Cyber Resilience Act (CRA) : obligations, calendrier et sanctions

Dossier tenu à jour. Dernière mise à jour le 31 octobre 2026. Prochaine revue le 11 décembre 2026. Temps de lecture : 16 minutes.

Dossier Régulation

Sommaire

1. Calendrier d’application
2. Quels produits sont concernés ?
3. Produits importants et critiques
4. Obligations du fabricant
5. Importateurs, distributeurs et autres opérateurs
6. Logiciel libre et intendants
7. Marquage CE, normes et organismes notifiés
8. Sanctions et autorités en France
9. Nos analyses sur ce texte
10. Ce que nous ne savons pas encore
11. Questions fréquentes
12. Historique des mises à jour
13. Textes et sources officielles

Calendrier d’application

• 20 novembre 2024 Publication du règlement au Journal officiel de l’Union européenne.
• 10 décembre 2024 Entrée en vigueur (article 71, paragraphe 1).
• 3 avril 2025 Le CEN, le Cenelec et l’ETSI acceptent la demande de normalisation de la Commission pour le CRA (M/606).
• 1^er décembre 2025 Publication du règlement d’exécution (UE) 2025/2392, qui décrit techniquement les catégories de produits importants et critiques (annexes III et IV).
• 11 juin 2026 Application du chapitre IV : notification des organismes d’évaluation de la conformité (article 71, paragraphe 2).
• 27 juillet 2026 La Commission publie des orientations non contraignantes sur l’application du règlement.
• 11 septembre 2026 Obligations de signalement de l’article 14, y compris pour les produits déjà sur le marché ; plateforme unique de signalement de l’ENISA. Notre analyse.
• 11 décembre 2026 Les États membres s’efforcent de disposer d’organismes notifiés en nombre suffisant (article 35, paragraphe 2).
• 26 mars 2027 Application des modifications apportées au CRA par le règlement (UE) 2025/327 sur l’espace européen des données de santé.
• 11 décembre 2027 Application générale : exigences essentielles, obligations des opérateurs, évaluation de la conformité, marquage CE, surveillance du marché et sanctions.
• 11 juin 2028 Fin de validité, sauf expiration antérieure, des certificats d’examen UE de type et des décisions d’approbation délivrés au titre d’autres textes pour les exigences de cybersécurité (article 69, paragraphe 1).
• 11 décembre 2030 Premier rapport d’évaluation de la Commission, puis tous les quatre ans (article 70, paragraphe 1).

Quels produits sont concernés ?

Tout produit comportant des éléments numériques, matériel ou logiciel, « dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau » (article 2, paragraphe 1).

Le produit inclut ses solutions de traitement de données à distance : le traitement à distance dont le logiciel est conçu et développé par le fabricant ou sous sa responsabilité, et sans lequel le produit ne pourrait pas exécuter l’une de ses fonctions (article 3, points 1 et 2). Le considérant 11 cite l’exemple d’une application mobile qui interroge une API ou une base de données fournie par un service du fabricant : ce service entre dans le champ. Un service SaaS qui n’est la solution de traitement à distance d’aucun produit n’est pas visé ; il relève, le cas échéant, de la directive NIS2 (considérant 12).

Le règlement exclut les produits déjà couverts par des règles sectorielles : dispositifs médicaux et de diagnostic in vitro, véhicules soumis à réception par type, produits aéronautiques certifiés, équipements marins (article 2, paragraphes 2 à 4). La Commission peut en exclure d’autres par acte délégué. Elle l’a fait pour les produits relevant du règlement (UE) n^o 168/2013 sur les véhicules de catégorie L (deux ou trois roues et quadricycles), à l’exception des véhicules à pédalage de la catégorie L1e visés à l’article 3, point 94, b, de ce règlement (règlement délégué (UE) 2025/1535 du 29 juillet 2025, publié le 29 octobre 2025). Sont aussi exclus les pièces de rechange fabriquées selon les mêmes spécifications que les composants remplacés, et les produits développés exclusivement pour la sécurité nationale ou la défense (paragraphes 6 et 7).

