Le règle­ment (UE) 2024/​2847 du 23 octobre 2024 sur la cyber­ré­si­lience (« Cyber Resilience Act », « CRA ») établit des règles rela­tives à la mise sur le marché de produits compor­tant des éléments numé­riques afin de garan­tir leur cyber­sé­cu­rité. Il fixe des exigences en la matière concer­nant leur concep­tion, leur déve­lop­pe­ment et leur produc­tion, ainsi que des obli­ga­tions à la charge des diffé­rents opéra­teurs écono­miques, prin­ci­pa­le­ment les fabri­cants (art. 13 ss CRA), mais égale­ment les impor­ta­teurs (art. 19 CRA) et les distri­bu­teurs (art. 20 CRA).

Le CRA sera prin­ci­pa­le­ment appli­cable à comp­ter du 11 décembre 2027 (art. 71 CRA). Mais certaines règles, en parti­cu­lier les obli­ga­tions de commu­ni­ca­tion d’informations incom­bant aux fabri­cants selon l’art. 14 CRA, s’appliqueront toute­fois dès le 11 septembre 2026.

Le 27 juillet 2026, la Commission euro­péenne a publié des lignes direc­trices et des orien­ta­tions pratiques, notam­ment à desti­na­tion des PME, qui précisent le champ d’application du règle­ment, la déter­mi­na­tion des périodes d’assistance, l’évaluation des risques ainsi que la noti­fi­ca­tion des vulné­ra­bi­li­tés et des inci­dents de cybersécurité.

Un champ d’application étendu

Le CRA s’applique aux « produits compor­tant des éléments numé­riques » mis à dispo­si­tion sur le marché de l’Union euro­péenne (UE) et dont l’utilisation prévue ou raison­na­ble­ment prévi­sible comprend une connexion directe ou indi­recte, logique ou physique, à un dispo­si­tif ou à un réseau (art. 2 par. 1 CRA). Cette notion recouvre un produit logi­ciel ou maté­riel et ses solu­tions de trai­te­ment de données à distance, y compris les compo­sants logi­ciels ou maté­riels mis sur le marché sépa­ré­ment (art. 3 chif. 1 CRA).

Le règle­ment couvre ainsi une gamme très éten­due de produits imma­té­riels (logi­ciels auto­nomes, appli­ca­tions, systèmes d’exploitation, anti­vi­rus, etc.) et maté­riels (objets connec­tés, machines indus­trielles, smart­phones, appa­reils élec­tro­mé­na­gers, etc.). Il a égale­ment une portée extra­ter­ri­to­riale, puisqu’il peut s’appliquer aux fabri­cants établis hors de l’UE qui commer­cia­lisent des produits au sein d’un ou plusieurs États membres.

Certains produits, rele­vant par exemple d’une régle­men­ta­tion parti­cu­lière de l’UE, sont cepen­dant exclus du dispo­si­tif. C’est notam­ment le cas des dispo­si­tifs médi­caux, des véhi­cules à moteur, de certains produits de l’aviation civile, des équi­pe­ments marins, de certaines pièces de rechange, ainsi que de certains produits déve­lop­pés ou modi­fiés exclu­si­ve­ment à des fins de sécu­rité natio­nale ou de défense et de ceux conçus pour trai­ter des infor­ma­tions clas­si­fiées (art. 2 par. 2 à 7 CRA).

Principales obli­ga­tions du fabricant

Le fabri­cant doit s’assurer que le produit satis­fait aux exigences essen­tielles de cyber­sé­cu­rité visées à l’annexe I, partie I, CRA et mettre en place des proces­sus de gestion des vulné­ra­bi­li­tés conformes à l’annexe I, partie II CRA (art. 6 et art. 13 par. 1 CRA). Le produit doit ainsi être conçu, déve­loppé et fabri­qué selon un niveau de cyber­sé­cu­rité adapté aux risques. Le fabri­cant procède notam­ment à une évalua­tion des risques avant la mise sur le marché, écarte les vulné­ra­bi­li­tés exploi­tables connues, prévoit une confi­gu­ra­tion sécu­ri­sée par défaut, des mises à jour régu­lières et des méca­nismes appro­priés de contrôle d’accès. Il doit égale­ment garan­tir la mini­mi­sa­tion, la dispo­ni­bi­lité, l’intégrité et la confi­den­tia­lité des données stockées.

L’évaluation des risques est docu­men­tée, actua­li­sée et inté­grée à la docu­men­ta­tion tech­nique (art. 13 par. 2 et 3, art. 31 CRA). Avant la mise sur le marché, le fabri­cant applique la procé­dure d’évaluation de la confor­mité appro­priée, établit la décla­ra­tion UE de confor­mité et appose le marquage CE (art. 13 par. 12, art. 27 ss CRA).

Le CRA prévoit égale­ment des obli­ga­tions renfor­cées pour certains produits parti­cu­liè­re­ment expo­sés, dits « impor­tants » ou « critiques ». Les produits « impor­tants » de l’annexe III CRA (e.g. : systèmes de gestion des iden­ti­tés et des accès, navi­ga­teurs, gestion­naires de mots de passe, VPN, systèmes d’exploitation, jouets connec­tés, produits domo­tiques, etc.) sont ainsi soumis à des exigences et procé­dures spéci­fiques. Certains produits « critiques » de l’annexe IV CRA (e.g. dispo­si­tifs maté­riels avec boîtier de sécu­rité, passe­relles pour comp­teur intel­li­gent, cartes à puces, etc.) devront obte­nir un certi­fi­cat euro­péen de cyber­sé­cu­rité au niveau d’assurance au moins « substantiel ».

