Cyber Resilience Act: ce qui s’applique depuis le 11 septembre 2026, et ce qui arrive en 2027

Le Cyber Resilience Act n’est plus un texte à venir. Depuis le 11 septembre 2026, une première obligation s’impose à tous les fabricants de produits connectés vendus en Europe. La suivante, de loin la plus lourde, arrive dans treize mois.

Cet article remplace notre premier guide publié en février 2026. Il fait le point sur ce qui est exigible aujourd’hui, sur ce qui le sera le 11 décembre 2027, et sur ce qu’une équipe produit IoT ou embarqué doit engager dès maintenant.

Un règlement, trois dates

Date	Ce qui s’applique
10 décembre 2024	Entrée en vigueur du règlement (UE) 2024/2847
11 juin 2026	Dispositions sur la notification des organismes d’évaluation de la conformité
11 septembre 2026	Obligations de signalement des vulnérabilités activement exploitées et des incidents graves (article 14)
11 décembre 2027	Application complète: exigences essentielles, évaluation de conformité, marquage CE

Le CRA concerne les « produits comportant des éléments numériques » mis sur le marché européen: objets connectés, équipements industriels, logiciels, composants. Certains secteurs déjà couverts par une réglementation spécifique en sont exclus, notamment les dispositifs médicaux, l’automobile et l’aéronautique.

Ce qui est exigible depuis le 11 septembre 2026

Une seule obligation, mais elle ne laisse aucune période de transition.

Un fabricant qui a connaissance d’une vulnérabilité activement exploitée dans l’un de ses produits, ou d’un incident grave affectant sa sécurité, doit le signaler selon trois échéances:

1. Sous 24 heures: une alerte précoce.
2. Sous 72 heures: une notification complétée, avec les premières mesures prises.
3. Un rapport final: au plus tard 14 jours après la mise à disposition d’un correctif pour une vulnérabilité, et sous un mois pour un incident grave.

Le signalement se fait sur la plateforme unique opérée par l’ENISA, ouverte le 11 septembre 2026. Il est transmis au CSIRT national coordinateur, le CERT-FR pour un fabricant établi en France.

Le point que beaucoup ont manqué

Cette obligation vaut aussi pour les produits déjà sur le marché, y compris ceux qui ne seront jamais mis en conformité avec le reste du règlement. Un équipement vendu en 2019 et toujours en service chez vos clients est concerné.

Ce que cela suppose en pratique

Signaler en 24 heures demande d’avoir préparé le terrain:

• un point d’entrée public pour recevoir les signalements de chercheurs et de clients
• un inventaire des produits en service, avec leurs versions de firmware et leurs composants
• une personne et un suppléant habilités à déclarer sur la plateforme
• une procédure qui dit qui qualifie l’exploitation « active » et qui décide de notifier.

L’attaque contre les régulateurs frigorifiques Danfoss en octobre 2026 illustre exactement le type de situation visé: des équipements d’ancienne génération, des vulnérabilités connues, une exploitation à grande échelle.

Ce qui arrive le 11 décembre 2027

À cette date, un produit ne pourra plus être mis sur le marché européen sans respecter l’ensemble du règlement.

Les exigences essentielles (Annexe I, partie I)

Le produit doit notamment:

• être mis sur le marché sans vulnérabilité exploitable connue
• être livré avec une configuration sûre par défaut
• protéger l’accès par une authentification adaptée
• garantir la confidentialité et l’intégrité des données et des commandes
• limiter sa surface d’attaque, interfaces externes comprises
• pouvoir recevoir des mises à jour de sécurité.

Sur un produit embarqué, ces lignes se traduisent très concrètement. Un mot de passe d’usine commun à tout le parc, un port UART resté actif en production ou une clé en dur dans le firmware sont autant de non-conformités.

La gestion des vulnérabilités (Annexe I, partie II)

Le fabricant doit:

• tenir une nomenclature logicielle (SBOM) de son produit
• corriger les vulnérabilités sans délai et diffuser les correctifs gratuitement
• tester régulièrement la sécurité du produit
• mettre en place une politique de divulgation coordonnée
• assurer ce suivi pendant toute la période de support, d’au moins cinq ans sauf durée d’utilisation prévue plus courte.

L’évaluation de conformité

La majorité des produits relèvent d’une auto-évaluation par le fabricant. Les produits classés « importants » ou « critiques » (annexes III et IV du règlement) sont soumis à des procédures plus exigeantes, qui peuvent faire intervenir un organisme tiers.

Les sanctions

Le non-respect des exigences essentielles expose à une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial. Les autorités de surveillance du marché peuvent aussi exiger le retrait du produit.

Treize mois: par où commencer

Un cycle de conception matérielle dure souvent plus d’un an. Pour un produit qui doit sortir en 2028, les décisions se prennent maintenant.

1. Déterminer si vos produits sont concernés, et dans quelle classe.
2. Mesurer l’écart. Confronter un produit existant aux exigences de l’Annexe I, de préférence par un test de sécurité plutôt que par une revue documentaire.
3. Construire la SBOM, y compris pour les composants livrés sous forme binaire par vos fournisseurs.
4. Organiser la gestion des vulnérabilités: point de contact, procédure, capacité à produire et distribuer un correctif.
5. Fixer la période de support de chaque produit et l’intégrer dans le modèle économique.
6. Former les équipes de conception. Les exigences du CRA ne se satisfont pas en fin de projet. Elles se décident à l’architecture.

Où la formation joue un rôle

Aucune formation ne rend un produit conforme. La conformité se construit par des choix de conception, des tests et une organisation.

En revanche, une exigence comme « limiter la surface d’attaque » ou « protéger l’intégrité des mises à jour » reste abstraite tant que l’on n’a pas vu ce qu’un attaquant fait d’une interface de debug ou d’un firmware non signé. C’est l’objet du parcours CRA de DVID: 22 modules qui reprennent les exigences de l’Annexe I, chacune illustrée par une démonstration sur du vrai matériel. Le programme est détaillé dans nos programmes de formation.

Pour les équipes qui réalisent les tests de sécurité exigés par le règlement, notre nouveau parcours de certification permet de valider les compétences des personnes qui conçoivent, achètent et auditent.

Questions fréquentes

Le CRA est-il déjà en vigueur?

Oui, depuis le 10 décembre 2024. Son application est progressive: signalement depuis le 11 septembre 2026, application complète le 11 décembre 2027.

Mon produit a été mis sur le marché avant 2027. Suis-je concerné?

Par les obligations de signalement, oui, dès aujourd’hui. Par les exigences essentielles, seulement si le produit fait l’objet d’une modification substantielle après le 11 décembre 2027.

Quelle différence avec la directive RED et la norme EN 18031?

Les exigences de cybersécurité de la directive RED s’appliquent aux équipements radio depuis le 1er août 2025, avec la série de normes EN 18031 comme référence. Le CRA a un champ plus large, puisqu’il couvre tous les produits comportant des éléments numériques, et ajoute des obligations sur tout le cycle de vie. Le volet cybersécurité de la RED sera abrogé le 11 décembre 2027, quand le CRA s’appliquera en entier. Voir Directive RED et EN 18031.

Qui dois-je notifier en France?

Le signalement se fait sur la plateforme unique de l’ENISA, qui le transmet au CERT-FR.

Aller plus loin

Nous contacter: https://dvid.eu/fr#contact
Accéder à la plateforme: https://experience.dvid.eu
Suivre notre actualité: https://www.linkedin.com/company/dvid/

Sources

• Règlement (UE) 2024/2847 du 23 octobre 2024: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• ENISA, plateforme unique de signalement (Single Reporting Platform): https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp