Le Cyber Resilience Act
Le règlement européen 2024/2847 impose des règles de cybersécurité aux fabricants de produits numériques : ce que ça change pour vous.
En 30 secondes
- Où ça arrive
- Dans les produits comportant des éléments numériques, matériel ou logiciel1.
- Ce que veut le texte
- Réduire le faible niveau de cybersécurité de nombreux produits et le manque de mises à jour de sécurité en temps utile1.
- Le réflexe
- Avant d'acheter ou d'installer un produit connecté, demander au fournisseur comment il traite les failles et les mises à jour. Le marquage CE au titre du CRA viendra ensuite, les obligations principales s'appliquant à partir du 11 décembre 20271.
- Si c'est déjà fait
- Un produit dont le fabricant ne répond pas sur ses mises à jour se signale au service informatique ou achats avant tout usage.
De quoi parle-t-on
Une montre connectée, un babyphone, une application ou un logiciel de bureau : tous ces produits peuvent présenter un risque de sécurité que leurs utilisateurs voient mal. Le Cyber Resilience Act (CRA), le règlement (UE) 2024/2847, vise à ce que les appareils et les logiciels soient conçus, mis à jour et maintenus de manière à protéger ceux qui s'en servent1.
Le texte s'adresse d'abord aux fabricants. Pourtant, ce que les fabricants doivent faire change ce que l'entreprise peut acheter, comment elle peut comparer ses fournisseurs et ce qu'elle peut leur demander.
Questions directes
Qu'est-ce que le Cyber Resilience Act ?
C'est un règlement européen qui fixe des exigences de cybersécurité obligatoires pour les fabricants de produits comportant des éléments numériques. Il couvre la planification, la conception, le développement et la maintenance de ces produits1.
Qui est concerné ?
Le règlement protège les consommateurs et les entreprises qui achètent des logiciels ou du matériel comportant des éléments numériques1. Les obligations pèsent sur les fabricants et doivent être respectées à chaque étape de la chaîne de valeur1. La page de la Commission indique aussi que les fabricants situés tout au long de la chaîne d'approvisionnement portent une responsabilité de sécurité1.
À quoi reconnaît-on un produit conforme ?
Les produits porteront le marquage CE pour indiquer qu'ils respectent les exigences du règlement1. Les autorités nationales de surveillance du marché veilleront à l'application des règles1.
Le règlement est-il déjà en vigueur ?
Il est entré en vigueur le 10 décembre 20241. Les obligations de signalement s'appliquent à partir du 11 septembre 2026 et les obligations principales à partir du 11 décembre 20271.
Un produit à risque doit-il être contrôlé par un tiers ?
Certains produits particulièrement importants pour la cybersécurité pourront devoir passer une évaluation par un organisme notifié, un tiers, avant d'être vendus sur le marché de l'Union1.
1Ce que ça change pour un salarié1 min
Le règlement ne donne pas de tâche au salarié ordinaire. Son effet est indirect : la Commission explique que les consommateurs et les entreprises ont du mal à savoir quels produits sont sûrs et à les configurer correctement, et que le CRA doit faciliter l'identification des produits dotés des bonnes fonctions de cybersécurité1.
Préférer les objets et logiciels validés par l'entreprise plutôt qu'un produit connecté acheté ou installé de sa propre initiative. Accepter les mises à jour proposées, puisque l'absence de mises à jour en temps utile fait partie des problèmes que le texte veut corriger1. Signaler à son service informatique un produit qui ne reçoit plus de correctifs reste un conseil de bon sens, pas une obligation du règlement. Les obligations de signalement du CRA visent les fabricants1.
2Ce que ça change pour la directionDirection2 min
Pour les achats, les produits porteront le marquage CE1 : la direction pourra en faire un critère de contrôle à mesure que le texte s'appliquera. Elle peut aussi demander aux fournisseurs comment ils gèrent les vulnérabilités tout au long de la vie du produit, puisque le règlement l'exige des fabricants1.
Les sources citées ici ne détaillent pas les rôles de fabricant, d'importateur ou de distributeur ; la direction qui se pose la question doit lire le texte juridique et le guide pratique publié par la Commission le 27 juillet 2026, destiné aux fabricants, aux développeurs et aux entreprises de toutes tailles1.
Des référentiels américains décrivent le même mouvement et peuvent servir de grille de discussion avec un fournisseur. Côté acheteur, la CISA publie un guide, « Secure by Demand », conçu pour être utilisé par tout client de logiciels lors des discussions d'achat avec des revendeurs ou des prestataires2. Elle attend des produits qu'ils soient sûrs dès la sortie de boîte, avec l'authentification multifacteur, la journalisation et l'authentification unique disponibles sans surcoût2.
Le cadre SSDF du NIST est un ensemble de pratiques de développement sécurisé. Il offre un langage commun qui permet aux producteurs de logiciels et à leurs acheteurs de mieux se parler dans les achats3. Ses pratiques sont réparties en quatre groupes : préparer l'organisation, protéger le logiciel, produire un logiciel bien sécurisé et répondre aux vulnérabilités3. Le NIST précise que ce cadre n'est pas une liste de contrôle à cocher3.
3Ce que dit le texteTexte officiel1 min
Le CRA impose des exigences de cybersécurité obligatoires aux fabricants, de la planification à la maintenance du produit1. Les fabricants doivent traiter les vulnérabilités pendant tout le cycle de vie de leurs produits1. Une évaluation par un organisme notifié peut être requise pour certains produits1.
Le marquage CE attestera la conformité1. Les autorités nationales de surveillance du marché feront appliquer les règles1. Le CRA s'appuie sur la stratégie de cybersécurité de l'Union de 2020 et sur la stratégie pour l'union de la sécurité, et complète la directive NIS21.
La Commission tient des pages séparées sur les fabricants, les États membres, l'évaluation de conformité, les microentreprises et PME, les logiciels libres, la normalisation et les obligations de signalement1. Elles n'ont pas été lues pour cette fiche.
4Où en est l'application1 min
- 10 décembre 2024 : entrée en vigueur du règlement1.
- 27 juillet 2026 : publication par la Commission d'un guide pratique pour aider les fabricants, les développeurs et les entreprises de toutes tailles à remplir leurs obligations1.
- 11 septembre 2026 : début des obligations de signalement. Les fabricants doivent signaler les vulnérabilités activement exploitées1.
- 11 décembre 2027 : application des principales obligations1.
La page de la Commission a été mise à jour pour la dernière fois le 7 septembre 20261. Un produit mis sur le marché aujourd'hui n'est donc pas encore soumis à l'ensemble des obligations principales, qui ne s'appliquent qu'à partir de décembre 20271.
La CISA et 17 partenaires américains et internationaux ont publié une mise à jour de leurs principes « Secure by Design », dont l'édition initiale date d'avril 20234. Ces principes sont : prendre en charge les résultats de sécurité des clients, adopter une transparence et une responsabilité radicales, et diriger depuis le sommet4. Ce sont des recommandations4.
Fiche
- Identifiant
- CP-370
- Aile
- 6. Gouvernance et GRC
- Compétence Brain
- Protéger les données (safeguard_data)
- Réflexe Brain
- cr-035
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 4 sources vérifiées le 3 novembre 2026
Sources4 sources
- Commission européenne, « Cyber Resilience Act », 7 septembre 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (consulté le 3 novembre 2026)
- CISA, « Secure by Design | CISA ». https://www.cisa.gov/securebydesign (consulté le 3 novembre 2026)
- NIST, « Secure Software Development Framework | CSRC », 6 octobre 2026. https://csrc.nist.gov/projects/ssdf (consulté le 3 novembre 2026)
- CISA, « Secure-by-Design | CISA », 25 octobre 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (consulté le 3 novembre 2026)
Citer cet article
Brain, « Le Cyber Resilience Act », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp370_fr_2026,
author = {Brain},
title = {Le Cyber Resilience Act},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/},
note = {CC BY 4.0}
}