Cyber Resilience Act : le guide complet pour les fabricants

Le Cyber Resilience Act est souvent présenté par fragments : une échéance, une amende, une liste de produits. Ce guide donne la vue d’ensemble dont un fabricant a besoin pour décider : mon produit est-il concerné, qu’attend-on de moi, selon quelle procédure et pour quand ? Chaque affirmation renvoie à un article du règlement (UE) 2024/2847 ou aux lignes directrices publiées par la Commission européenne le 27 juillet 2026.

Le CRA en résumé

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, impose des exigences de cybersécurité à presque tous les produits comportant des éléments numériques vendus dans l’Union européenne : appareils connectés, machines avec automate en réseau, instruments, logiciels, composants. Le fabricant doit concevoir un produit sûr sur la base d’une évaluation des risques documentée, le livrer sans vulnérabilité exploitable connue et avec une configuration sécurisée par défaut, puis gérer ses vulnérabilités pendant une période d’assistance d’au moins cinq ans (art. 13 et annexe I).

Il établit une documentation technique, suit une procédure d’évaluation de la conformité, signe une déclaration UE de conformité et appose le marquage CE. Le contrôle interne (module A) suffit pour la plupart des produits ; les produits importants et critiques (annexes III et IV) demandent davantage.

Le calendrier est échelonné. Le signalement des vulnérabilités activement exploitées et des incidents graves s’applique depuis le 11 septembre 2026, y compris aux produits déjà vendus ; l’ensemble du règlement s’appliquera le 11 décembre 2027 (art. 71). Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial (art. 64). Une entreprise suisse qui vend dans l’UE est concernée au même titre qu’un fabricant européen.

Qu’est-ce que le CRA et quels produits sont concernés ?

Le Cyber Resilience Act fait de la cybersécurité une condition de mise sur le marché, au même titre que la sécurité électrique : un produit comportant des éléments numériques qui n’y répond pas ne pourra plus porter le marquage CE ni être vendu dans l’UE.

Publié au Journal officiel le 20 novembre 2024, le règlement (UE) 2024/2847 est entré en vigueur le 10 décembre 2024 (art. 71, par. 1). Il s’applique directement, sans transposition, et suit la logique bien connue du nouveau cadre législatif : exigences essentielles, normes harmonisées, évaluation de la conformité, marquage CE et surveillance du marché.

Le champ d’application

Le CRA s’applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau (art. 2, par. 1). Un produit comportant des éléments numériques est un logiciel ou un matériel avec ses solutions de traitement de données à distance, y compris les composants mis sur le marché séparément (art. 3, point 1).

Le cloud du fabricant peut faire partie du produit : c’est le cas du traitement de données à distance conçu par le fabricant ou sous sa responsabilité, sans lequel le produit ne pourrait pas remplir une de ses fonctions (art. 3, point 2).

Les exclusions

Le CRA ne s’applique pas aux dispositifs médicaux et de diagnostic in vitro (règlements (UE) 2017/745 et 2017/746), aux véhicules relevant du règlement (UE) 2019/2144, aux produits certifiés selon le règlement (UE) 2018/1139 (aviation civile), aux équipements marins de la directive 2014/90/UE, aux pièces de rechange identiques et aux produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense (art. 2, par. 2 à 7). Selon les lignes directrices de la Commission, une application web accessible uniquement par un navigateur et un site purement informatif ne sont pas, à eux seuls, des produits au sens du CRA (C(2026) 5252, point 21, exemples 5 et 6).

Produit	Concerné ?	Pourquoi
Thermostat connecté avec application et cloud du fabricant	Oui, application et cloud compris	Art. 2, par. 1 ; art. 3, point 2 ; C(2026) 5252, section 8.3.2
Machine avec automate relié au réseau	Oui, en plus du règlement machines	Art. 2, par. 1
Application mobile vendue ou monétisée	Oui	C(2026) 5252, exemple 3
Dispositif médical connecté	Non	Art. 2, par. 2, point a)
Application web accessible uniquement par navigateur	Non, sauf si elle sert une fonction d’un produit	C(2026) 5252, exemple 5
Pièce de rechange identique	Non	Art. 2, par. 6

Pour passer vos propres produits au crible, utilisez notre test en cinq questions. Si votre entreprise est établie en Suisse, lisez aussi le CRA pour une entreprise suisse.

Quelles obligations le CRA impose-t-il au fabricant ?

Le CRA impose deux familles d’obligations au fabricant : un produit conçu de façon sûre au moment de sa mise sur le marché (annexe I, partie I) et un processus de gestion des vulnérabilités maintenu pendant toute la période d’assistance (annexe I, partie II).

