Cyber Resilience Act (CRA)
CRA · règlement sur la cyberrésilience · règlement (UE) 2024/2847 · produits comportant des éléments numériques · marquage CE
Règlement européen qui impose des exigences de cybersécurité à tous les produits matériels et logiciels comportant des éléments numériques vendus dans l’UE, de leur conception à la fin de leur support.
En pratique
Entré en vigueur le 10 décembre 2024, le CRA s’applique par étapes. Depuis le 11 septembre 2026, les fabricants doivent signaler via la plateforme unique de l’ENISA les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d’un correctif (un mois pour un incident). À partir du 11 décembre 2027, toutes les obligations s’appliquent, avec marquage CE : produits sans vulnérabilité exploitable connue, sécurisés par défaut, mis à jour pendant toute la période de support, documentés par un SBOM. Les services SaaS purs relèvent en principe de NIS2, pas du CRA. Les amendes peuvent atteindre 15 M€ ou 2,5 % du chiffre d’affaires mondial.
Cas fictif : un fabricant français de caméras connectées apprend, le 20 septembre 2026, qu’une faille de son micrologiciel sert à enrôler ses caméras dans un réseau de machines zombies (botnet). Il envoie une alerte précoce dans les 24 heures via la plateforme de l’ENISA, une notification complète sous 72 heures, puis son rapport final dans les 14 jours suivant la publication du correctif.
