Le Cyber Resilience Act pour les PME : vos produits sont-ils concernés ?
Vous vendez du logiciel ou des produits connectés sous votre marque ? Voyez ce qui change, et ce qui s’applique déjà.
Êtes-vous concerné ?
Trois questions pour vous situer en deux minutes.
Oui aux deux premières : le règlement vous considère probablement comme « fabricant ». Les critères exacts figurent plus bas, dans la partie destinée à votre DSI.
- Vendez-vous un produit avec du logiciel ou une connexion ?Matériel ou logiciel relié à un appareil ou à un réseau : une machine avec un automate, une application, un objet connecté. Un logiciel vendu uniquement comme service en ligne est en général hors champ.
- Est-il vendu sous votre nom ou votre marque ?Même si un autre le fabrique pour vous. L’importateur ou le distributeur qui y appose sa marque est visé aussi, comme quiconque le modifie substantiellement.
- Certains de ces produits sont-ils déjà en vente ?L’obligation de signalement couvre déjà les produits vendus avant le règlement, y compris ceux d’il y a plusieurs années.
Pas concerné ?
Importateur ou revendeur ? Vous avez aussi des vérifications à faire.
Dès le 11 décembre 2027, importateurs et distributeurs doivent vérifier que ce qu’ils vendent porte le marquage CE et s’accompagne des informations requises. Un produit que vous utilisez seulement dans votre entreprise ne crée aucune obligation au titre de ce règlement.
Ce qui change pour vous
La sécurité entre dans le marquage CE.
Dès le 11 décembre 2027, un produit avec du logiciel ou une connexion devra respecter des exigences de sécurité européennes. C’est la condition du marquage CE et de la vente dans l’UE. En bref : aucune faille exploitable connue à la mise en vente, des réglages sûrs par défaut, et des mises à jour de sécurité gratuites. Elles sont dues pendant la durée d’usage prévue du produit, en général au moins cinq ans.
Une partie s’applique déjà. Depuis le 11 septembre 2026, une faille activement exploitée dans un de vos produits doit être signalée : première alerte sous 24 heures. Cela vaut aussi pour des produits vendus il y a des années. Le CRA est un règlement : il s’applique directement en France, sans attendre de loi française.
Le vrai risque porte sur l’accès au marché : sans conformité, pas de marquage CE ni de ventes dans l’UE. Et vos clients professionnels demanderont des preuves avant toute autorité. La réponse commence par savoir quels produits sont concernés et dans quelle classe, car c’est ce qui fixe le coût.
Par où commencer
Savoir quels produits sont concernés, puis être prêt à signaler.
Ce que nous livrons
- Une réponse écrite, produit par produit : concerné ou non, et dans quelle classe
- Un plan de signalement pour l’alerte sous 24 heures, avec une personne désignée et un exercice
- Vos écarts face aux exigences de sécurité, classés, avec ce que l’ingénierie doit changer
- Les politiques de mises à jour, de signalement des failles et de composants tiers
- La documentation et la voie d’évaluation qui fondent votre marquage CE
Qui fait quoi
Nous pilotons la conformité. Votre équipe produit garde l’ingénierie.
Ce que nous pilotons
- Établir quels produits sont concernés, et leur classe
- Organiser la chaîne de signalement et l’exercer
- Classer les écarts et fixer le plan
- Rédiger les politiques de mises à jour, de divulgation et de support
- Préparer le dossier technique et la voie d’évaluation
Ce qui reste chez votre équipe produit
- Corriger les failles de sécurité du produit
- Développer et publier les mises à jour de sécurité
- Tenir à jour la liste des composants logiciels
Nous vérifions son travail au regard des exigences, pour que les preuves tiennent. Nous ne modifions ni code ni micrologiciel.
Pour commencer
Première étape : l’Avis de périmètre CRA.
En 2 semaines, vous avez une réponse écrite : êtes-vous fabricant, quels produits sont concernés, et dans quelle classe. Le montant est déduit si vous poursuivez avec nous dans les 6 mois.
- À partir de
- 3 500 €HT
- Durée
- 2 semaines
- Votre temps
- Deux réunions d’une heure, plus des documents
Prix fixe, selon le nombre de gammes de produits.
Réserver une consultation gratuite de 25 minutesPour votre DSI, DPO ou DAF
Ce que le règlement exige, article par article.
Lesquelles vous lient, et avec quelle intensité, se tranche en phase 1 selon votre rôle et la classification de vos produits. Voici celles qui pèsent réellement sur une PME ou une ETI fabricante.
- 01Art. 13(2) · annexe I, partie I
Analyse des risques et propriétés du produit
Une analyse documentée par produit, tenue à jour pendant toute la période de support, et treize propriétés essentielles appliquées sur sa base — dont aucune vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité, contrôle d'accès, protection de la confidentialité et de l'intégrité, et effacement sécurisé.
- 02Annexe I, partie II · art. 13(5)
Traitement des vulnérabilités et composants tiers
Une nomenclature logicielle (SBOM) couvrant au minimum les dépendances de premier niveau, la remédiation sans retard indu, des tests réguliers, la publication des vulnérabilités corrigées, une politique de divulgation coordonnée, une adresse de contact et des mises à jour sécurisées gratuites — plus la diligence sur les composants intégrés, open source compris.
- 03Art. 13(8), (9), (19) · annexe II
Période de support — cinq ans au minimum
Fixez une période reflétant la durée d'utilisation réelle attendue ; le plancher est de cinq ans. Les mises à jour publiées pendant cette période restent disponibles 10 ans de plus. Sa date de fin, mois et année, doit être indiquée au moment de l'achat, avec le point de contact pour le signalement des vulnérabilités.
- 04Art. 14
Notification — 24 heures, 72 heures, 14 jours
Pour une vulnérabilité activement exploitée ou un incident grave : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 14 jours après mise à disposition d'un correctif — un mois pour les incidents. Un dépôt unique, via la plateforme de signalement unique de l'ENISA.
- 05Art. 7 · annexe III
Produits importants — classes I et II
Les produits dont la fonctionnalité principale correspond à une catégorie de l'annexe III. La classe I couvre la gestion des identités et des accès, les navigateurs, les gestionnaires de mots de passe, les antimalwares, les VPN, les SIEM, les IGC, les systèmes d'exploitation, les routeurs et la domotique de sécurité ; la classe II, les hyperviseurs et conteneurs, les pare-feux et IDS/IPS, et les puces inviolables.
- 06Art. 32 · 13(13) · annexe VII
Évaluation de la conformité, marquage CE et documentation
Les produits par défaut peuvent recourir à l'autoévaluation (module A). La classe I perd cette option si les normes harmonisées ou un schéma équivalent n'ont pas été appliqués ; la classe II impose toujours un organisme notifié ou un schéma européen de niveau au moins « substantiel », et les produits critiques de l'annexe IV se situent au-dessus. La documentation technique est conservée 10 ans, ou la durée de la période de support. La classification est la décision qui fixe votre budget.
Article 64 : trois paliers, et une dérogation plus étroite qu'il n'y paraît.
Les amendes du CRA sont administratives et calculées comme le montant le plus élevé entre une somme fixe et un pourcentage du chiffre d'affaires annuel mondial. Le non-respect de l'annexe I ou des articles 13 et 14 relève du palier supérieur ; la plupart des autres obligations, du palier intermédiaire ; les informations trompeuses fournies à un organisme notifié ou à une autorité, du palier inférieur.
En France, c'est l'Agence nationale des fréquences (ANFR) qui exerce la surveillance du marché au titre du CRA, avec l'appui de l'ANSSI, et qui peut prononcer ces amendes. L'ANSSI assure le rôle d'autorité notifiante des organismes d'évaluation de la conformité, sur la base d'une accréditation COFRAC. Les notifications de l'article 14 sont reçues par le CERT-FR, CSIRT désigné comme coordinateur pour la France, via la plateforme unique de l'ENISA.
La dérogation pour les plus petites structures est plus étroite qu'il n'y paraît : l'article 64(10)(a) supprime l'amende, pour les microentreprises et petites entreprises (moins de 50 salariés, et chiffre d'affaires ou bilan inférieur ou égal à 10 M€), en cas de dépassement du délai de l'article 14(2)(a) ou 14(4)(a) — l'alerte précoce à 24 heures, et elle seule. L'amende est de toute façon rarement la première conséquence : l'accès au marché, lui, n'attend pas — sans conformité, pas de marquage CE, et sans marquage CE, pas de marché européen.
Annexe I, art. 13 et 14
15 M€ / 2,5 %
le montant le plus élevé des deux, sur le chiffre d'affaires annuel mondial.
Autres obligations
10 M€ / 2 %
articles 18 à 23, 28, 30, 31, 32, 33(5), 39, 41, 47, 49 et 53.
Informations inexactes
5 M€ / 1 %
aux organismes notifiés et aux autorités de surveillance du marché.
Calendrier type
La notification est déjà en vigueur : la détermination du périmètre est urgente, le reste est un programme 2027. Analyse d'écart, remédiation et construction documentaire représentent six à neuf mois : pour être prêt au 11 décembre 2027, il faut démarrer au plus tard début 2027.
1 à 2 semaines
Périmètre & classification
Qualification « fabricant » par gamme, inventaire produits, classification annexe III et Service Profile qui cadre la suite. Cette phase met fin à la mission — ou change entièrement la conversation.
Immédiat
Prêt à notifier
La seule obligation déjà en vigueur. Chaîne de décision, déclarant et suppléant nommés, compte EU Login, détermination du CSIRT (art. 14(7)) et exercice en conditions réelles.
Après le cadrage
Analyse d'écart annexe I
Parties I et II évaluées produit par produit, avec une feuille de route qui sépare ce que l'ingénierie doit construire de ce que la gouvernance peut fermer.
Avant décembre 2027
Documentation & conformité
Documentation technique, justification de la période de support, pack d'information utilisateur, voie d'évaluation et validation de la direction qui rend la déclaration de conformité défendable.
FAQ