Cyber Resilience Act : obligations et conformité d'ici 2027
Depuis le 11 septembre 2026, un fabricant de caméra connectée, un éditeur de logiciel ou un constructeur de routeur qui découvre qu'une faille de son produit est activement exploitée dispose de 24 heures pour donner l'alerte. Ce jour-là, la Commission européenne et l'ENISA ont ouvert la plateforme unique de signalement prévue par le Cyber Resilience Act, et les premières obligations concrètes du Cyber Resilience Act sont entrées en application. Pour des milliers d'entreprises, la cybersécurité n'est plus seulement une bonne pratique : c'est une condition d'accès au marché européen.
Le Cyber Resilience Act, ou règlement (UE) 2024/2847 sur la cyberrésilience, impose des exigences de sécurité à tous les produits comportant des éléments numériques vendus dans l'Union, du jouet connecté au logiciel professionnel. Il s'applique en trois temps : le 11 juin 2026 pour les organismes d'évaluation, le 11 septembre 2026 pour le signalement des vulnérabilités et des incidents, et le 11 décembre 2027 pour l'ensemble des exigences, sous peine d'amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial.
Cet article précise qui est concerné, détaille la procédure de signalement désormais obligatoire, puis expose les étapes pour atteindre la conformité dans les quatorze mois qui restent. Il s'adresse aux fabricants et éditeurs, mais aussi aux importateurs, aux distributeurs et aux acheteurs qui devront vérifier que leurs fournisseurs suivent le mouvement.
Cyber Resilience Act : quels produits et quels acteurs ?
Le Cyber Resilience Act, un règlement sur les produits et non sur les entreprises
Le Cyber Resilience Act change la logique du droit européen de la cybersécurité. La directive NIS 2 impose des obligations aux entités, c'est-à-dire aux organisations jugées essentielles ou importantes pour la société. Le Cyber Resilience Act vise les produits eux-mêmes, quelle que soit la taille de l'entreprise qui les met sur le marché. Signé le 23 octobre 2024, publié au Journal officiel de l'Union le 20 novembre 2024 et entré en vigueur le 10 décembre 2024, le règlement (UE) 2024/2847 s'applique directement dans tous les États membres, sans transposition. Il s'inspire des règles du « nouveau cadre législatif » qui régissent déjà la sécurité des jouets ou des appareils électriques. La cybersécurité rejoint ainsi la liste des exigences essentielles attestées par le marquage CE.
Nouvelle approche et marquage CE : la place du Cyber Resilience Act dans la réglementation des produits
Le Cyber Resilience Act s'inscrit dans une méthode réglementaire vieille de quarante ans, la nouvelle approche. Adoptée par le Conseil en 1985, elle consiste à fixer, secteur par secteur, dans une directive européenne les seules exigences essentielles de sécurité, en confiant aux organismes européens de normalisation le soin de les traduire en spécifications techniques. Le produit qui respecte ces exigences porte le marquage CE et bénéficie de la libre circulation dans tout le marché intérieur. Les directives européennes de cette génération, comme la directive basse tension pour le matériel électrique ou la directive sur les équipements sous pression, mais aussi le règlement sur les produits de construction et le règlement (UE) 2017/745, qui encadre la mise sur le marché de tout dispositif médical, reposent sur ce schéma, modernisé en 2008 par le nouveau cadre législatif. Le règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 transpose cette logique à la cybersécurité : un produit de construction connecté ou un appareil électrique intelligent devra désormais démontrer la conformité du produit aux exigences de sécurité physique comme à celles du Cyber Resilience Act. Les règles applicables se cumulent, et le fabricant établit une déclaration de conformité unique couvrant l'ensemble des textes européens qui visent son produit. Pour les équipements radioélectriques, des exigences de cybersécurité s'appliquent déjà depuis le 1er août 2025 au titre de la directive 2014/53/UE et de son règlement délégué (UE) 2022/30, que le Cyber Resilience Act viendra relayer.
Ce que recouvre un produit comportant des éléments numériques
Le champ du Cyber Resilience Act est très large : tout produit logiciel ou matériel dont l'usage prévu implique une connexion de données, directe ou indirecte, à un appareil ou à un réseau. Sont concernés les objets connectés grand public, les équipements informatiques et télécoms, les systèmes industriels, les composants électroniques et les logiciels autonomes, qu'ils soient vendus ou fournis gratuitement dans le cadre d'une activité commerciale. Les solutions de traitement de données à distance entrent aussi dans le périmètre lorsqu'elles sont nécessaires au fonctionnement du produit, comme le service en ligne qui pilote une caméra. Le logiciel fourni en mode SaaS, sans lien avec un produit, relève en revanche de la directive NIS 2 et non du Cyber Resilience Act.
Certains secteurs restent hors champ parce qu'ils disposent déjà de leur propre réglementation de sécurité. C'est le cas des dispositifs médicaux et de diagnostic in vitro, des véhicules à moteur, de l'aviation civile et des équipements marins, ainsi que des produits développés exclusivement pour la sécurité nationale ou la défense. Le logiciel libre développé hors de toute activité commerciale est exclu du Cyber Resilience Act. Les fondations qui soutiennent durablement des projets open source utilisés commercialement, appelées « gestionnaires de logiciels libres », sont soumises à un régime allégé et ne peuvent pas recevoir d'amende.
Fabricants, importateurs, distributeurs : une chaîne de responsabilités
Le fabricant porte l'essentiel des obligations du Cyber Resilience Act : conception sécurisée, évaluation de la conformité, documentation, gestion des vulnérabilités et signalement. L'importateur doit vérifier, avant de mettre un produit fabriqué hors de l'Union sur le marché, que le fabricant a respecté ces exigences, que la documentation existe et que le marquage CE est apposé. Le distributeur contrôle la présence du marquage et des informations obligatoires. Un importateur ou un distributeur qui commercialise un produit sous son propre nom, ou qui le modifie de manière substantielle, devient juridiquement fabricant et hérite de toutes ses obligations.
Cyber Resilience Act : quatre niveaux de criticité
Le Cyber Resilience Act module la procédure de contrôle selon le risque que présente le produit. La grande majorité des produits relèvent de la catégorie par défaut et peuvent être autoévalués par leur fabricant. Les annexes III et IV du règlement identifient ensuite des produits « importants », répartis en deux classes, et des produits « critiques », pour lesquels l'intervention d'un tiers devient la règle. Le règlement d'exécution (UE) 2025/2392, publié le 1er décembre 2025, décrit techniquement chacune de ces catégories pour lever les doutes de classement. Le tableau ci-dessous résume la logique générale.
| Catégorie | Exemples de produits | Évaluation de la conformité |
|---|---|---|
| Produits par défaut (environ 90 % du marché) | Applications, jeux vidéo, imprimantes, enceintes connectées, logiciels métier courants | Autoévaluation par le fabricant (module A) |
| Produits importants de classe I | Navigateurs, gestionnaires de mots de passe, antivirus, VPN, systèmes d'exploitation, routeurs, caméras et serrures connectées, jouets connectés | Autoévaluation possible si une norme harmonisée est appliquée intégralement, sinon tiers évaluateur |
| Produits importants de classe II | Hyperviseurs, pare-feu, systèmes de détection d'intrusion, microprocesseurs inviolables | Organisme notifié obligatoire (modules B et C ou module H) |
| Produits critiques | Cartes à puce et éléments sécurisés, passerelles de compteurs intelligents, boîtiers de sécurité matériels | Certification européenne de cybersécurité lorsqu'elle est exigée, sinon organisme notifié |
L'ANFR et l'ANSSI, les autorités françaises du Cyber Resilience Act
En France, la surveillance du marché et les sanctions reviennent à l'Agence nationale des fréquences (ANFR). L'ANSSI présente son propre rôle sur trois plans : elle est l'autorité de notification des organismes d'évaluation de la conformité, accrédités par le Cofrac ; elle apporte un appui technique à l'ANFR pour ses contrôles ; et, par l'intermédiaire du CERT-FR, elle joue le rôle de CSIRT coordinateur qui centralise les signalements. Les entreprises, et en particulier les PME, peuvent aussi s'adresser à la Direction générale des entreprises, chargée de les informer et de les orienter vers les dispositifs d'accompagnement.
Cyber Resilience Act : signaler une faille depuis septembre 2026
Vulnérabilité activement exploitée et incident grave : ce qu'il faut notifier
L'article 14 du Cyber Resilience Act crée deux obligations de signalement distinctes. La première vise toute vulnérabilité activement exploitée, c'est-à-dire une faille dont il existe des preuves fiables qu'un acteur malveillant l'a utilisée contre un système sans autorisation. La seconde concerne les incidents graves ayant une incidence sur la sécurité du produit, par exemple une compromission de la chaîne de mise à jour qui permet de diffuser un code malveillant à tous les utilisateurs. Une simple vulnérabilité découverte en interne, sans exploitation constatée, ne doit pas être notifiée au titre de l'article 14 ; elle doit en revanche être corrigée sans délai.
