CRA : la sécurité "by design" devient une obligation pour les produits numériques

Logiciels, objets connectés, matériel IoT : tout produit numérique vendu en Europe devra bientôt prouver sa cybersécurité, de la conception à la fin de vie.

Discutons de votre conformité CRA

Pourquoi le CRA, et depuis quand s'applique-t-il ?

Le Cyber Resilience Act (règlement UE 2024/2847) est entré en vigueur le 10 décembre 2024. Il impose des exigences de cybersécurité à tout "produit comportant des éléments numériques" mis sur le marché européen — matériel connecté, logiciels, objets IoT — tout au long de leur cycle de vie. Les premières obligations, liées au signalement des vulnérabilités activement exploitées, s'appliquent dès le 11 septembre 2026 ; l'essentiel des exigences de conformité (marquage CE, documentation technique) devient pleinement applicable le 11 décembre 2027.

Si votre entreprise développe, assemble ou revend des logiciels ou des produits connectés — même comme brique secondaire d'une offre plus large — le CRA vous concerne directement en tant que fabricant, importateur ou distributeur au sens du règlement.

Ce que le CRA change concrètement pour vous

Cinq obligations à anticiper dès maintenant, avant que les échéances de 2026 et 2027 ne deviennent pressantes.

Sécurité by design et by default

Intégrer la cybersécurité dès la conception du produit, pas comme une couche ajoutée après coup.

Gestion des vulnérabilités sur tout le cycle de vie

Processus de détection, correction et publication des vulnérabilités, y compris après la mise sur le marché.

Signalement obligatoire

Notifier à l'ENISA et au CSIRT national toute vulnérabilité activement exploitée ou tout incident sévère, sous 24h pour l'alerte initiale.

Documentation technique et nomenclature logicielle

Tenir à jour une documentation technique complète, incluant un inventaire des composants logiciels (SBOM).

Marquage CE et déclaration de conformité

Évaluation de conformité — auto-évaluation ou tierce partie selon la criticité du produit — avant toute mise sur le marché européen.

Ce que vous risquez si vous ne faites rien

La fenêtre entre l'entrée en vigueur et les premières échéances concrètes se resserre chaque mois.

Jusqu'à 15 M€ ou 2,5% du CA mondial

Amende maximale prévue pour les manquements aux exigences essentielles de cybersécurité.

Retrait ou interdiction de mise sur le marché

Un produit non conforme peut être retiré du marché européen par les autorités de surveillance.

Un délai de préparation qui se resserre

Entre l'entrée en vigueur (2024) et les premières obligations concrètes (2026), la fenêtre pour adapter les processus de développement se réduit chaque mois.

Effet domino sur vos clients B2B

Vos clients professionnels devront eux-mêmes vérifier la conformité CRA de leurs fournisseurs logiciels : la non-conformité devient un motif d'exclusion commercial.

Vous développez ou commercialisez des produits connectés ?

Autant intégrer les exigences du CRA dans vos processus dès maintenant plutôt que dans l'urgence en 2026.

Discutons de votre conformité CRA