Le règlement s’applique aux produits mis à disposition sur le marché dans le cadre d’une activité commerciale, à titre onéreux ou gratuit (article 3, point 22), quel que soit le pays d’établissement du fabricant. À la différence de NIS2, il vise les produits et non les organisations qui les utilisent. Un fabricant établi hors de l’Union passe par un importateur et peut désigner un mandataire (article 18).

Un logiciel inachevé peut être mis à disposition sans être conforme, pour une durée limitée et à des fins d’essai, s’il porte une mention visible de sa non-conformité (article 4, paragraphe 3).

Produits importants et critiques

La plupart des produits relèvent de la catégorie par défaut. Le règlement en distingue d’autres selon leur fonctionnalité de base : intégrer un produit de l’annexe III ne fait pas, à lui seul, changer de catégorie le produit qui l’intègre (article 7, paragraphe 1). Le règlement d’exécution 2025/2392 précise la description technique de chaque catégorie.

Produits importants de classe I (annexe III, 19 catégories), notamment : systèmes de gestion des identités et des accès privilégiés, navigateurs, gestionnaires de mots de passe, logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants, produits avec fonction de réseau privé virtuel, systèmes de gestion de réseau, systèmes de gestion des informations et des événements de sécurité (SIEM), gestionnaires de démarrage, infrastructures à clé publique, interfaces réseau, systèmes d’exploitation, routeurs, modems et commutateurs, microprocesseurs, microcontrôleurs, ASIC et FPGA dotés de fonctionnalités liées à la sécurité, assistants virtuels et produits de sécurité pour la maison intelligente, jouets connectés dotés de fonctions d’interaction sociale ou de localisation, produits portables de surveillance de la santé hors dispositifs médicaux, et produits portables destinés aux enfants.

Produits importants de classe II (annexe III, 4 catégories) : hyperviseurs et systèmes d’exécution de conteneurs, pare-feu et systèmes de détection ou de prévention des intrusions, microprocesseurs et microcontrôleurs résistants aux manipulations.

Produits critiques (annexe IV, 3 catégories) : dispositifs matériels avec boîtier de sécurité, passerelles pour compteurs intelligents et autres dispositifs de sécurité avancée, cartes à puce et éléments sécurisés.

Catégorie	Évaluation de la conformité (article 32)
Par défaut	Au choix : contrôle interne (module A), examen UE de type suivi de la conformité au type (modules B et C), assurance complète de la qualité (module H) ou, lorsqu’il existe, schéma européen de certification désigné en vertu de l’article 27, paragraphe 9
Classe I	Contrôle interne seulement si le fabricant applique intégralement des normes harmonisées, des spécifications communes ou un schéma européen de certification d’au moins niveau « substantiel » ; sinon, modules B et C ou module H
Classe II	Modules B et C, module H ou, lorsqu’il existe, schéma européen de certification désigné d’au moins niveau « substantiel » (aucun désigné au 31 octobre 2026)
Critiques	Certification européenne si un acte délégué l’impose (article 8, paragraphe 1) ; à défaut, procédures de la classe II

En pratique, tant qu’aucun schéma de certification n’est désigné, un produit de classe II passe par un organisme notifié. Un logiciel libre et ouvert de l’annexe III peut suivre le contrôle interne si sa documentation technique est rendue publique (article 32, paragraphe 5). Les redevances d’évaluation tiennent compte des intérêts des microentreprises et des petites et moyennes entreprises et sont réduites proportionnellement (paragraphe 6).

Obligations du fabricant

Le fabricant évalue les risques de cybersécurité du produit, documente cette évaluation et la tient à jour pendant la période d’assistance (article 13, paragraphes 2 et 3). Il conçoit, développe et produit le produit conformément aux exigences essentielles de l’annexe I, en deux parties.