Le point de départ : l’évaluation des risques

Le fabricant doit procéder à une évaluation des risques de cybersécurité et en tenir compte de la planification à la maintenance du produit (art. 13, par. 2). Elle est documentée, mise à jour pendant la période d’assistance et indique si et comment chaque exigence de l’annexe I, partie I, point 2, s’applique au produit (art. 13, par. 3). Le CRA n’impose pas de méthode : une analyse de menaces de type TARA ou la démarche de l’IEC 62443-3-2 permettent de la structurer.

Les exigences sur le produit (annexe I, partie I)

Sur la base de l’évaluation des risques, le produit doit, le cas échéant :

• a) être mis à disposition sans vulnérabilité exploitable connue ;
• b) avoir une configuration sécurisée par défaut, avec possibilité de revenir à l’état d’origine ;
• c) pouvoir être corrigé par des mises à jour de sécurité, automatiques par défaut le cas échéant mais faciles à désactiver ;
• d) protéger contre les accès non autorisés (authentification, gestion des identités et des accès) ;
• e) protéger la confidentialité des données, par exemple par chiffrement ;
• f) protéger l’intégrité des données, des commandes, des programmes et de la configuration ;
• g) ne traiter que les données nécessaires à sa finalité (minimisation) ;
• h) protéger la disponibilité des fonctions essentielles, y compris face au déni de service ;
• i) limiter son impact négatif sur les services fournis par d’autres dispositifs ou réseaux ;
• j) limiter les surfaces d’attaque, y compris les interfaces externes ;
• k) réduire les répercussions d’un incident ;
• l) enregistrer et surveiller les activités internes pertinentes, avec possibilité de désactivation par l’utilisateur ;
• m) permettre de supprimer facilement et de façon sûre toutes les données et tous les paramètres.

Les exigences sur les processus (annexe I, partie II)

Le fabricant doit recenser les composants de son produit dans une nomenclature des logiciels (SBOM) « dans un format couramment utilisé et lisible par machine », couvrant au moins les dépendances de niveau supérieur (point 1). Il corrige les vulnérabilités sans retard, si possible par des mises à jour de sécurité séparées des mises à jour fonctionnelles (point 2), teste régulièrement la sécurité (point 3), publie des informations sur les vulnérabilités corrigées (point 4), applique une politique de divulgation coordonnée (point 5) et fournit une adresse de contact pour le signalement des vulnérabilités (point 6). Les mises à jour sont distribuées de façon sécurisée (point 7), sans retard et gratuitement, sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure (point 8).

Les autres obligations de l’article 13

Obligation	Référence
Diligence raisonnable sur les composants de tiers, y compris open source	Art. 13, par. 5
Période d’assistance d’au moins cinq ans, sauf durée d’utilisation prévue plus courte	Art. 13, par. 8
Mises à jour de sécurité disponibles au moins dix ans après leur émission, ou pour le reste de la période d’assistance si elle est plus longue	Art. 13, par. 9
Documentation technique établie avant la mise sur le marché	Art. 13, par. 12
Documentation et déclaration conservées dix ans, ou pendant la période d’assistance si elle est plus longue	Art. 13, par. 13
Point de contact unique pour les utilisateurs	Art. 13, par. 17
Informations et instructions de l’annexe II	Art. 13, par. 18
Date de fin de la période d’assistance (au moins mois et année) indiquée au moment de l’achat	Art. 13, par. 19

Les lignes directrices précisent que cinq ans constituent un plancher et non une durée par défaut : un produit utilisé plus longtemps appelle une période d’assistance plus longue (C(2026) 5252, point 126).

Le mandataire (art. 18), l’importateur (art. 19) et le distributeur (art. 20) ont des obligations propres ; celui qui vend un produit sous sa marque ou le modifie substantiellement devient fabricant (art. 21 et 22). Pour les éditeurs, voir les logiciels et le CRA.

Catégories de produits et évaluation de la conformité

La procédure d’évaluation de la conformité dépend de la catégorie du produit, déterminée par sa fonctionnalité de base : la grande majorité des produits peuvent être autoévalués, seuls les produits importants et critiques listés aux annexes III et IV exigent davantage.

Le CRA distingue quatre catégories :

• les produits par défaut, soit la grande majorité ;
• les produits importants de classe I (annexe III, 19 catégories), par exemple les gestionnaires de mots de passe, les produits avec fonction de VPN, les systèmes d’exploitation, les routeurs, modems et commutateurs, ou les produits domestiques intelligents dotés de fonctionnalités de sécurité comme les serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme ;
• les produits importants de classe II (annexe III), par exemple les hyperviseurs et les pare-feu, systèmes de détection et de prévention des intrusions ;
• les produits critiques (annexe IV) : dispositifs matériels avec boîtier de sécurité, passerelles pour compteurs intelligents, cartes à puce et éléments sécurisés.

