Cyber Resilience Act : qui est concerné, et comment le vérifier
Savoir qui est concerné par le Cyber Resilience Act prend quatre questions : votre produit est-il numérique, peut-il se connecter, est-il fourni dans un cadre commercial, et relève-t-il d'une exclusion ? Le doute est fréquent : dans l'enquête de l'ENISA de juin 2026, 61 % des PME s'attendent à des difficultés pour comprendre leurs obligations.
Les produits visés
Le règlement vise les produits comportant des éléments numériques (article 2, paragraphe 1). Ce sont des logiciels ou des matériels qui peuvent se connecter, directement ou non, à un appareil ou à un réseau. Exemples : un logiciel installé chez le client, une application mobile, un micrologiciel, un objet connecté, une bibliothèque fournie à d'autres développeurs.
Le service en ligne du fabricant entre aussi dans le champ quand le produit ne peut pas assurer l'une de ses fonctions sans lui (article 3, point 2). Une application qui ne marche pas sans son serveur de synchronisation emporte ce serveur avec elle.
La taille de l'entreprise ne compte pas. Le règlement ne fixe aucun seuil.
Le cadre commercial, même gratuit
Le produit doit être fourni dans le cadre d'une activité commerciale, payante ou gratuite (article 3, point 22). Un produit gratuit y entre par exemple quand il sert à vendre un autre service, ou quand son assistance est facturée au-delà de son coût.
Un logiciel libre que son auteur ne monétise pas n'est pas visé. Recevoir des dons sans but lucratif ne suffit pas à le faire entrer dans le champ. Une fondation qui soutient un logiciel libre utilisé commercialement a un rôle propre, l'intendant, avec des obligations allégées.
Ce qui est exclu
- les produits couverts par un règlement sectoriel : dispositifs médicaux et de diagnostic in vitro, véhicules soumis à homologation, aviation civile, équipements marins (article 2, paragraphes 2 à 4) ;
- les pièces de rechange identiques et les produits conçus pour la sécurité nationale ou la défense ;
- le site web qui ne sert au fonctionnement d'aucun produit ;
- le logiciel vendu uniquement en service en ligne (SaaS), sans produit installé qui en dépende. Il peut relever de la directive NIS 2, qui se vérifie à part.
Votre rôle
Le fabricant porte toutes les obligations. Le mandataire, l'importateur et le distributeur ont surtout des vérifications à faire. Deux cas font de vous un fabricant : vendre un produit sous votre nom ou votre marque, ou le modifier de façon substantielle (articles 21 et 22).
La catégorie du produit
La plupart des produits sont de catégorie par défaut : le contrôle interne suffit pour évaluer leur conformité. Les annexes III et IV listent les produits importants et critiques (article 7) :
| Catégorie | Exemples |
|---|---|
| importante, classe I (annexe III) | gestionnaire de mots de passe, navigateur, VPN, système d'exploitation, routeur, serrure ou caméra connectée |
| importante, classe II (annexe III) | hyperviseur, pare-feu, système de détection d'intrusion |
| critique (annexe IV) | boîtier de sécurité matériel, passerelle de compteur intelligent, carte à puce |
C'est la fonction principale qui compte. Un logiciel de gestion qui contient un écran de connexion reste un logiciel de gestion. Le règlement d'exécution (UE) 2025/2392 décrit chaque catégorie avec des exemples.
Vérifier qui est concerné, produit par produit
- Est-ce un logiciel, un matériel, ou un service en ligne nécessaire à l'un d'eux ?
- Peut-il se connecter, même indirectement, à un appareil ou à un réseau ?
- Est-il fourni dans une activité commerciale, même gratuitement ?
- Relève-t-il d'une exclusion ?
- Quel est votre rôle, et quelle est sa catégorie ?
Écrivez la réponse, la raison, la date et le nom de la personne qui a tranché. En janvier 2026, 54 % des répondants de la Linux Foundation ne distinguaient pas fabricant et intendant : un raisonnement écrit évite de refaire le débat.
Questions fréquentes
Une petite entreprise est-elle concernée par le Cyber Resilience Act ?
Oui, si elle vend un produit numérique connectable. Le règlement ne fixe aucun seuil de taille. La taille joue sur les sanctions et sur certains allégements.
Mon application mobile gratuite est-elle visée ?
Elle l'est si elle est fournie dans une activité commerciale, par exemple pour vendre un abonnement ou un autre service. La gratuité seule ne la sort pas du champ.
Comment savoir si mon produit est important ou critique ?
Comparez sa fonction principale aux annexes III et IV, puis aux descriptions du règlement d'exécution 2025/2392. Notez la conclusion et le passage qui la justifie.
Sources
- Règlement (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex, articles 2, 3, 7, 21, 22 et 32, annexes III et IV, considérants 12, 15 et 18 (officielle), consulté le 30/10/2026.
- Commission européenne, orientations sur l'application du règlement 2024/2847, C(2026) 5252 du 27/07/2026, non contraignantes, paragraphes 21, 182 et 184 à 194 (officielle), consulté le 30/10/2026.
- Règlement d'exécution (UE) 2025/2392 du 28 novembre 2025, description technique des produits importants et critiques, considérants 4 et 5 (officielle), consulté le 30/10/2026.
- Directive (UE) 2022/2555 (NIS 2), article 2, EUR-Lex (officielle), consulté le 30/10/2026.
- ENISA, SME CRA Survey Report, juin 2026 (194 réponses, 31 pays, échantillon volontaire), difficultés attendues (officielle), consulté le 30/10/2026.
- Linux Foundation Research, 2026 CRA Awareness and Readiness, juin 2026 (843 répondants) (organisme), consulté le 30/10/2026.