Ces obligations s'appliquent depuis le 11 septembre 2026 à tous les produits, y compris ceux mis sur le marché avant cette date. La Commission a toutefois précisé, dans ses lignes directrices finales du 31 juillet 2026, qu'un fabricant n'a pas à notifier rétroactivement une exploitation dont il avait connaissance avant cette date. Le délai court à partir du moment où le fabricant a une certitude raisonnable qu'une faille est exploitée ou qu'un incident grave a compromis la sécurité de son produit.
Cyber Resilience Act : les délais de 24 heures, 72 heures et 14 jours
Le calendrier de notification est volontairement serré. Le fabricant adresse une alerte précoce au plus tard 24 heures après avoir pris connaissance de l'exploitation ou de l'incident, en indiquant notamment les États membres dans lesquels son produit est disponible. Il complète cette alerte par une notification détaillée au plus tard 72 heures après, qui décrit la nature de la faille, les mesures correctives prises et celles que les utilisateurs peuvent appliquer. Le rapport final intervient au plus tard 14 jours après la mise à disposition d'un correctif pour une vulnérabilité, et dans le mois suivant la notification pour un incident grave. Ce rythme rappelle celui de la directive NIS 2, mais le Cyber Resilience Act l'applique produit par produit.
La plateforme unique de l'ENISA et le CERT-FR
Les signalements passent par la plateforme unique de signalement de l'ENISA, ouverte le 11 septembre 2026. Le fabricant s'y connecte avec un compte EU Login protégé par une authentification multifacteur, et sa notification est adressée simultanément à l'ENISA et au CSIRT coordinateur de l'État membre de son établissement principal, soit le CERT-FR pour une entreprise française. Ce CSIRT transmet ensuite l'information aux autres autorités concernées, et peut, dans des circonstances exceptionnelles et pour des motifs de cybersécurité justifiés, retarder cette diffusion selon les conditions fixées par le règlement délégué (UE) 2026/881. La page de la Commission consacrée au signalement rassemble les lignes directrices et le mode d'emploi de la plateforme. Le signalement volontaire des vulnérabilités non exploitées, prévu par l'article 15, n'est pas encore disponible et sera ouvert plus tard.
Informer les utilisateurs, une obligation souvent oubliée
Le Cyber Resilience Act ne se contente pas d'un dialogue entre le fabricant et les autorités. Après avoir pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave, le fabricant doit en informer les utilisateurs concernés, et si nécessaire tous les utilisateurs, dans un format structuré et facilement exploitable, en précisant les mesures d'atténuation à mettre en place. Si le fabricant ne le fait pas en temps utile, le CSIRT peut se charger lui-même de cette information. Pour un éditeur soumis au Cyber Resilience Act, cela suppose de savoir joindre rapidement ses clients, ce que beaucoup ne prévoient pas dans leurs conditions générales.
Cyber Resilience Act, RGPD et NIS 2 : plusieurs notifications pour un même incident
Un même événement peut déclencher plusieurs obligations parallèles. Une faille exploitée dans un logiciel qui expose des données clients impose, au titre du Cyber Resilience Act, une alerte sous 24 heures à l'ENISA et au CERT-FR, et, au titre de l'article 33 du RGPD, une notification à la CNIL dans les 72 heures si la violation présente un risque pour les personnes. Si le fabricant est aussi une entité soumise à NIS 2, une troisième notification s'ajoute. Les entreprises ont donc intérêt à bâtir une procédure unique de gestion des incidents, avec une grille qui indique pour chaque scénario quelle autorité prévenir, dans quel délai et par quel canal, sur le modèle de ce que nous décrivons pour la cybersécurité des organisations. Les microentreprises et petites entreprises bénéficient d'une tolérance : elles ne peuvent pas être sanctionnées pour le seul non-respect du délai de 24 heures de l'alerte précoce.
Cyber Resilience Act : préparer la conformité avant 2027
Les exigences essentielles de l'annexe I
Au 11 décembre 2027, aucun produit comportant des éléments numériques ne pourra être mis sur le marché européen sans respecter les exigences essentielles de l'annexe I. Le produit doit être conçu, développé et fabriqué de manière à garantir un niveau de cybersécurité adapté aux risques. Il ne doit présenter aucune vulnérabilité exploitable connue au moment de sa mise sur le marché, doit être livré avec une configuration sécurisée par défaut et permettre une réinitialisation à l'état d'origine. Il doit aussi protéger la confidentialité et l'intégrité des données, limiter les surfaces d'attaque, ne traiter que les données nécessaires et permettre de corriger les failles par des mises à jour de sécurité, si possible automatiques et toujours désactivables par l'utilisateur.