La partie I porte sur le produit. Selon l’analyse des risques, il doit notamment être mis sur le marché sans vulnérabilité exploitable connue, avec une configuration sécurisée par défaut, pouvoir être corrigé par des mises à jour de sécurité, le cas échéant automatiques et activées par défaut, que l’utilisateur peut désactiver ou différer temporairement, protéger contre les accès non autorisés, protéger la confidentialité et l’intégrité des données, ne traiter que les données nécessaires, limiter sa surface d’attaque et les effets d’un incident, journaliser les activités internes pertinentes et permettre la suppression sûre des données et paramètres.

La partie II porte sur la gestion des vulnérabilités. Le fabricant doit :

• établir une nomenclature des logiciels (SBOM) « dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur » ;
• corriger les vulnérabilités sans retard, et fournir lorsque c’est techniquement possible les mises à jour de sécurité séparément des mises à jour de fonctionnalités ;
• tester régulièrement la sécurité du produit et publier les vulnérabilités corrigées, sauf report justifié ;
• adopter une politique de divulgation coordonnée des vulnérabilités et indiquer une adresse de contact ;
• diffuser les correctifs de sécurité sans retard et gratuitement, sauf accord contraire pour un produit sur mesure destiné à un utilisateur professionnel.

La période d’assistance correspond à la durée d’utilisation attendue du produit : elle « est d’au moins cinq ans. Lorsque le produit comportant des éléments numériques est censé pouvoir être utilisé pendant moins de cinq ans, la période d’assistance correspond à la durée d’utilisation prévue » (article 13, paragraphe 8). La Commission peut fixer par acte délégué des durées minimales pour certaines catégories. Chaque mise à jour de sécurité diffusée pendant la période d’assistance reste disponible au moins dix ans après sa diffusion, ou jusqu’à la fin de la période d’assistance si celle-ci est plus longue (paragraphe 9). La date de fin de la période d’assistance est indiquée, au moins le mois et l’année, au moment de l’achat, et l’utilisateur est averti de cette fin lorsque c’est techniquement possible (paragraphe 19).

Pour un logiciel, le fabricant qui met sur le marché des versions ultérieures substantiellement modifiées peut ne corriger les vulnérabilités que dans la dernière version, si les utilisateurs des versions antérieures y ont accès gratuitement et sans coût supplémentaire de matériel ou de logiciel (article 13, paragraphe 10).

Le fabricant exerce une diligence raisonnable sur les composants de tiers, y compris libres. Il signale au mainteneur d’un composant la vulnérabilité qu’il y découvre, y remédie et lui transmet le correctif qu’il a développé (paragraphes 5 et 6). Il établit la documentation technique, réalise ou fait réaliser l’évaluation de la conformité, rédige la déclaration UE de conformité, appose le marquage CE et conserve ces documents au moins dix ans ou pendant la période d’assistance si elle est plus longue (paragraphes 12 et 13). Il désigne un point de contact unique pour les utilisateurs (paragraphe 17) et signale depuis le 11 septembre 2026 les vulnérabilités activement exploitées et les incidents graves (notre analyse de l’article 14).

Importateurs, distributeurs et autres opérateurs

L’importateur ne met sur le marché que des produits conformes. Il vérifie que l’évaluation de la conformité a été menée, que la documentation technique existe, que le produit porte le marquage CE et est accompagné de la déclaration UE de conformité et des informations destinées à l’utilisateur. Il informe le fabricant sans retard injustifié d’une vulnérabilité qu’il découvre, et les autorités en cas de risque important (article 19).

Le distributeur agit avec la diligence requise : il vérifie le marquage CE et la présence des informations obligatoires, ne met pas à disposition un produit qu’il estime non conforme et signale les vulnérabilités au fabricant (article 20).

Un importateur ou un distributeur est considéré comme fabricant s’il met le produit sur le marché sous son propre nom ou sa propre marque, ou s’il y apporte une modification substantielle (article 21). Toute autre personne qui modifie substantiellement un produit et le met à disposition devient fabricant pour la partie modifiée, ou pour l’ensemble du produit si la modification touche sa cybersécurité globale (article 22). Chaque opérateur doit pouvoir indiquer aux autorités, sur demande et pendant dix ans, de qui il a reçu le produit et, s’il le sait, à qui il l’a fourni (article 23).

