Un nouveau texte européen, le Cyber Resilience Act (CRA) a été adopté fin mars. Il vise à renforcer la cybersécurité des matériels et logiciels dès leur conception, pour renforcer la transparence auprès des utilisateurs et contribuer au marché européen du numérique.
Le Cyber Resilience Act impose aux entreprises de prendre en compte la cybersécurité dès la phase de conception et de l’assurer tout au long du cycle de vie du produit. C’est l’approche « security by design », qui se traduit par :
- l’identification et la réduction des risques cyber dès le développement,
- la mise en place de mécanismes de mise à jour de sécurité,
- l’absence de vulnérabilités connues lors de la mise sur le marché,
- la capacité à réagir efficacement en cas d’incident ou de vulnérabilité découverte après commercialisation.
Le texte introduit également un cadre de gestion des vulnérabilités. Il inclue la mise en place de processus internes pour détecter, analyser et corriger les vulnérabilités, et une transparence de l’information sur les risques et les mises à jour de sécurité.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) contrôlera les entreprises et notifiera les organismes d’évaluation de la conformité. L’Agence nationale des fréquences (ANFR) assurera la surveillance du marché, avec l’appui technique de l’ANSSI.
En cas de non-respect des exigences du CRA, les entreprises s’exposeront à des sanctions pouvant aller jusqu’à la mise en conformité, l’interdiction de mise sur le marché européen ou le rappel des produits, ou encore jusqu’à 15 millions d’euros d’amende (ou 2,5 % du chiffre d’affaires annuel mondial).
Le CRA sera mis en place progressivement. Un projet de loi viendra adapter le droit français à ce nouveau cadre européen début 2026. Les 1ères obligations seront instaurées en juin 2026. En septembre 2026, les fabricants devront notifier certaines vulnérabilités activement exploitées ou incidents significatifs via les dispositifs nationaux prévus à cet effet.
Le règlement sera appliqué complètement en décembre 2027.
En savoir plus :
