Cyber Resilience Act : ce qui change pour les PME au 11 septembre 2026

Depuis le 11 septembre 2026, les premières obligations du Cyber Resilience Act (CRA, ou règlement européen sur la cyberrésilience) s'appliquent : tout fournisseur d'un produit comportant des éléments numériques doit signaler sous 24 heures les vulnérabilités activement exploitées et les incidents graves affectant son produit. Le reste du texte entrera en application le 11 décembre 2027. Voici ce que cela implique concrètement pour une PME.

Le Cyber Resilience Act en une phrase

Le CRA (règlement UE 2024/2847) impose des exigences de cybersécurité à tous les produits comportant des éléments numériques mis sur le marché européen, du logiciel professionnel à l'objet connecté en passant par les automates industriels. L'approche est volontairement large : elle couvre aussi bien les éditeurs que les fabricants de matériel, avec quelques exceptions pour les catégories déjà encadrées par d'autres textes (dispositifs médicaux, automobile, aviation).

Votre entreprise est-elle concernée ?

Le critère est celui du produit mis sur le marché, pas de la taille de l'entreprise. Vous êtes très probablement concerné si :

• vous éditez un logiciel vendu ou distribué dans l'Union européenne ;
• vous fabriquez ou assemblez du matériel embarquant un micrologiciel (objets connectés, capteurs, équipements réseau) ;
• vous intégrez des composants tiers dans un produit que vous commercialisez sous votre marque.

À l'inverse, le CRA vise les produits, pas les prestations : une activité de conseil, d'infogérance ou de développement sur mesure relève en principe de la fourniture de services. Attention toutefois au traitement de données à distance lorsqu'il est indispensable au fonctionnement d'un produit : il entre, lui, dans le champ du règlement.

Ce qui s'applique depuis le 11 septembre 2026 : signaler en 24 h

La première brique du CRA est l'obligation de signalement. Le critère déclencheur est précis : la vulnérabilité doit être activement exploitée par des acteurs malveillants. Une faille qui vous est remontée en privé, par exemple via un programme de bug bounty, n'a pas à être signalée. En revanche, dès que vous avez connaissance d'une exploitation, le compte à rebours démarre :

1. 24 heures — alerte précoce auprès de l'autorité compétente, à compter du moment où l'exploitation est découverte.
2. 72 heures — compte rendu détaillé : produit affecté, portée de la vulnérabilité, disponibilité ou non d'un correctif.
3. Rapport final — une fois la mesure corrective disponible et diffusée.

Pour centraliser ces signalements, l'ENISA déploie une plateforme unique : le fournisseur y sélectionne l'organisme national chargé de réceptionner et d'évaluer son signalement. En France, c'est le CERT-FR de l'ANSSI. À ce stade, la saisie se fait manuellement : la plateforme ne propose pas encore d'API, ce qui suppose d'avoir identifié à l'avance qui, chez vous, sait s'y connecter et remplir le formulaire un dimanche soir.

Ce qui arrive au 11 décembre 2027

L'essentiel des obligations entre en application fin 2027. Elles supposent un travail de fond à engager dès maintenant :

• réaliser une évaluation des risques de cybersécurité du produit, et la documenter ;
• mettre en place une procédure de gestion des vulnérabilités (réception, qualification, correction, diffusion) ;
• fournir des mises à jour de sécurité pendant toute la durée de support du produit — sa durée de vie attendue, avec cinq ans comme référence usuelle ;
• ne plus commercialiser de produit comportant une vulnérabilité connue et non corrigée.

Les sanctions et l'autorité compétente

Le règlement prévoit des sanctions pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. En France, l'ANSSI est l'autorité chargée de la mise en œuvre et de l'application du texte. L'échéance de 2027 laisse le temps de s'organiser : le sujet relève de la feuille de route produit, pas de l'urgence.

Pas fabricant ? Le CRA arrivera quand même par vos clients

C'est l'effet le plus large du texte, et le plus sous-estimé par les PME. Le CRA impose aux fabricants une obligation de diligence raisonnable sur les composants tiers qu'ils intègrent. En pratique, cette charge se répercute sur toute la chaîne, sous forme de :

• questionnaires de conformité envoyés par vos clients grands comptes ;
• demandes d'attestations et de preuves documentées ;
• demandes de SBOM (Software Bill of Materials), la nomenclature des composants de votre logiciel ;
• engagements de niveau de service (SLA) sur les délais de correction.

Autrement dit : même hors du champ direct du règlement, vous en ressentirez les effets dès qu'un client soumis au CRA vous évaluera comme maillon de sa chaîne d'approvisionnement. Mieux vaut préparer ces réponses avant de les recevoir.

Logiciel libre : ce que dit la version finale

Les premières versions du texte avaient inquiété l'écosystème open source. La version finale apporte plusieurs clarifications utiles : le financement d'un projet par des entreprises, les contributions ou l'acceptation de dons sans but lucratif ne suffisent pas à en faire une activité commerciale. Les ESN qui développent du logiciel libre sont considérées comme des prestataires de services, et non comme des fabricants, sauf cas particuliers. Les fondations bénéficient enfin d'un statut allégé d'« intendant de logiciel libre » (open source software steward), dont les obligations de signalement ne s'appliqueront qu'à la fin 2027.

Par où commencer

1. Recenser vos produits et leurs composants tiers. On ne surveille que ce que l'on a inventorié : c'est le point de départ d'un SBOM.
2. Désigner un responsable du signalement et un suppléant, avec un accès déjà créé à la plateforme ENISA. Vingt-quatre heures, week-end compris, ce n'est pas le moment de chercher qui a le mot de passe.
3. Écrire la procédure en une page : qui alerte, qui décide, qui rédige, dans quels délais.
4. Préparer votre dossier de preuves pour les questionnaires clients, avant la première demande.

Le maillon humain : détecter tôt, remonter vite

Soyons précis : le CRA n'impose pas de formation de sensibilisation en tant que telle. Mais un délai de 24 heures ne tient que si l'information remonte en interne en quelques heures. Le signal de départ vient souvent d'un collaborateur — un support qui reçoit un signalement inhabituel, un développeur qui repère un comportement anormal, un commercial alerté par un client. Encore faut-il que chacun sache reconnaître le signal et à qui l'adresser sans attendre la certitude.

CyberNinja forme vos équipes à ces réflexes avec des modules courts en français — chaîne d'approvisionnement, réaction aux incidents, conformité — et génère des attestations horodatées et vérifiables : exactement le type de preuve que réclament les questionnaires de conformité de vos clients.

Pour replacer le sujet dans l'ensemble de vos obligations, notre guide complet de la sensibilisation cyber en PME fait le tour de ce qui est attendu d'une entreprise française.