Le Cyber Resilience Act — « fabricant » est un rôle, pas un secteur.
Le règlement européen qui fait entrer la cybersécurité dans le marquage CE. La notification est en vigueur depuis le 11 septembre 2026 ; le régime produit complet s'applique au 11 décembre 2027. Nous établissons si vous êtes concerné, puis nous construisons la preuve qui le démontre.
Vue d'ensemble
Le marquage CE, étendu à la cybersécurité.
Le Cyber Resilience Act — règlement (UE) 2024/2847 — est le premier texte européen à faire de la cybersécurité une condition de mise sur le marché. Il s'applique en trois temps : le chapitre IV (notification des organismes d'évaluation de la conformité) depuis le 11 juin 2026, les obligations de notification de l'article 14 depuis le 11 septembre 2026, et tout le reste — exigences essentielles, évaluation de la conformité, marquage CE — au 11 décembre 2027.
Son objet est le produit comportant des éléments numériques : tout produit logiciel ou matériel, et ses solutions de traitement de données à distance, connecté à un appareil ou à un réseau. Ce filet est tendu autour d'un rôle, pas d'un secteur. Selon l'article 3(13), vous êtes fabricant si vous développez un produit — ou le faites développer pour vous — et le commercialisez sous votre nom ou votre marque. L'article 21 y ajoute l'importateur ou le distributeur qui remarque un produit ; l'article 22, quiconque modifie substantiellement un produit déjà sur le marché.
Un point de vigilance propre à la France, et qui distingue ce texte de NIS2 : le CRA est un règlement, directement applicable. Il n'attend aucune transposition. Là où le retard français sur NIS2 — la Commission a saisi la Cour de justice le 8 juillet 2026 — laisse encore une marge de discussion, le CRA ne laisse rien : ses échéances sont européennes et déjà courues. Seules les mesures nationales d'adaptation, dont le régime de sanctions, restent en préparation.
S'y ajoute l'article 69(3) : l'obligation de notifier atteint les produits déjà sur le marché. Apprenez aujourd'hui qu'une vulnérabilité d'un produit livré en 2023 est exploitée, et le délai de 24 heures court. La charge d'ingénierie reste chez vos équipes produit ; notre travail est la couche de gouvernance qui l'entoure — et si vous détenez déjà ISO 27001, une part substantielle de ce socle est réutilisable.
Qui est concerné
Quatre voies d'entrée dans la définition. Seule la première est celle à laquelle les entreprises pensent — les trois autres attrapent les PME et ETI françaises.
Fabricants (art. 3(13))
Vous développez un produit comportant des éléments numériques — ou le faites développer pour vous — et le commercialisez sous votre nom ou votre marque, à titre onéreux, contre monétisation ou gratuitement. La charnière est la marque, pas l'usine.
Importateurs et distributeurs sous marque propre (art. 21)
L'importateur ou le distributeur qui met un produit sur le marché sous son propre nom ou sa propre marque est réputé fabricant et porte intégralement les articles 13 et 14 — l'équipement en marque blanche, rebadgé et vendu comme votre gamme.
Toute modification substantielle (art. 21 · 22)
Modifiez substantiellement un produit déjà sur le marché et mettez-le à disposition : vous devenez fabricant — pour la partie modifiée, ou pour le produit entier si la modification affecte sa cybersécurité globale. Cela concerne les intégrateurs et la personnalisation OEM plus souvent que les éditeurs.
Logiciel, SaaS et traitement de données à distance
Un logiciel vendu comme produit est dans le champ ; un logiciel délivré en pur service ne l'est généralement pas. Mais l'article 3(2) rattrape la solution de traitement de données à distance conçue par le fabricant ou pour son compte, dont l'absence priverait le produit d'une fonction — la partie cloud d'un produit connecté voyage avec lui.
Obligations clés
Ce que le règlement exige, article par article.
Lesquelles vous lient, et avec quelle intensité, se tranche en phase 1 selon votre rôle et la classification de vos produits. Voici celles qui pèsent réellement sur une PME ou une ETI fabricante.
- 01Art. 13(2) · annexe I, partie I
Analyse des risques et propriétés du produit
Une analyse documentée par produit, tenue à jour pendant toute la période de support, et treize propriétés essentielles appliquées sur sa base — dont aucune vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité, contrôle d'accès, protection de la confidentialité et de l'intégrité, et effacement sécurisé.
- 02Annexe I, partie II · art. 13(5)
Traitement des vulnérabilités et composants tiers
Une nomenclature logicielle (SBOM) couvrant au minimum les dépendances de premier niveau, la remédiation sans retard indu, des tests réguliers, la publication des vulnérabilités corrigées, une politique de divulgation coordonnée, une adresse de contact et des mises à jour sécurisées gratuites — plus la diligence sur les composants intégrés, open source compris.
- 03Art. 13(8), (9), (19) · annexe II
Période de support — cinq ans au minimum
Fixez une période reflétant la durée d'utilisation réelle attendue ; le plancher est de cinq ans. Les mises à jour publiées pendant cette période restent disponibles 10 ans de plus. Sa date de fin, mois et année, doit être indiquée au moment de l'achat, avec le point de contact pour le signalement des vulnérabilités.
- 04Art. 14
Notification — 24 heures, 72 heures, 14 jours
Pour une vulnérabilité activement exploitée ou un incident grave : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 14 jours après mise à disposition d'un correctif — un mois pour les incidents. Un dépôt unique, via la plateforme de signalement unique de l'ENISA.
