Le 23 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’Agence nationale des fréquences (ANFR) et la Direction générale des entreprises (DGE) ont coorganisé un événement majeur. L’objectif était d’accompagner les fabricants de produits numériques dans leur mise en conformité avec le Cyber Résilience Act (CRA), une nouvelle réglementation européenne.[1] Cet événement souligne l’importance croissante de la cybersécurité intégrée dès la conception des produits, un enjeu direct pour la résilience de votre PME ou ETI.[1]

Qu’est-ce que le cyber résilience act (cra) et pourquoi est-il important pour votre entreprise ?

Le Cyber Résilience Act (CRA) est un règlement de l’Union Européenne qui vise à renforcer la cybersécurité des produits numériques tout au long de leur cycle de vie.[1] Il s’applique à tous les produits comportant des éléments numériques (logiciels, matériels connectés, objets intelligents, etc.)[1] mis sur le marché européen. L’objectif est de réduire le nombre de vulnérabilités et d’incidents de sécurité en imposant des exigences de sécurité minimales aux fabricants.

Pour votre PME ou ETI, le CRA est une avancée significative. Il signifie que les produits numériques que vous achetez et utilisez devraient, à terme, être intrinsèquement plus sécurisés. Cela réduit les risques d’attaques cyber, de pannes ou de pertes de données liées à des failles de conception.

Calendrier et obligations clés pour les fabricants (et leurs conséquences pour vous)

Le CRA introduit des échéances et des obligations précises pour les fabricants, qui ont un impact direct sur les produits que vous utilisez :

  • Depuis le 11 septembre 2026 : Les fabricants de solutions numériques doivent notifier à l’ANSSI (en France) et aux autorités compétentes européennes les vulnérabilités activement exploitées ainsi que les incidents graves affectant leurs produits, comme le précise l’article 14 du CRA. Cette obligation de transparence est cruciale car elle permet une réaction plus rapide en cas de menace.
  • D’ici le 11 décembre 2027 : Tous les produits comportant des éléments numériques disponibles sur le marché européen devront obligatoirement satisfaire aux exigences essentielles de cybersécurité définies dans le règlement. Cela inclut des mesures de sécurité dès la conception, des mises à jour régulières et une gestion des vulnérabilités sur le long terme.

Vincent Strubel, Directeur général de l’ANSSI, a souligné que « Avec le CRA, l’Union européenne se place comme précurseur en instaurant un cadre horizontal et obligatoire de cybersécurité applicable aux produits numériques sur l’ensemble de leur cycle de vie » (ANSSI actualités).

Le rôle de l’anfr : surveillance et sanctions

L’Agence nationale des fréquences (ANFR) jouera un rôle central dans l’application du CRA en France. Elle agira en tant qu’autorité de surveillance pour l’ensemble des produits numériques mis à disposition sur le marché national (ANSSI actualités). Ses missions incluront notamment la réalisation d’analyses des produits du marché pour vérifier leur conformité aux exigences du CRA (ANSSI actualités).

En cas de non-conformité avérée, l’ANFR sera habilitée à prendre des mesures de police administrative à l’encontre des fabricants. Cela peut aller du retrait du produit du marché à des sanctions pécuniaires élevées (ANSSI actualités). Pour votre PME/ETI, cela signifie une meilleure garantie que les produits que vous achetez respectent des standards de sécurité, et une protection contre des produits potentiellement dangereux qui pourraient être retirés.

Cyber Résilience Act : l'ANSSI, l'ANFR et la DGE accompagnent les fabricants dans la conformité des produits numériques : priorisation et décision

Impact métier et financier pour les PME/ETI

Bien que le CRA cible directement les fabricants, ses implications pour les PME et ETI sont significatives :

  • Réduction des risques cyber : Des produits plus sécurisés réduisent la surface d’attaque de votre entreprise, diminuant la probabilité d’incidents (ransomwares, fuites de données) et leurs coûts associés (interruption d’activité, rançons, amendes RGPD, perte de réputation).
  • Continuité d’activité améliorée : Moins de vulnérabilités signifie moins de pannes inattendues ou de besoins de correctifs urgents qui pourraient interrompre vos opérations.
  • Coûts cachés évités : L’achat de produits non conformes pourrait entraîner des coûts supplémentaires pour compenser leurs faiblesses de sécurité, ou pire, des coûts de remplacement si un produit est retiré du marché.
  • Complexité de la chaîne d’approvisionnement : Vous devrez intégrer la conformité CRA comme critère de sélection pour vos fournisseurs, ajoutant une couche de diligence raisonnable.

