Le Cyber Resilience Act (CRA) est un règlement européen qui impose de nouvelles obligations aux fabricants de produits comportant des éléments numériques. Son objectif : renforcer la cybersécurité des produits mis sur le marché européen, en encadrant leur conception, leur développement et leur maintenance. Pour les organismes de formation et les entreprises certifiées ISO 27001, ce texte introduit des exigences complémentaires à anticiper dès maintenant.
Cyber Resilience Act (CRA) : un cadre européen pour la cybersécurité des produits numériques
Adopté par l’Union européenne, le CRA vise à réduire les vulnérabilités des produits numériques tout au long de leur cycle de vie. Il s’applique aux fabricants, importateurs et distributeurs de produits connectés, qu’ils soient matériels ou logiciels. Le règlement impose des règles strictes en matière de gestion des risques, de transparence et de notification des incidents.
Les produits concernés doivent intégrer des fonctionnalités de sécurité dès leur conception (« security by design ») et maintenir cette protection pendant toute leur durée d’utilisation. Le CRA complète d’autres textes européens comme le Network and Information Security Directive 2 (NIS2) et le Cybersecurity Act, en ciblant spécifiquement les produits grand public et professionnels.
Quels produits sont concernés par le CRA ?
Le CRA s’applique aux produits comportant des éléments numériques, qu’ils soient physiques (objets connectés, équipements industriels) ou purement logiciels (applications, systèmes d’exploitation). Les exceptions sont limitées : seuls les produits déjà couverts par des réglementations sectorielles spécifiques (comme les dispositifs médicaux ou les véhicules autonomes) en sont exclus.
- Produits matériels connectés : routeurs, caméras IP, assistants vocaux, équipements industriels.
- Logiciels : applications mobiles, systèmes d’exploitation, outils de gestion, solutions SaaS.
- Produits intégrant des composants numériques : machines-outils, systèmes de domotique, jouets connectés.
- Les produits déjà commercialisés sont concernés s’ils font l’objet d’une modification importante après le 11 décembre 2027.
Calendrier d'application du CRA : échéances clés jusqu'en décembre 2027
Le CRA entre en vigueur de manière progressive, avec des dates butoirs à respecter selon le type d’obligation. Les fabricants doivent se préparer dès maintenant pour éviter les retards de conformité.
- 11 juin 2026 : les organismes d’évaluation de la conformité doivent notifier leur activité aux autorités nationales.
- 11 septembre 2026 : obligation de notifier les vulnérabilités activement exploitées et les incidents graves via la plateforme de l’ENISA.
- 11 décembre 2027 : application de l’ensemble des obligations du CRA, y compris la documentation technique et les déclarations de conformité.
Les produits déjà sur le marché devront se conformer aux nouvelles règles s’ils subissent une mise à jour majeure après cette date. Les fabricants doivent donc anticiper ces évolutions pour éviter des coûts de mise en conformité tardifs.
Notification des vulnérabilités et incidents : obligations dès septembre 2026
À partir du 11 septembre 2026, les fabricants devront signaler sans délai les vulnérabilités activement exploitées et les incidents graves affectant leurs produits. Cette obligation s’applique même aux produits déjà commercialisés, sans distinction de date de mise sur le marché.
- Les notifications doivent être transmises via la plateforme unique de l’ENISA (Agence de l’Union européenne pour la cybersécurité).
- Les fabricants doivent désigner un point de contact pour les échanges avec les autorités nationales et européennes.
- Les incidents graves incluent les attaques ayant un impact significatif sur la disponibilité, l’intégrité ou la confidentialité des données.
- Les vulnérabilités activement exploitées doivent être signalées dès leur découverte, même si un correctif n’est pas encore disponible.
Le non-respect de ces obligations expose les fabricants à des sanctions financières, proportionnelles au chiffre d’affaires de l’entreprise.
ISO 27001 et CRA : comment la certification facilite la conformité
La certification ISO 27001 couvre les systèmes de management de la sécurité de l’information (SMSI). Bien qu’elle ne soit pas obligatoire pour se conformer au CRA, elle fournit un cadre structuré pour répondre à plusieurs exigences du règlement.
- Gestion des risques : l’ISO 27001 impose une approche systématique pour identifier et traiter les risques, alignée sur les attentes du CRA.
- Amélioration continue : la norme encourage une surveillance régulière des vulnérabilités, conforme aux obligations de notification du CRA.
- Documentation : l’ISO 27001 exige une traçabilité des actions menées, utile pour prouver la conformité au CRA.
- Sensibilisation des équipes : la formation des collaborateurs aux bonnes pratiques de cybersécurité est un pilier commun aux deux référentiels.
Pour les organismes déjà certifiés ISO 27001, l’adaptation au CRA sera plus simple, car une partie des processus nécessaires est déjà en place. Les entreprises non certifiées peuvent envisager cette démarche pour structurer leur conformité.
Prochaines étapes pour les fabricants et les organismes certifiés
Les fabricants de produits numériques doivent dès maintenant évaluer l’impact du CRA sur leurs activités. Une analyse des produits concernés et des processus existants est indispensable pour identifier les écarts à combler.
- Vérifier si vos produits entrent dans le champ d’application du CRA et, le cas échéant, les exclure si une réglementation sectorielle s’applique.
- Désigner un responsable de la conformité CRA et former les équipes aux nouvelles obligations, notamment en matière de notification.
- Mettre à jour les processus de gestion des vulnérabilités pour intégrer les exigences de notification dès septembre 2026.
- Envisager une certification ISO 27001 pour structurer la démarche de conformité et bénéficier d’un cadre reconnu.
Pour les organismes de formation et les entreprises certifiées, le CRA renforce l’importance de la cybersécurité dans les processus qualité. Une veille active sur les évolutions réglementaires et les guides de l’ENISA est recommandée. Pour en savoir plus sur la certification ISO 27001, consultez la page dédiée.
Questions fréquentes
Le CRA s’applique-t-il aux produits déjà commercialisés avant décembre 2027 ?
Oui, les produits déjà sur le marché sont concernés par les obligations de notification des vulnérabilités et des incidents dès septembre 2026. Ils devront également se conformer à l’ensemble des exigences du CRA s’ils font l’objet d’une modification importante après le 11 décembre 2027.
Quelles sont les sanctions en cas de non-respect du CRA ?
Les sanctions prévues par le CRA sont proportionnelles au chiffre d’affaires de l’entreprise. Elles peuvent inclure des amendes administratives, des injonctions de mise en conformité, voire des restrictions de mise sur le marché pour les produits non conformes.
La certification ISO 27001 suffit-elle pour se conformer au CRA ?
Non, la certification ISO 27001 ne couvre pas l’intégralité des exigences du CRA, notamment celles liées à la conception sécurisée des produits (« security by design »). Cependant, elle facilite la mise en place des processus de gestion des risques et de notification des incidents, deux piliers du règlement.
Comment notifier une vulnérabilité ou un incident via la plateforme de l’ENISA ?
Les fabricants doivent s’enregistrer sur la plateforme unique de l’ENISA pour transmettre leurs notifications. Les autorités nationales, comme l’ANSSI en France, peuvent accompagner les entreprises dans cette démarche. Les détails techniques et les modalités pratiques seront précisés par l’ENISA avant septembre 2026.
