Loi européenne sur la cyber-résilience (CRA) : l'obligation de déclaration commence le 11 septembre

Le règlement sur la cyberrésilience est entré en vigueur le 10 décembre 2024 en tant que règlement (UE) 2024/2847. Mais entrée en vigueur et début d'application des obligations ne sont pas la même chose : le règlement fixe un calendrier échelonné, le fabricant étant d'abord confronté au signalement, puis aux exigences produit.

La première partie applicable est l'obligation de signalement à compter du 11 septembre 2026. Le reste du règlement — les exigences essentielles de cybersécurité, l'évaluation de la conformité, le dossier technique et le marquage CE — s'applique pleinement à partir du 11 décembre 2027.

Les quinze mois entre ces deux dates ne sont pas une période d'attente mais de préparation. L'obligation de signalement présupposant un processus de gestion des vulnérabilités déjà opérationnel, l'infrastructure à mettre en place en 2026 constitue aussi la base de la documentation requise en 2027.

Le champ d'application est défini par la nature du produit plutôt que par sa catégorie : l'expression « produit comportant des éléments numériques » couvre les produits matériels et logiciels capables d'établir une connexion de données à un appareil ou à un réseau, directement ou indirectement. Il ne s'agit pas nécessairement d'un produit de consommation ; les équipements industriels, les composants et les logiciels autonomes peuvent également en relever.

Le règlement classe les produits par niveau de risque, et plus la classe est élevée, plus le rôle d'un tiers dans l'évaluation de la conformité augmente. La première tâche consiste donc à déterminer dans quelle classe se situe le produit — la classe détermine toutes les décisions ultérieures (autodéclaration ou organisme notifié).

Supposer qu'un produit est hors champ est risqué : un appareil sans connexion cloud mais couplé à une application mobile possède aussi un élément numérique. Dans les cas limites, consigner par écrit la décision et sa justification est le document qui s'avère le plus utile lors d'un contrôle ultérieur.

À partir du 11 septembre 2026, les fabricants sont tenus de signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité du produit. Le signalement s'effectue via la plateforme unique de signalement de l'ENISA, conjointement au CSIRT national compétent et à l'ENISA.

Le signalement ne se termine pas par le remplissage d'un simple formulaire : il fonctionne par étapes, sous forme d'alerte précoce, puis d'un signalement plus détaillé et, à la clôture du processus, d'un rapport final. Cela exige de décider à l'avance qui recueillera quelles informations dans les premières heures d'un incident.

La conséquence pratique est la suivante : le signalement n'est pas une clause de conformité mais une opération. Sans dispositif d'astreinte, canal de communication, décideur et modèle d'enregistrement prêts, la notification ne peut être faite dans les délais.

Le règlement prévoit des amendes administratives en cas de manquement aux exigences essentielles de cybersécurité et aux clauses de signalement ; le plafond est fixé à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Une autre conséquence, aussi importante que le risque d'amende, concerne l'accès au marché : un produit dont la conformité ne peut être démontrée ne peut être mis sur le marché de l'UE, et l'autorité de surveillance du marché peut prendre des mesures allant jusqu'au rappel.

Établir un inventaire des produits et déterminer lesquels comportent des éléments numériques et dans quelle classe ils se situent est l'étape unique qui rend planifiable l'ensemble du calendrier. Sans inventaire, toute autre tâche repose sur des suppositions.

La deuxième étape consiste à annoncer la période de support et à formaliser par écrit la politique de mise à jour. Cela fait partie des exigences de 2027, mais, impliquant des décisions commerciales, ce sont les tâches les plus longues.

Le troisième consiste à mettre en place le canal de signalement des vulnérabilités : une adresse pour recevoir les signalements externes et un flux interne pour les évaluer. Le signalement de 2026 ne fonctionne pas sans ce flux.