Par exemple, une PME du secteur manufacturier utilisant des automates programmables industriels (API) connectés pour sa chaîne de production. Si ces API ne sont pas conformes au CRA et présentent des vulnérabilités, un attaquant pourrait les exploiter pour arrêter la production, modifier les processus ou exfiltrer des données sensibles. Avec le CRA, le fabricant de ces API sera contraint de garantir leur sécurité, réduisant ce risque pour la PME et assurant une meilleure continuité de sa production.

Comment savoir si votre entreprise est concernée et que faire ?

Votre entreprise est concernée en tant qu’utilisatrice de produits numériques. Votre rôle est de vous assurer que vos fournisseurs respectent les exigences du CRA. Voici les étapes à suivre :

1. identifier les produits numériques concernés

Faites l’inventaire des produits numériques que votre PME/ETI utilise et qui pourraient être affectés par le CRA. Cela inclut :

  • Les logiciels (systèmes d’exploitation, applications métier, ERP, CRM, logiciels de sécurité).
  • Les équipements matériels connectés (serveurs, routeurs, pare-feu, caméras de surveillance, capteurs IoT, équipements industriels, imprimantes connectées).
  • Les services cloud qui intègrent des éléments numériques (SaaS, PaaS).

2. interroger vos prestataires et fournisseurs

C’est l’action la plus directe pour votre PME/ETI. Contactez vos fournisseurs de produits numériques et demandez-leur leur plan de conformité au CRA. Voici des questions clés à poser :

  • Votre produit [Nom du produit/service] sera-t-il conforme au Cyber Résilience Act d’ici le 11 décembre 2027 ?
  • Quelles sont les mesures spécifiques que vous mettez en œuvre pour garantir cette conformité (sécurité par conception, gestion des vulnérabilités, mises à jour) ?
  • Comment nous informerez-vous des vulnérabilités et incidents graves affectant vos produits, conformément à l’article 14 du CRA ?
  • Pouvez-vous nous fournir une déclaration de conformité ou une documentation technique attestant de votre respect du CRA ?
  • Quel est l’impact potentiel sur notre utilisation du produit si la conformité n’est pas atteinte à temps ?

3. évaluer les risques et planifier

Utilisez les informations recueillies pour évaluer les risques liés à la non-conformité de vos fournisseurs. Le tableau suivant peut vous aider à structurer votre démarche :

Produit Numérique Clé Fournisseur Statut de Conformité CRA (déclaré par fournisseur) Date d’échéance CRA (11 déc. 2027) Action Recommandée pour la PME/ETI
ERP "GestionPro" Logiciels Alpha En cours de certification, objectif fin 2027 Yes Suivre l’avancement, demander des preuves de conformité régulières.
Caméras de surveillance "SecurView" Matériel Beta Non communiqué / Incertain Yes Relancer le fournisseur, envisager des alternatives si pas de réponse claire.
Solution de sauvegarde cloud "SafeCloud" Services Gamma Conforme, documentation disponible Yes Archiver la preuve de conformité, intégrer dans les revues fournisseurs.
Automates Industriels "ProdControl" Industrie Delta Processus d’adaptation en cours, mise à jour firmware prévue mi-2027 Yes Planifier la mise à jour avec le fournisseur, évaluer l’impact sur la production.

4. contrôles après correction ou mise en conformité

Une fois que vos fournisseurs ont déclaré leur conformité ou appliqué des correctifs, il est essentiel de maintenir une veille :

  • Surveillance continue : Restez informé des actualités de vos fournisseurs concernant la sécurité de leurs produits.
  • Mises à jour : Assurez-vous que les mises à jour de sécurité et de conformité sont appliquées en temps voulu sur vos systèmes.
  • Audits : Si possible, intégrez la conformité CRA dans vos audits fournisseurs réguliers.

Points à confirmer et incertitudes

Malgré la clarté des objectifs du CRA, certaines incertitudes subsistent pour les PME/ETI :

  • Définition précise des "éléments numériques" : La portée exacte de certains produits peut nécessiter des clarifications de la part des autorités ou des fabricants.
  • Niveau de preuve de conformité : Les types de documentation ou de certifications que les PME/ETI devront demander à leurs fournisseurs pour attester de la conformité.
  • Impact sur les produits existants : Comment les produits déjà en service avant le 11 décembre 2027 seront gérés en termes de conformité et de support.

Il est crucial de rester en dialogue avec vos fournisseurs et de suivre les communications de l’ANSSI et de l’ANFR pour obtenir des précisions.