Le Cyber Resilience Act (CRA), règlement (UE) 2024/2847, constitue la première législation européenne imposant des exigences de cybersécurité contraignantes aux produits comportant des éléments numériques. Logiciels, objets connectés, équipements matériels : tout produit numérique commercialisé dans l’Union européenne tombe sous son périmètre. Ce cadre se distingue des réglementations existantes par ses délais de signalement particulièrement courts et par une obligation qui survit à la fin du support produit.
Délais de signalement du CRA comparés aux autres cadres européens
Plusieurs réglementations européennes imposent déjà des obligations de notification en cas d’incident. Le CRA se singularise par la granularité de ses étapes et la brièveté de ses échéances.
Lire également : Comment l’IA enfreint-elle la loi ?
| Réglementation | Périmètre | Alerte initiale | Notification détaillée | Rapport final |
|---|---|---|---|---|
| CRA (UE 2024/2847) | Produits numériques | 24 heures | 72 heures | 14 jours (correctif) ou 1 mois (incident grave) |
| RGPD (UE 2016/679) | Données personnelles | 72 heures | Incluse dans la notification | Non formalisé |
| Directive NIS 2 | Entités importantes/importantes | 24 heures | 72 heures | 1 mois |
| Règlement dispositifs médicaux (UE 2017/745) | Dispositifs médicaux | Variable selon gravité | Incluse | Rapport de tendance périodique |
Le CRA est le seul texte qui décompose la procédure en trois étapes distinctes avec un premier seuil à 24 heures. Ce mécanisme force les fabricants à disposer d’une capacité de détection et de communication quasi immédiate.
Lire également : Comment améliorer la sécurité de l’information ?
Portée du Cyber Resilience Act sur les produits déjà commercialisés
La plupart des règlements européens s’appliquent aux produits mis sur le marché après leur entrée en vigueur. Le CRA rompt avec cette logique.
Les obligations de signalement concernent aussi les produits numériques déjà mis à disposition sur le marché européen avant l’entrée en application complète du règlement. Un fabricant qui a commercialisé un objet connecté il y a plusieurs années reste tenu de signaler toute vulnérabilité activement exploitée ou tout incident grave.
Obligation maintenue après la fin du support produit
Le devoir de signalement persiste même après l’expiration de la période de support. Un logiciel dont le fabricant a cessé les mises à jour reste soumis à l’obligation de déclaration des vulnérabilités exploitées et des incidents graves. Cette disposition contraste avec les obligations de traitement des vulnérabilités, qui peuvent être limitées dans le temps.
Pour les fabricants, cela implique de maintenir une capacité de surveillance sur des gammes anciennes, y compris celles qui ne génèrent plus de revenus. Le coût opérationnel de cette veille permanente constitue un paramètre à intégrer dès la phase de conception du produit.
Calendrier d’application du CRA : deux échéances à distinguer
Le règlement ne s’applique pas en bloc. Deux dates structurent la mise en conformité :
- Les obligations de signalement des vulnérabilités et incidents entrent en application de manière anticipée, imposant aux fabricants de disposer de processus de notification opérationnels avant le régime général.
- Le régime général du CRA, couvrant l’ensemble des exigences de cybersécurité (conception, documentation technique, évaluation de conformité, marquage CE), s’appliquera à partir du 11 décembre 2027.
- Entre ces deux dates, un fabricant peut être sanctionné pour défaut de signalement alors même que les exigences de conception sécurisée ne sont pas encore opposables.
Ce décalage crée une zone de risque. Un éditeur de logiciel ou un fabricant d’équipements connectés doit prioriser la mise en place de sa chaîne de signalement avant de finaliser la conformité technique complète de ses produits.
Exigences de sécurité du CRA et articulation avec le marquage CE
Le marquage CE, tel que décrit par la Direction générale des Entreprises, atteste la conformité d’un produit aux exigences importantes définies par les législations européennes d’harmonisation technique. Le CRA s’inscrit dans cette logique : les produits numériques devront porter le marquage CE attestant leur conformité cybersécurité.
En revanche, le périmètre diffère sensiblement des directives traditionnelles. Le marquage CE couvre habituellement des caractéristiques physiques (sécurité électrique, compatibilité électromagnétique, résistance mécanique). Avec le CRA, il intègre désormais des propriétés logicielles : gestion des mises à jour de sécurité, protection contre les accès non autorisés, minimisation des surfaces d’attaque.
Documentation technique et déclaration de conformité
Le fabricant doit constituer un dossier technique démontrant que son produit respecte les exigences de cybersécurité du CRA. Ce dossier accompagne la déclaration de conformité UE, comme pour toute législation d’harmonisation.
La différence réside dans la nature évolutive de la conformité. Un produit physique conforme au moment de sa mise sur le marché le reste généralement. Un produit numérique peut devenir non conforme à mesure que de nouvelles vulnérabilités apparaissent. Le fabricant doit donc documenter non seulement l’état initial, mais aussi sa capacité à maintenir le niveau de sécurité dans la durée.
Sanctions et portée territoriale du CRA
Le CRA s’applique à tout produit numérique mis à disposition sur le marché de l’Union européenne, quel que soit le lieu d’établissement du fabricant. Un éditeur de logiciel basé hors de l’UE mais dont le produit est accessible aux utilisateurs européens tombe sous le régime du règlement.
- Les États membres désignent des autorités de surveillance du marché compétentes pour contrôler le respect des obligations.
- Le règlement prévoit des sanctions proportionnées, dont le montant peut être calculé en fonction du chiffre d’affaires de l’opérateur concerné.
Pour les fabricants, la superposition des cadres réglementaires (sécurité générale, cybersécurité, protection des données) rend la cartographie des obligations plus complexe qu’elle ne l’a jamais été.
Le point critique reste le décalage entre l’obligation de signalement, déjà active, et la conformité technique complète exigée fin 2027. Les fabricants qui n’ont pas encore structuré leur processus de notification s’exposent dès maintenant à des contrôles, sans attendre la date d’application du régime général.
