de l’Union européenne dispose d’un centre de réponse aux incidents chargé de recevoir ces signalements. En France, c’est le CERT-FR (pour French Computer Emergency Response Team), rattaché à l’ANSSI, qui joue ce rôle. Il accède aux informations transmises par le fabricant et les relaie aux autres pays concernés.

Ce centre peut aussi transmettre ces informations à l’autorité de surveillance du marché de son pays (l’ANFR pour la France). C’est elle qui vérifiera la conformité des produits commercialisés et pourra prononcer les mesures correctives ou restrictives nécessaires.

Une étape intermédiaire dans l’application du CRA

Le calendrier du règlement s’échelonne jusqu’à fin 2027, la date du 11 septembre 2026 n’en est qu’un jalon. La prochaine étape concerne le contrôle de conformité : les produits importants de classe II et les produits critiques devront être évalués par un organisme notifié. En France, c’est l’ANSSI qui assure ce rôle d’autorité « notifiante ».

La procédure de notification sera prochainement publiée par l’ANSSI. Celle-ci se basera sur l’accréditation par le Cofrac de l’organisme candidat à la notification. Il est prévu que l’accréditation soit ouverte au second semestre 2026, et les notifications devraient donc commencer fin 2026, précise la foire aux questions.

L’application complète du règlement interviendra le 11 décembre 2027, avec les exigences essentielles de cybersécurité, la documentation technique, la déclaration UE de conformité et le marquage CE prévus par le CRA.