Logiciel libre et intendants

Un logiciel libre et ouvert n’est visé que s’il est mis à disposition dans le cadre d’une activité commerciale. Le considérant 15 cite les indices de cette activité : un prix, une assistance technique facturée au-delà des coûts, une intention de monétisation, l’exigence de données personnelles pour d’autres motifs que la seule amélioration de la sécurité, de la compatibilité ou de l’interopérabilité du logiciel. Les développeurs qui contribuent du code à des projets ne relevant pas de leur responsabilité et le simple hébergement sur un dépôt ouvert ne sont pas visés (considérants 18 et 20).

Le règlement crée la figure de l’intendant de logiciels ouverts : une personne morale, autre que le fabricant, qui soutient de façon systématique et continue le développement de logiciels libres destinés à des activités commerciales (article 3, point 14). L’intendant met en place une politique de cybersécurité documentée et coopère avec les autorités (article 24). À partir du 11 décembre 2027, il signale aussi les vulnérabilités activement exploitées dans les produits au développement desquels il participe, ainsi que les incidents graves touchant ses propres systèmes (article 24, paragraphe 3). Il ne peut pas recevoir d’amende administrative (article 64, paragraphe 10, point b).

Marquage CE, normes et organismes notifiés

Pour un logiciel, le marquage CE est apposé sur la déclaration UE de conformité ou sur le site internet qui accompagne le logiciel ; dans ce cas, la section correspondante du site est facilement et directement accessible aux consommateurs (article 30, paragraphe 1). Les produits conformes aux normes harmonisées publiées au Journal officiel sont présumés conformes aux exigences correspondantes (article 27).

La Commission a adopté la demande de normalisation M/606 (décision C(2025) 618), qui porte sur 41 normes, horizontales et propres à certaines catégories (page de la Commission sur la normalisation). Son calendrier prévoyait de premiers livrables au troisième trimestre 2026 et d’autres pour le 30 octobre 2027 ; un livrable n’est pas encore une norme harmonisée citée au Journal officiel. Au 31 octobre 2026, nous n’avons trouvé aucune référence de norme harmonisée au titre du CRA publiée au Journal officiel.

Pour les catégories qui l’exigent, l’évaluation passe par un organisme notifié. Selon la foire aux questions de l’ANSSI, l’ANSSI notifiera les organismes sur la base d’une accréditation délivrée par le Cofrac, dont l’ouverture était prévue au second semestre 2026, et les premières notifications devraient intervenir fin 2026.

Sanctions et autorités en France

L’article 64 prévoit trois paliers d’amendes administratives, le montant le plus élevé étant retenu : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial pour le non-respect des exigences essentielles et des articles 13 et 14 ; jusqu’à 10 millions d’euros ou 2 % pour les obligations des autres opérateurs (articles 18 à 23), la déclaration UE de conformité, le marquage CE, la documentation technique, le choix des procédures d’évaluation et les obligations des organismes notifiés ; jusqu’à 5 millions d’euros ou 1 % pour des informations inexactes, incomplètes ou trompeuses. Les microentreprises et petites entreprises ne peuvent pas recevoir d’amende pour le seul dépassement du délai de 24 heures de l’alerte précoce (paragraphe 10, dans sa version corrigée par le rectificatif du 2 juillet 2025). Ce régime s’applique à partir du 11 décembre 2027.

Le 23 septembre 2026, l’ANSSI a présenté l’ANFR comme autorité de surveillance du marché « pour l’ensemble des produits numériques », et elle-même comme autorité notifiante et CSIRT national ; la page de l’ANFR décrit son rôle pour les produits mis à disposition des consommateurs.

Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), adopté par le Sénat le 18 février 2026, confie à l’ANFR le contrôle du respect du règlement, avec un pouvoir de mise en demeure et d’amende administrative reprenant pour l’essentiel les trois paliers de l’article 64 ; ces dispositions entreraient en vigueur le 11 décembre 2027. Le même article 32 abroge, à compter du 11 septembre 2026, l’article L. 2321-4-1 du code de la défense, issu de la loi de programmation militaire 2024-2030, qui impose aux éditeurs de logiciels d’informer l’ANSSI de certaines vulnérabilités et de certains incidents. L’Assemblée nationale, saisie le 20 février 2026 (texte n^o 2518), ne l’avait pas adopté au 31 octobre 2026 : cette abrogation n’a donc pas pris effet.

