Cyber Resilience Act : c'est quoi, qui est concerné, quelles dates

Le Cyber Resilience Act est le règlement (UE) 2024/2847 du 23 octobre 2024. Il fixe des règles de cybersécurité pour les logiciels et les objets connectés vendus dans l'Union européenne. Une partie s'applique déjà : depuis le 11 septembre 2026, le fabricant doit signaler en 24 heures une faille de son produit exploitée par un attaquant.

Ce que le règlement demande au fabricant

Le texte vise les produits comportant des éléments numériques : logiciels et matériels qui peuvent se connecter à un appareil ou à un réseau, avec les services en ligne dont ils ont besoin pour fonctionner. Il demande trois choses :

• un produit conçu et livré selon les exigences de sécurité de l'annexe I, partie I, en fonction de ses risques ;
• un traitement des vulnérabilités pendant toute la période d'assistance (annexe I, partie II) : nomenclature des composants, correctifs, adresse de contact, avis de sécurité ;
• la preuve : documentation technique, évaluation de la conformité, déclaration UE de conformité, marquage CE.

Le texte s'applique directement dans chaque État membre. Les sanctions et les autorités relèvent du droit national.

Qui est concerné

Le règlement ne fixe aucun seuil de taille. Une entreprise d'une personne qui vend un logiciel installé a les mêmes obligations qu'un grand groupe. Les obligations dépendent du rôle : fabricant, mandataire, importateur ou distributeur. Une entreprise qui vend sous sa marque un produit fabriqué par un autre en devient le fabricant.

Sont hors champ, notamment : un site web qui ne sert au fonctionnement d'aucun produit, un logiciel libre publié sans activité commerciale, et les produits déjà couverts par un règlement sectoriel, comme les dispositifs médicaux ou les véhicules. Le détail est sur la page Cyber Resilience Act : qui est concerné.

Les dates d'application du Cyber Resilience Act

La mise sur le marché s'apprécie exemplaire par exemplaire : un modèle lancé avant le 11 décembre 2027 doit être conforme pour les exemplaires vendus après cette date. Le signalement, lui, vaut aussi pour les produits déjà vendus (article 69, paragraphe 3).

Les sanctions

L'article 64 fixe des plafonds d'amende. Le plafond est le plus élevé des deux montants, rapporté au chiffre d'affaires annuel mondial :

• 15 millions d'euros ou 2,5 % pour les exigences de l'annexe I et les obligations des articles 13 et 14 ;
• 10 millions d'euros ou 2 % pour d'autres obligations, comme la déclaration, le marquage ou la documentation ;
• 5 millions d'euros ou 1 % pour des informations inexactes données aux autorités ou aux organismes notifiés.

Les micro et petites entreprises ne paient pas d'amende pour le seul dépassement du délai de 24 heures de l'alerte précoce (article 64, paragraphe 10). L'alerte reste obligatoire.

Les autorités en France

Le CERT-FR, rattaché à l'ANSSI, reçoit les signalements. Un décret du 9 octobre 2026 désigne l'ANSSI comme autorité notifiante. La surveillance du marché doit revenir à l'Agence nationale des fréquences (ANFR), avec l'appui de l'ANSSI. Cette attribution dépend d'un projet de loi adopté par le Sénat le 18 février 2026 et encore en discussion au 30 octobre 2026.

Par où commencer

En Allemagne, 67 % des entreprises interrogées connaissent le nom du règlement et 29 % savent ce qu'il implique pour elles (enquête Bitkom publiée le 10 septembre 2026). Trois chantiers passent avant les autres :

1. écrire pour chaque produit s'il est concerné, à quel titre et dans quelle catégorie ;
2. préparer la procédure de signalement, déjà obligatoire ;
3. produire un SBOM à chaque version et suivre les failles de vos composants.