Cyber Resilience Act (CRA)
Le Cyber Resilience Act impose la cybersécurité aux produits numériques vendus dans l'UE : sécurité dès la conception, SBOM, correctifs gratuits, marquage CE.
Le Cyber Resilience Act, règlement européen 2024/2847, impose des exigences de cybersécurité à tous les "produits comportant des éléments numériques" mis sur le marché de l'Union : logiciels, objets connectés, composants, qu'ils soient européens ou non. C'est un changement de paradigme : la sécurité cesse d'être un argument commercial pour devenir une condition d'accès au marché, matérialisée par le marquage CE, comme la sécurité électrique avant elle.
Concrètement, les fabricants doivent concevoir leurs produits de façon sécurisée, livrer sans vulnérabilité connue exploitable, établir et maintenir une SBOM, fournir des correctifs de sécurité gratuits pendant la durée de support, et notifier les vulnérabilités activement exploitées sous 24 heures. Le calendrier est progressif : entré en vigueur fin 2024, le règlement rend l'obligation de notification applicable dès septembre 2026 et l'essentiel des exigences en décembre 2027.
Notre page pilier sur le Cyber Resilience Act détaille qui est concerné, les catégories de produits critiques et le chemin de mise en conformité, dans lequel l'analyse de composition logicielle, la SCA, joue un rôle central.
Qui est fabricant au sens du règlement
Le mot piège. Est fabricant celui qui développe un produit comportant des éléments numériques et le met sur le marché sous son nom ou sa marque, qu'il s'agisse d'un objet connecté, d'un logiciel sur étagère ou d'une application distribuée gratuitement dans un cadre commercial. Un éditeur de SaaS pur n'est pas concerné pour son service, mais le devient pour les composants logiciels qu'il distribue à ses clients. Un intégrateur qui rebadge le produit d'un tiers endosse les obligations du fabricant. Le développement open source hors activité commerciale reste hors périmètre, avec un statut allégé pour les entités qui soutiennent financièrement des projets.
Le chantier réel : la gestion des vulnérabilités
L'exigence la plus structurante n'est pas le marquage CE, c'est le processus qui doit tourner derrière pendant toute la période de support. Identifier et documenter les composants et leurs vulnérabilités, corriger sans délai, distribuer les correctifs gratuitement et séparément des évolutions fonctionnelles, notifier toute vulnérabilité activement exploitée sous 24 heures. Cela suppose un canal de signalement public, une politique de divulgation coordonnée, et une SBOM tenue à jour au fil des builds. Autrement dit un fonctionnement d'éditeur, à installer avant l'échéance de décembre 2027 et non à improviser le jour du premier signalement.
Questions fréquentes
Le CRA s'applique-t-il aux logiciels open source ?
Pas au développement mené hors activité commerciale. Les obligations visent la mise sur le marché dans un cadre commercial. Un statut intermédiaire, aux exigences allégées, existe pour les entités qui soutiennent financièrement des projets open source.
Le CRA concerne-t-il les entreprises hors Union européenne ?
Oui, dès lors que le produit est mis sur le marché de l'Union. La règle est celle de l'accès au marché, pas celle du siège social, exactement comme pour le marquage CE en général.
Que se passe-t-il en décembre 2027 ?
L'essentiel des exigences produit devient applicable : un produit comportant des éléments numériques mis sur le marché après cette date doit satisfaire les exigences essentielles et porter le marquage CE. Les obligations de notification, elles, s'appliquent dès septembre 2026.