C’est la fonctionnalité de base du produit qui compte : intégrer un composant de classe I ne rend pas, à lui seul, le produit final important (art. 7, par. 1). Le règlement d’exécution (UE) 2025/2392 du 28 novembre 2025 donne les descriptions techniques de chaque catégorie. Selon les lignes directrices, un produit n’a qu’une seule fonctionnalité de base, à identifier dans sa documentation technique (C(2026) 5252, point 144).

Catégorie	Procédures admises (art. 32)	Organisme notifié
Par défaut	Module A, modules B et C, module H, ou schéma européen de certification	Non obligatoire
Importants, classe I	Module A si une norme harmonisée, une spécification commune ou un schéma est appliqué intégralement ; sinon modules B et C ou module H	Selon le cas
Importants, classe II	Modules B et C, module H, ou schéma européen (niveau « substantiel » au moins)	Oui
Critiques	Schéma européen si un acte délégué l’exige (art. 8, par. 1), sinon comme la classe II	Oui

Aucune norme harmonisée CRA n’est citée au Journal officiel au 28 octobre 2026. Elles sont en préparation sous la demande de normalisation M/606 : série EN 40000 (CEN-CENELEC) pour les exigences horizontales, série EN 304 6xx (ETSI) par type de produit. Un fabricant de produit de classe I doit donc aujourd’hui envisager l’hypothèse d’un organisme notifié (interprétation, à réévaluer selon l’avancement des normes).

La démarche se conclut par la documentation technique (art. 31, annexe VII), la déclaration UE de conformité (art. 28, annexe V) et le marquage CE (art. 29 et 30).

Signalement : ce qui s’applique depuis le 11 septembre 2026

Depuis le 11 septembre 2026, tout fabricant doit signaler les vulnérabilités activement exploitées et les incidents graves touchant ses produits, y compris les produits vendus avant l’entrée en application générale du CRA (art. 14, art. 69, par. 3, et art. 71, par. 2).

Étape	Vulnérabilité activement exploitée (art. 14, par. 2)	Incident grave (art. 14, par. 4)
Alerte précoce	Au plus tard 24 heures après en avoir eu connaissance	Au plus tard 24 heures après en avoir eu connaissance
Notification	Au plus tard 72 heures après en avoir eu connaissance	Au plus tard 72 heures après en avoir eu connaissance
Rapport final	Au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation	Dans un délai d’un mois à compter de la notification

La notification passe par la plateforme unique de signalement : elle est adressée au CSIRT désigné comme coordinateur et mise simultanément à la disposition de l’ENISA (art. 14, par. 1 et 7, et art. 16). L’ENISA a annoncé que la plateforme est opérationnelle depuis le 11 septembre 2026. Le fabricant informe aussi les utilisateurs touchés et, si nécessaire, des mesures qu’ils peuvent prendre (art. 14, par. 8).

Les lignes directrices apportent deux précisions utiles : une vulnérabilité dont l’exploitation active était connue avant le 11 septembre 2026 n’a pas à être signalée (C(2026) 5252, point 217), et l’obligation de signalement continue après la fin de la période d’assistance (point 210).

Le règlement écarte les amendes pour les micro et petites entreprises qui manquent le délai de l’alerte précoce de 24 heures (art. 64, par. 10, point a)). Prudence : ce paragraphe déroge aux « paragraphes 3 à 9 » de l’art. 64, alors que l’art. 14 relève du paragraphe 2 ; ce n’est pas une garantie. Le détail est dans notre article sur le signalement des vulnérabilités.

Calendrier et sanctions

Le CRA est entré en vigueur le 10 décembre 2024, mais ses obligations s’appliquent par étapes jusqu’au 11 décembre 2027, date à partir de laquelle tout produit concerné mis sur le marché de l’UE devra être conforme.

Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au CRA qu’en cas de modification substantielle à partir de cette date (art. 69, par. 2), sauf pour le signalement, qui s’applique à tous (art. 69, par. 3 ; la version française contient une erreur de rédaction, la version anglaise et la FAQ de la Commission, point 1.4, font foi sur ce sens).

Nuance essentielle : la mise sur le marché s’apprécie unité par unité. Une unité d’un ancien modèle mise sur le marché après le 11 décembre 2027 doit être conforme (C(2026) 5252, point 11), sans forcément de reconception si l’évaluation des risques démontre que les exigences applicables sont satisfaites (point 33). Toutes les dates sont dans notre calendrier du CRA.

