Le Cyber Resilience Act entre en vigueur : ce que les fabricants doivent préparer

Une caméra connectée, un logiciel de comptabilité vendu en licence, un automate industriel, une application mobile livrée avec un objet : qu’ont-ils en commun ? À partir d’aujourd’hui, 10 décembre 2024, ils relèvent du même texte. Le Cyber Resilience Act, règlement (UE) 2024/2847 publié au Journal officiel le 20 novembre, entre en vigueur. Pour la première fois, l’Union européenne impose des exigences de cybersécurité horizontales à presque tous les « produits comportant des éléments numériques » mis sur son marché.

Le texte ne s’applique pas tout de suite dans son entier. Mais ses échéances sont proches pour qui conçoit un produit dont le cycle de développement se compte en années.

Trois dates à inscrire au planning

À partir du 11 septembre 2026, les fabricants devront signaler les vulnérabilités activement exploitées et les incidents graves affectant leurs produits. Cette obligation vaut pour les produits déjà sur le marché, pas seulement pour les nouveaux. Le 11 décembre 2027, l’ensemble des exigences essentielles s’appliquera, avec le marquage CE comme preuve de conformité.

Qui est concerné

Le règlement vise les fabricants, mais aussi les importateurs et les distributeurs, chacun avec ses obligations. Le périmètre est large : matériel et logiciel, dès lors que le produit est destiné à se connecter, directement ou indirectement, à un appareil ou à un réseau. Certains secteurs déjà couverts par des règles spécifiques en sont exclus, notamment les dispositifs médicaux, les véhicules et l’aéronautique. Les services purement en ligne (le logiciel en tant que service, sans produit livré) relèvent plutôt de la directive NIS 2.

Le texte distingue trois niveaux. La grande majorité des produits relève d’une autoévaluation par le fabricant. Les produits « importants » (classes I et II, listés en annexe : systèmes d’exploitation, gestionnaires de mots de passe, pare-feu, routeurs, entre autres) demandent, selon la classe, l’application de normes harmonisées ou l’intervention d’un organisme tiers. Les produits « critiques » peuvent être soumis à une certification européenne.

Le logiciel libre fait l’objet d’un traitement particulier : un projet développé hors de toute activité commerciale n’est pas visé, et les fondations qui soutiennent durablement des composants libres (les « intendants du logiciel libre ») ont des obligations allégées. En revanche, le fabricant qui intègre un composant libre dans un produit commercial en porte la responsabilité.

Ce que le texte demande concrètement

Les exigences essentielles tiennent en deux familles. Celles qui portent sur le produit : sécurité dès la conception, configuration sûre par défaut, absence de vulnérabilité exploitable connue à la mise sur le marché, protection des données, réduction de la surface d’attaque. Et celles qui portent sur le processus : gestion des vulnérabilités pendant toute la période de support, mises à jour de sécurité, divulgation coordonnée, documentation technique comprenant une nomenclature logicielle (SBOM).

La période de support doit correspondre à la durée d’utilisation attendue du produit, et au moins cinq ans sauf si cette durée est plus courte. C’est un changement de modèle économique autant que technique : le coût de la maintenance de sécurité devient une ligne du prix de revient.

Le signalement suit un rythme serré : une alerte précoce sous 24 heures, une notification sous 72 heures, un rapport final ensuite, adressés au CSIRT désigné comme coordinateur et à l’ENISA par une plateforme unique. Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial pour le non-respect des exigences essentielles.

Quatre chantiers à ouvrir dès 2025

• Inventorier les produits concernés et les classer (par défaut, important, critique), y compris les versions encore vendues.
• Produire une nomenclature logicielle pour chaque produit et organiser sa mise à jour à chaque livraison.
• Mettre en place, ou formaliser, un processus de réception et de traitement des vulnérabilités, avec une politique de divulgation publique.
• Chiffrer la période de support et l’inscrire dans les contrats et les prix.

Le troisième chantier est le plus urgent, puisque l’obligation de signalement arrive quinze mois avant le reste. Il suppose de savoir qui reçoit l’alerte, qui décide et qui signale, et de pouvoir le prouver ensuite. C’est exactement ce que notre produit Gouvernance sert à tracer, et ce que notre expertise cybersécurité et conformité aide à mettre en place, de l’inventaire au premier exercice de signalement.

1. Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques (règlement sur la cyberrésilience), Journal officiel de l’Union européenne, 20 novembre 2024.
2. ENISA, Agence de l’Union européenne pour la cybersécurité, rôle dans la plateforme unique de signalement prévue par le règlement.