Nos analyses sur ce texte

• CRA, article 14 : ce qu’un éditeur doit signaler depuis le 11 septembre 2026 Délais de 24 heures, 72 heures et rapport final, produits déjà vendus compris, frontière avec le SaaS. Publiée le 31 octobre 2026
• Logiciel défectueux : ce que la directive 2024/2853 change pour un éditeur B2B La responsabilité sans faute pour les logiciels mis sur le marché après le 9 décembre 2026, et le rôle des mises à jour de sécurité. Publiée le 31 octobre 2026
• Calendrier des échéances numériques 2026-2027 Toutes les dates du CRA à côté de celles des autres textes, chacune reliée à sa source. Revu chaque mois

Ce que nous ne savons pas encore

• La date d’adoption de la loi française qui donnera ses pouvoirs à l’ANFR, et sa rédaction finale.
• La date de publication au Journal officiel des premières normes harmonisées et de l’acte désignant un schéma de certification, dont dépend le recours au contrôle interne pour les produits de classe I.
• Les organismes notifiés disponibles en France et dans l’Union avant le 11 décembre 2027.
• L’acte délégué qui permettrait de présumer la conformité par la certification européenne EUCC, annoncé par la Commission pour le quatrième trimestre 2026 (article 27, paragraphe 9), et un éventuel acte imposant la certification des produits critiques (article 8, paragraphe 1).
• Les conséquences pratiques des orientations de la Commission du 27 juillet 2026 (communication C(2026) 5252, non contraignante) et de sa foire aux questions (publiée le 3 décembre 2025, mise à jour le 4 septembre 2026), qui précisent le champ d’application (traitement de données à distance, logiciel libre), la notion de modification substantielle, la période d’assistance et les signalements. Nous les intégrerons à la prochaine revue.
• Les effets d’une proposition de règlement sur les marchés publics du 9 septembre 2026, qui supprimerait l’article 5 du CRA au profit d’une nouvelle disposition.

Questions fréquentes

Un éditeur de SaaS est-il concerné ?

Pas pour un service en ligne qui n’est la solution de traitement à distance d’aucun produit. Il l’est pour les composants installés qu’il fournit (application mobile, agent, extension) et pour le service en ligne sans lequel l’un de ces produits ne pourrait pas exécuter ses fonctions (notre analyse).

Les produits déjà vendus doivent-ils être mis en conformité ?

L’obligation de signalement de l’article 14 s’applique depuis le 11 septembre 2026 à tous les produits du champ, y compris ceux mis sur le marché avant le 11 décembre 2027 (article 69, paragraphe 3). Pour le reste, un produit mis sur le marché avant le 11 décembre 2027 n’est soumis au règlement que s’il fait l’objet d’une modification substantielle à partir de cette date (paragraphe 2). La mise sur le marché s’apprécie exemplaire par exemplaire (article 3, point 21) : un modèle déjà commercialisé doit être conforme pour chaque exemplaire mis sur le marché après le 11 décembre 2027.

Combien de temps faut-il fournir des mises à jour de sécurité ?

Pendant toute la période d’assistance, d’au moins cinq ans sauf si la durée d’utilisation prévue du produit est plus courte (article 13, paragraphe 8). Chaque mise à jour de sécurité diffusée pendant cette période reste disponible au moins dix ans après sa diffusion, ou jusqu’à la fin de la période d’assistance si celle-ci est plus longue (paragraphe 9).

Un logiciel libre doit-il porter le marquage CE ?

Seulement s’il est mis à disposition dans le cadre d’une activité commerciale par un fabricant. Les intendants de logiciels ouverts relèvent d’un régime allégé et n’apposent pas le marquage CE (considérant 19).

Historique des mises à jour

31 octobre 2026 : création du dossier.