Manquement	Plafond de l’amende (le montant le plus élevé est retenu)
Exigences de l’annexe I, art. 13 et 14	15 000 000 EUR ou 2,5 % du chiffre d’affaires annuel mondial (art. 64, par. 2)
Obligations des art. 18 à 23, 28, 30, 31, 32 et autres listées	10 000 000 EUR ou 2 % (art. 64, par. 3)
Informations inexactes, incomplètes ou trompeuses	5 000 000 EUR ou 1 % (art. 64, par. 4)

Les États membres fixent le régime des sanctions (art. 64, par. 1). Pour fixer le montant, l’autorité tient compte notamment de la taille de l’entreprise, en particulier des micro, petites et moyennes entreprises (art. 64, par. 5, point c)).

CRA, RED, règlement machines et Suisse : comment les textes s’articulent

Le CRA ne remplace ni la directive RED ni le règlement machines : il s’y ajoute pour la cybersécurité, avec des passerelles prévues pour éviter les doubles démonstrations.

Texte	Ce qu’il couvre en cybersécurité	Applicable depuis	Lien avec le CRA
Directive RED 2014/53/UE et règlement délégué (UE) 2022/30	Art. 3.3 d), e) et f) : réseau, données personnelles, fraude ; normes EN 18031-1, -2 et -3:2024	1er août 2025	Abrogation du règlement délégué au 11 décembre 2027 (règlement délégué (UE) 2026/339) ; le CRA prend le relais
Règlement machines (UE) 2023/1230	Annexe III, points 1.1.9 (protection contre la corruption) et 1.2.1 (systèmes de commande)	20 janvier 2027	La conformité au CRA peut faciliter ces exigences, à démontrer par le fabricant (FAQ CRA v1.4, point 2.4.1)

Selon la FAQ de la Commission (v1.4 du 4 septembre 2026, point 2.6.1), les équipements radio mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 restent soumis aux exigences cyber de la RED, ceux mis sur le marché à partir du 11 décembre 2027 au CRA (voir la cybersécurité RED et l’EN 18031). Pour les machines, voir le règlement machines 2027 en Suisse et notre page cybersécurité des machines. Les attestations d’examen UE de type délivrées sous d’autres législations pour la cybersécurité restent valables jusqu’au 11 juin 2028 (art. 69, par. 1), pour les seuls risques qu’elles couvrent (C(2026) 5252, point 248).

En Suisse, aucune loi équivalente au CRA n’est en vigueur. Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer d’ici juin 2027 un projet de loi fédérale sur la cybersécurité qui s’appuiera sur le CRA ; aucun texte n’est publié. Un fabricant suisse qui vend dans l’UE applique donc le CRA dès maintenant.

Par où commencer : six étapes pour un fabricant

La mise en conformité au CRA commence par une question de périmètre et une évaluation des risques ; les essais et la documentation viennent ensuite, et le processus de gestion des vulnérabilités doit fonctionner dès maintenant pour le signalement.

1. Inventorier les produits vendus dans l’UE et vérifier le champ d’application (art. 2 et 3).
2. Déterminer la catégorie à partir de la fonctionnalité de base (art. 7, annexes III et IV, règlement d’exécution (UE) 2025/2392).
3. Réaliser l’évaluation des risques de cybersécurité (art. 13, par. 2 et 3), par exemple par une TARA ou selon l’IEC 62443-3-2.
4. Organiser la gestion des vulnérabilités et le signalement (annexe I, partie II, et art. 14) : point de contact, politique de divulgation coordonnée, SBOM, accès à la plateforme unique de signalement.
5. Combler les écarts techniques en s’appuyant sur des référentiels reconnus en attendant les normes harmonisées : ETSI EN 303 645 V3.1.3, IEC 62443-4-1 et 62443-4-2, EN 18031. Des tests d’intrusion ciblés permettent de vérifier l’efficacité des mesures.
6. Constituer la documentation technique et choisir la procédure d’évaluation de la conformité (art. 31 et 32).

Les lignes directrices C(2026) 5252 et leurs 67 exemples aident à trancher les cas limites ; elles ne sont pas contraignantes, seule la Cour de justice de l’UE donnant une interprétation qui fait autorité (point 8).

Vous ne savez pas encore dans quelle catégorie tombe votre produit, ni quel écart le sépare de l’annexe I ? Säfeli analyse le périmètre, mène avec vous l’évaluation des risques, réalise les essais, prépare la documentation technique et vous accompagne face à l’organisme notifié lorsque la procédure l’exige. Prenez contact pour un premier échange. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit.