Je développe ou commercialise un produit numérique : le CRA peut-il me concerner ?
Le Cyber Resilience Act (règlement UE 2024/2847) encadre les produits comportant des éléments numériques mis à disposition sur le marché de l’Union : logiciels, objets connectés, composants, et plus largement les produits dont la sécurité numérique peut affecter les utilisateurs.
Si vous fabriquez, importez ou distribuez ce type de produit en Europe, le CRA peut vous concerner, même si vous n’êtes pas une grande entreprise tech. La question utile n’est pas « suis-je une cible de cyberattaque ? », mais « mon produit comporte-t-il des éléments numériques et est-il placé sur le marché UE ? ».
À l’inverse, un simple utilisateur de logiciels tiers n’est pas automatiquement « fabricant » au sens du règlement. Le rôle (fabricant, importateur, distributeur) change les responsabilités.
Ce qui change depuis septembre 2026
Depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves ayant une incidence sur la sécurité de leurs produits comportant des éléments numériques.
Selon l’ANSSI et la Commission européenne, le parcours type prévoit notamment :
- une alerte précoce sous 24 heures après prise de connaissance ;
- une notification plus complète sous 72 heures ;
- puis un rapport final (délais distincts selon vulnérabilité activement exploitée ou incident grave).
Ces notifications passent par la Single Reporting Platform (SRP), plateforme unique développée et opérée par l’ENISA. On déclare une fois ; l’information est ensuite acheminée aux CSIRT concernés. Pour un établissement principal en France, le CSIRT coordinateur est le CERT-FR (ANSSI).
Calendrier 2026–2027
- 11 septembre 2026 : obligations de signalement des fabricants (article 14) via la SRP ENISA.
- Jusqu’au 11 décembre 2027 : montée en charge progressive ; les exigences essentielles de cybersécurité pour les produits concernés deviennent applicables à cette échéance principale.
- 11 décembre 2027 : certaines obligations liées aux open-source software stewards (dans le cadre prévu par le règlement) rejoignent aussi le calendrier de signalement.
Autrement dit : le signalement est déjà une réalité opérationnelle, alors que la conformité produit « complète » se prépare encore pour fin 2027.
Fabricants, importateurs, distributeurs : qui fait quoi ?
Le fabricant porte le cœur des obligations : conception sécurisée, documentation, maintien de la sécurité pendant le cycle de vie, et signalements via la SRP lorsqu’une vulnérabilité est activement exploitée ou qu’un incident grave impacte la sécurité du produit.
Les importateurs et distributeurs ont des devoirs de vigilance : vérifier que le produit arrive sur le marché avec les éléments de conformité attendus, et ne pas mettre en circulation un produit dont ils savent (ou devraient savoir) qu’il n’est pas conforme. Ce n’est pas le même poids que le fabricant, mais ce n’est pas une zone sans responsabilité.
L’ANSSI rappelle aussi qu’une PSIRT dédiée n’est pas obligatoire : l’organisation reste libre, à condition de fournir un point de contact unique aux utilisateurs et de respecter les délais et canaux de notification.
Bonnes pratiques dès la conception
Sans attendre décembre 2027, les équipes produit ont intérêt à ancrer quelques réflexes :
- intégrer la sécurité dès la conception (secure by design) et les réglages sûrs par défaut ;
- cartographier les composants et dépendances (y compris open source) pour savoir quoi corriger vite ;
- prévoir un canal clair de signalement et de correctifs de sécurité ;
- documenter les rôles (qui décide, qui déclare sur la SRP, qui informe les clients) ;
- tester régulièrement les hypothèses de risque plutôt que d’attendre un incident.
Pour une PME qui développe un logiciel ou un objet connecté, ces bases réduisent à la fois le risque opérationnel et le stress réglementaire quand une échéance arrive.
Pourquoi c’est utile à suivre côté SamaWeb
Nos clients et partenaires qui conçoivent, commercialisent ou intègrent des produits numériques doivent anticiper une logique de conformité continue, pas un « audit une fois pour toutes ». Le CRA s’ajoute à d’autres cadres déjà en mouvement (NIS2, AI Act selon les cas), avec un fil conducteur commun : responsabilité, traçabilité et sécurité dans la durée.
Cet article fournit une information générale à partir de sources publiques. Il ne constitue pas un conseil juridique. Pour une situation précise, une analyse par un professionnel du droit reste nécessaire.
Conclusion
Depuis septembre 2026, le Cyber Resilience Act n’est plus seulement un texte à lire « pour plus tard » : les signalements de vulnérabilités activement exploitées et d’incidents graves passent par la plateforme ENISA, avec le CERT-FR comme coordinateur en France. Le calendrier jusqu’à décembre 2027 laisse encore du temps pour structurer la conformité produit, à condition de commencer tôt.