Gestion des vulnérabilités et durée de support
La seconde partie de l'annexe I organise la vie du produit après sa vente. Le fabricant doit identifier et documenter les composants de son produit, notamment au moyen d'une nomenclature logicielle, ou SBOM, qui recense les bibliothèques tierces utilisées. Il doit corriger les vulnérabilités sans délai, tester régulièrement la sécurité de son produit, publier une politique de divulgation coordonnée des vulnérabilités et fournir une adresse de contact pour les signalements. La période de support, pendant laquelle ces mises à jour sont garanties, doit correspondre à la durée d'utilisation attendue du produit et être d'au moins cinq ans, sauf si le produit est conçu pour être utilisé moins longtemps. Cette durée doit être affichée clairement au moment de l'achat, ce qui en fait un nouvel argument commercial autant qu'une contrainte.
Évaluer la conformité au Cyber Resilience Act
La procédure d'évaluation dépend de la catégorie du produit. Pour un produit par défaut, le fabricant procède lui-même à un contrôle interne, rédige la documentation technique, établit la déclaration UE de conformité et appose le marquage CE. Les produits importants de classe I peuvent suivre la même voie à condition d'appliquer intégralement une norme harmonisée ou un schéma de certification reconnu. Les produits de classe II et les produits critiques exigent l'intervention d'un organisme notifié, dont l'ANSSI organise la désignation depuis juin 2026. La documentation technique doit être conservée pendant dix ans après la mise sur le marché ou pendant toute la période de support si elle est plus longue.
Les normes harmonisées européennes, qui donneront une présomption de conformité, sont encore en cours d'élaboration. L'annexe I du Cyber Resilience Act fait foi, et les fabricants doivent avancer sans attendre leur publication. C'est le message que l'ANSSI a porté dans sa foire aux questions publiée à l'été 2026 : la mise en conformité ne dépend pas de la disponibilité des normes. Les produits de sécurité visés par les classes importantes, comme ceux que nous avons comparés dans notre sélection du meilleur antivirus gratuit, seront les premiers à devoir démontrer cette rigueur.
Procédures d'évaluation : examen de type, système qualité et certificat de conformité
Le Cyber Resilience Act reprend les modules classiques d'évaluation définis par le nouveau cadre législatif. Avec le module A, le fabricant vérifie seul la conformité aux exigences de l'annexe I. Avec les modules B et C, un organisme notifié procède d'abord à un examen de type, appelé examen UE de type, qui porte sur un exemplaire représentatif et sur sa conception, puis délivre un certificat de conformité, le certificat d'examen UE de type ; le fabricant garantit ensuite que chaque produit fabriqué reste conforme au type approuvé. Avec le module H, l'organisme notifié n'examine plus le produit mais le système qualité du fabricant, sur la base d'une assurance qualité complète couvrant la conception, le développement et la gestion des vulnérabilités, et il en contrôle le maintien par des audits périodiques. Les organismes notifiés sont ceux dont la compétence a été vérifiée par une autorité nationale et que la Commission a inscrits dans sa base de données ; en France, l'ANSSI les désigne après accréditation par le Cofrac.
Quelle que soit la procédure, le fabricant constitue un dossier technique qui décrit le produit, l'analyse des risques de cybersécurité, les solutions retenues pour satisfaire les exigences définies à l'annexe I et les résultats des essais. Il établit ensuite la déclaration UE de conformité, par laquelle il affirme sous sa seule responsabilité que le produit est conforme aux exigences applicables. Il peut alors apposer le marquage CE de façon visible, lisible et indélébile, suivi du numéro d'identification de l'organisme notifié lorsque celui-ci est intervenu ; l'apposition du marquage sans évaluation préalable constitue un manquement sanctionné. Les certifications ISO, comme la norme ISO/IEC 27001 sur la sécurité de l'information, facilitent la démarche mais ne valent pas, à elles seules, présomption de conformité. Seules les normes européennes harmonisées, rédigées par le CEN, le CENELEC et l'ETSI dans le cadre de la normalisation européenne puis publiées au Journal officiel, confèrent cette présomption aux produits conformes aux exigences qu'elles couvrent. Pour les directions juridiques, ce travail réglementaire fait de la conformité des produits un sujet aussi documentaire que technique : sans dossier, pas de déclaration, et sans déclaration, pas de marquage.
Les sanctions prévues par le Cyber Resilience Act
L'article 64 du Cyber Resilience Act fixe trois plafonds d'amendes administratives. Le non-respect des exigences essentielles ou des obligations de signalement et de gestion des vulnérabilités expose à une amende pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les autres manquements sont punis de 10 millions d'euros ou 2 %, et la fourniture d'informations inexactes ou trompeuses aux autorités de 5 millions d'euros ou 1 %. Au-delà des amendes, l'ANFR peut exiger la mise en conformité, restreindre ou interdire la commercialisation d'un produit, et ordonner son retrait ou son rappel.
Le risque est aussi civil. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, à transposer avant le 9 décembre 2026, range les logiciels parmi les produits et prend en compte les exigences de cybersécurité pour apprécier le défaut. Un produit qui ne respecte pas le Cyber Resilience Act, ou qui cesse de recevoir les mises à jour promises, offrira donc à une victime un argument solide pour engager la responsabilité de son fabricant.
Une feuille de route de conformité en quatorze mois
La première étape consiste à cartographier ses produits, à vérifier qu'ils entrent dans le champ du Cyber Resilience Act et à déterminer leur catégorie. Il faut ensuite mesurer l'écart avec l'annexe I, constituer la nomenclature logicielle, fixer la période de support de chaque produit et désigner une équipe capable de déclencher une alerte en moins de 24 heures, week-ends compris. Les directions juridiques et achats doivent enfin revoir les contrats fournisseurs, pour obtenir des éditeurs de composants les informations de sécurité, les engagements de correction et les mises à jour indispensables.
Pour les cabinets d'avocats, les consultants et les éditeurs qui accompagnent cette transition, le Cyber Resilience Act est aussi un sujet d'expertise à faire connaître. Les entreprises recherchent déjà des réponses précises sur le classement de leurs produits et sur la notification des failles, et des contenus clairs, appuyés par un audit SEO et des contenus juridiques rédigés pour le référencement, permettent d'être trouvé au moment où la question se pose. Avec le Cyber Resilience Act, la sécurité d'un produit devient une promesse juridique, et chaque mise à jour oubliée un risque mesurable.
Cyber Resilience Act : questions fréquentes
Qu'est-ce que le Cyber Resilience Act ?
Le Cyber Resilience Act est le règlement (UE) 2024/2847 sur la cyberrésilience, entré en vigueur le 10 décembre 2024. Il impose des exigences de cybersécurité à tous les produits comportant des éléments numériques vendus dans l'Union, matériels comme logiciels, de leur conception à la fin de leur période de support. Il s'applique pleinement à partir du 11 décembre 2027.
Quand le Cyber Resilience Act s'applique-t-il ?
En trois temps. Les règles sur les organismes d'évaluation de la conformité s'appliquent depuis le 11 juin 2026. Le signalement des vulnérabilités activement exploitées et des incidents graves est obligatoire depuis le 11 septembre 2026, y compris pour les produits déjà sur le marché. Toutes les autres exigences, dont le marquage CE, s'appliquent le 11 décembre 2027.
Quels produits sont concernés par le Cyber Resilience Act ?
Tout produit matériel ou logiciel dont l'usage implique une connexion de données à un appareil ou à un réseau : objets connectés, logiciels, routeurs, systèmes d'exploitation, composants électroniques. Sont exclus les dispositifs médicaux, les véhicules, l'aviation civile, les équipements marins, la défense et le logiciel libre non commercial. Le SaaS autonome relève de NIS 2.
Comment signaler une faille au titre du Cyber Resilience Act ?
Par la plateforme unique de signalement de l'ENISA, ouverte le 11 septembre 2026. Le fabricant envoie une alerte précoce sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final 14 jours après le correctif pour une vulnérabilité ou un mois après pour un incident grave. En France, le signalement parvient aussi au CERT-FR.
Quelles sanctions prévoit le Cyber Resilience Act ?
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour le non-respect des exigences essentielles ou du signalement, 10 millions ou 2 % pour les autres obligations, 5 millions ou 1 % pour des informations inexactes. En France, l'ANFR peut aussi interdire la vente d'un produit ou ordonner son retrait du marché.
Le présent article revêt une portée strictement informationnelle et journalistique. CTRLZed n'est pas un cabinet d'avocats et ne dispense aucun conseil juridique personnalisé. Les échéances et lignes directrices citées sont celles publiées au 23 octobre 2026 ; les normes harmonisées et actes d'application restent en cours d'adoption. Rédaction CTRLZed.
Faire entendre votre expertise au bon endroit
Création de contenu éditorial qui porte votre voix.