Les obli­ga­tions se prolongent après la commer­cia­li­sa­tion du produit. Pendant la période d’assistance, fixée en fonc­tion de la durée d’utilisation du produit, et en prin­cipe pour une durée d’au moins cinq ans, le fabri­cant recense, docu­mente, traite et corrige sans retard les vulné­ra­bi­li­tés, teste régu­liè­re­ment le produit et orga­nise leur divul­ga­tion coor­don­née. Il accom­pagne le produit des infor­ma­tions et instruc­tions prévues à l’annexe II CRA, désigne un point de contact unique et main­tient des procé­dures internes assu­rant la confor­mité. Il coopère enfin avec les auto­ri­tés de surveillance et prend, si néces­saire, les mesures correc­tives, de retrait ou de rappel.

Notification des vulné­ra­bi­li­tés et des inci­dents graves

Le fabri­cant noti­fie les vulné­ra­bi­li­tés ou inci­dents graves dont il prend connais­sance au centre de réponse aux inci­dents de sécu­rité infor­ma­tique (« CSIRT ») dési­gné comme coor­di­na­teur natio­nal et à l’Agence euro­péenne pour la cyber­sé­cu­rité (« ENISA »), par l’intermédiaire de la plate­forme unique de signa­le­ment (art. 14 par. 1 et 3 CRA). Une alerte précoce inter­vient au plus tard dans les 24 heures suivant la prise de connais­sance de la vulné­ra­bi­lité, la noti­fi­ca­tion complète dans les 72 heures, puis le rapport final au plus tard 14 jours après la mise à dispo­si­tion d’une mesure de correc­tion ou d’atténuation (art. 14 par. 2 et 4 CRA).

Ces obli­ga­tions seront appli­cables dès le 11 septembre 2026 à tous les produits compor­tant des éléments numé­riques rele­vant du champ d’application du CRA, y compris ceux mis sur le marché avant le 11 décembre 2027 (art. 69 par. 3 CRA).

Importateurs et distributeurs

L’importateur ne met sur le marché que des produits conformes aux exigences essen­tielles et véri­fie notam­ment que le fabri­cant a réalisé l’évaluation de la confor­mité, établi la docu­men­ta­tion tech­nique et la décla­ra­tion UE de confor­mité, apposé le marquage CE et fourni les infor­ma­tions requises. Le distri­bu­teur est soumis à une obli­ga­tion géné­rale de dili­gence. Il contrôle la confor­mité avant la mise à dispo­si­tion, s’abstient de commer­cia­li­ser un produit non conforme et veille ensuite aux mesures de mise en confor­mité, de retrait ou de rappel. Les impor­ta­teurs et les distri­bu­teurs doivent égale­ment signa­ler les risques ou vulné­ra­bi­li­tés perti­nents et coopé­rer avec les auto­ri­tés (art. 19 et art. 20 CRA).

Sanctions

Les États membres devront préci­ser le régime des sanc­tions. Le non-respect des exigences essen­tielles de cyber­sé­cu­rité visées à l’annexe I CRA ou des prin­ci­pales obli­ga­tions des fabri­cants peut toute­fois entraî­ner une amende allant jusqu’à EUR 15’000’000.- ou, pour une entre­prise, 2,5 % de son chiffre d’affaires annuel mondial total de l’exercice précé­dent, le montant le plus élevé étant retenu (art. 64 par. 2 CRA).

Pour les autres obli­ga­tions, notam­ment celles des impor­ta­teurs et des distri­bu­teurs, ainsi que certaines obli­ga­tions en matière de proces­sus de certi­fi­ca­tion CE, le plafond est fixé à EUR 10’000’000.- ou à 2 % du chiffre d’affaires (art. 64 par. 3 CRA).

Enfin, la four­ni­ture d’informations inexactes, incom­plètes ou trom­peuses peut être sanc­tion­née jusqu’à EUR 5’000’000.- ou 1 % du chiffre d’affaires annuel mondial total (art. 64 par. 4 CRA).

Et en Suisse ?

À ce jour, la Suisse ne dispose pas d’une légis­la­tion compa­rable au CRA en matière de cyber­ré­si­lience des produits. Le 20 août 2025, le Conseil fédé­ral a toute­fois chargé le DDPS, en colla­bo­ra­tion avec le DETEC et le DEFR, de prépa­rer un projet légis­la­tif destiné à être mis en consul­ta­tion. Un projet de loi est attendu à l’automne 2026. Dans l’intervalle, des exigences de cyber­sé­cu­rité peuvent notam­ment, selon les cas, décou­ler indi­rec­te­ment des règles suisses rela­tives à la protec­tion des données person­nelles (LPD, OPDo et OCPD), à la sécu­rité de l’information (LSI et OSI) ou à certains produits, notam­ment dans le domaine des télé­com­mu­ni­ca­tions (LTC et OIT).

L’absence de régle­men­ta­tion suisse équi­va­lente ne signi­fie toute­fois pas que les entre­prises suisses échappent au CRA. Celui-ci s’applique égale­ment aux entre­prises établies hors de l’UE lorsqu’elles y commer­cia­lisent des produits numé­riques. Une entre­prise suisse qui vend un logi­ciel ou un appa­reil connecté sur le terri­toire d’un état membre peut donc être concer­née. Si c’est le cas, elle doit être en mesure de noti­fier les vulné­ra­bi­li­tés et les inci­dents graves dès le 11 septembre 2026. Elle doit égale­ment prépa­rer la mise en confor­mité de ses produits avec les exigences de cyber­sé­cu­rité néces­saires à l’apposition du marquage CE d’ici au 11 décembre 2027.