- 05Art. 7 · annexe III
Produits importants — classes I et II
Les produits dont la fonctionnalité principale correspond à une catégorie de l'annexe III. La classe I couvre la gestion des identités et des accès, les navigateurs, les gestionnaires de mots de passe, les antimalwares, les VPN, les SIEM, les IGC, les systèmes d'exploitation, les routeurs et la domotique de sécurité ; la classe II, les hyperviseurs et conteneurs, les pare-feux et IDS/IPS, et les puces inviolables.
- 06Art. 32 · 13(13) · annexe VII
Évaluation de la conformité, marquage CE et documentation
Les produits par défaut peuvent recourir à l'autoévaluation (module A). La classe I perd cette option si les normes harmonisées ou un schéma équivalent n'ont pas été appliqués ; la classe II impose toujours un organisme notifié ou un schéma européen de niveau au moins « substantiel », et les produits critiques de l'annexe IV se situent au-dessus. La documentation technique est conservée 10 ans, ou la durée de la période de support. La classification est la décision qui fixe votre budget.
Sanctions & conséquences
Article 64 : trois paliers, et une dérogation plus étroite qu'il n'y paraît.
Les amendes du CRA sont administratives et calculées comme le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d'affaires annuel mondial. Le non-respect de l'annexe I ou des articles 13 et 14 relève du palier supérieur ; la plupart des autres obligations, du palier intermédiaire ; les informations trompeuses fournies à un organisme notifié ou à une autorité, du palier inférieur.
En France, c'est l'Agence nationale des fréquences (ANFR) qui exerce la surveillance du marché au titre du CRA, avec l'appui de l'ANSSI, et qui peut prononcer ces amendes. L'ANSSI assure le rôle d'autorité notifiante des organismes d'évaluation de la conformité, sur la base d'une accréditation COFRAC. Les notifications de l'article 14 sont reçues par le CERT-FR, CSIRT désigné comme coordinateur pour la France, via la plateforme unique de l'ENISA.
La dérogation pour les plus petites structures est plus étroite qu'il n'y paraît : l'article 64(10)(a) supprime l'amende, pour les microentreprises et petites entreprises (moins de 50 salariés, et chiffre d'affaires ou bilan inférieur ou égal à 10 M€), en cas de dépassement du délai de l'article 14(2)(a) ou 14(4)(a) — l'alerte précoce à 24 heures, et elle seule. L'amende est de toute façon rarement la première conséquence : l'accès au marché, lui, n'attend pas — sans conformité, pas de marquage CE, et sans marquage CE, pas de marché européen.
Annexe I, art. 13 et 14
15 M€ / 2,5 %
le montant le plus élevé des deux, sur le chiffre d'affaires annuel mondial.
Autres obligations
10 M€ / 2 %
articles 18 à 23, 28, 30, 31, 32, 33(5), 39, 41, 47, 49 et 53.
Informations inexactes
5 M€ / 1 %
aux organismes notifiés et aux autorités de surveillance du marché.
Notre approche
Une préparation CRA calibrée sur les produits que vous mettez réellement sur le marché.
Ce que nous livrons
- Qualification « fabricant » — le test des articles 3(13), 21 et 22 passé sur chaque produit et gamme rebadgée que vous vendez, avec le raisonnement écrit
- Inventaire et classification des produits au regard du règlement d'exécution (UE) 2025/2392 — défaut, annexe III classe I ou II, ou annexe IV critique
- Analyse d'écart annexe I sur les parties I et II, avec feuille de route de remédiation priorisée et chiffrée
- Playbook de notification article 14 — chaîne de décision, déclarant nommé, détermination du CSIRT et exercice sur table déclenché par l'appel d'un client
- Politique de période de support et raisonnement documenté derrière chaque date de fin
- Politique de divulgation coordonnée, point de contact unique et modèle de gouvernance du SBOM
- Choix de la voie d'évaluation de la conformité — autoévaluation, organisme notifié ou schéma de certification — et son coût en délai
- Documentation technique (annexe VII), pack d'information utilisateur (annexe II) et dossier de preuve qu'une autorité ouvrirait en premier
Calendrier type
La notification est déjà en vigueur : la détermination du périmètre est urgente, le reste est un programme 2027. Analyse d'écart, remédiation et construction documentaire représentent six à neuf mois — ce qui place un démarrage confortable pour décembre 2027 quelque part en 2026.
1 à 2 semaines
Périmètre & classification
Qualification « fabricant » par gamme, inventaire produits, classification annexe III et Service Profile qui cadre la suite. Cette phase met fin à la mission — ou change entièrement la conversation.
Immédiat
Prêt à notifier
La seule obligation déjà en vigueur. Chaîne de décision, déclarant et suppléant nommés, compte EU Login, détermination du CSIRT (art. 14(7)) et exercice en conditions réelles.
Après le cadrage
Analyse d'écart annexe I
Parties I et II évaluées produit par produit, avec une feuille de route qui sépare ce que l'ingénierie doit construire de ce que la gouvernance peut fermer.
Avant décembre 2027
Documentation & conformité
Documentation technique, justification de la période de support, pack d'information utilisateur, voie d'évaluation et validation de la direction qui rend la déclaration de conformité défendable.
Outil gratuit
Où en est votre produit sur le CRA ?
Réalisez notre auto-évaluation gratuite de 8 minutes et recevez un rapport PDF personnalisé : votre score, vos écarts prioritaires et une feuille de route à 90 jours. Sans présentation commerciale, sans séquence de relance.
Commencer l'auto-évaluation CRAFAQ