Tout le monde regarde NIS2. La loi Résilience qui traîne, le vote qui n'arrive pas, la France renvoyée devant la Cour de justice de l'Union européenne le 8 juillet dernier pour non-notification de sa transposition. Le sujet occupe la conversation RSSI depuis des mois.
Pendant ce temps, un autre texte avance sans faire de bruit. Il ne demande l'avis de personne, ne dépend d'aucune loi française, et sa première échéance concrète tombe dans moins de deux mois : le 11 septembre 2026.
Ce texte, c'est le Cyber Resilience Act (CRA). Contrairement à NIS2, il ne concerne pas que les grandes entités critiques. Il concerne quiconque conçoit, distribue ou commercialise un produit comportant des éléments numériques dans l'Union européenne.
Un règlement, pas une directive
La première chose à comprendre sur le CRA, c'est sa nature juridique. NIS2 est une directive : chaque État membre doit la transposer dans son droit national, ce qui explique le retard français et la procédure devant la CJUE. Le CRA est un règlement européen. Il s'applique directement, dans les mêmes termes, dans les 27 États membres, sans loi de transposition à voter. Aucun blocage parlementaire ne peut en retarder l'entrée en application.
Entré en vigueur fin 2024, le CRA déploie ses obligations de façon progressive jusqu'en 2027.
Le calendrier à retenir
Trois échéances structurent la mise en application.
À partir du 11 septembre 2026, tout fabricant ayant connaissance d'une vulnérabilité activement exploitée ou d'un incident grave affectant un de ses produits dispose de 24 heures pour adresser une alerte précoce à l'ENISA et au CSIRT compétent (le CERT-FR pour la France). Une notification complète suit sous 72 heures, puis un rapport final sous 14 jours après la mise à disposition d'un correctif, ou sous un mois pour un incident grave. Cette obligation s'applique à tous les produits déjà commercialisés, pas seulement aux nouveaux.
Quinze mois séparent l'obligation de signalement (11 septembre 2026) de l'obligation de conformité complète (11 décembre 2027). C'est ce délai, court, que beaucoup d'organisations n'ont pas encore intégré dans leur planification.
Qui est concerné, au-delà des objets connectés
Le CRA a une réputation de texte "IoT", pensé pour les objets connectés grand public. C'est trompeur. Est concerné quiconque agit comme fabricant, importateur ou distributeur d'un produit comportant des éléments numériques : un éditeur SaaS, un industriel qui intègre du logiciel dans ses équipements, un fournisseur de composants logiciels embarqués, une marque qui distribue sous son nom un produit fabriqué par un tiers. Le modèle économique n'a pas d'importance. Une offre freemium ou un service cloud entrent dans le périmètre au même titre qu'un logiciel vendu sous licence.
Le règlement distingue trois niveaux de criticité, avec des exigences croissantes :
Plus un produit monte dans cette hiérarchie, plus l'évaluation de conformité exigée est poussée, jusqu'à l'intervention d'un organisme tiers accrédité pour les produits les plus sensibles.
Les sanctions ne sont pas symboliques
Le non-respect des exigences essentielles de cybersécurité expose à une amende pouvant atteindre 15 millions d'euros ou 2,5% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En France, la surveillance du marché et l'application des sanctions reviennent à l'Agence nationale des fréquences (ANFR), pendant que l'ANSSI et le CERT-FR centralisent le volet signalement des vulnérabilités.
Le vrai chantier commence maintenant
Le délai entre le 11 septembre 2026 et le 11 décembre 2027 n'est pas un an et demi de battement. C'est le temps qu'il faut pour transformer une organisation qui découvre une vulnérabilité en une organisation qui sait, en 24 heures, qui décroche le téléphone, quoi dire, et à qui.
Quatre chantiers permettent d'aborder l'échéance de septembre sans la subir :
- Cartographier l'ensemble des produits et services comportant des éléments numériques, y compris les composants internes, l'embarqué, et les produits distribués sous marque propre mais fabriqués par un tiers.
- Classer chaque produit selon les trois catégories du règlement, et clarifier le rôle de l'organisation dans la chaîne de valeur (fabricant, importateur ou distributeur), car les obligations diffèrent selon ce rôle.
- Diagnostiquer la maturité actuelle sur quatre axes : sécurité du développement logiciel et matériel, gestion des mises à jour et des correctifs, organisation et documentation de la réponse aux incidents et vulnérabilités, information des utilisateurs finaux.
- Désigner un circuit de remontée interne capable de tenir le délai de 24 heures vers l'ENISA et le CERT-FR, avant qu'une vulnérabilité exploitée ne serve de test grandeur nature.
NIS2 occupe l'attention parce qu'elle est bloquée, débattue, renvoyée devant la justice européenne. Le CRA, lui, n'attend rien de tout ça. Il avance, sans loi française à voter, et sa première échéance tombe dans moins de deux mois. La question n'est pas de savoir si votre organisation sera concernée. Elle l'est déjà, dès lors qu'un produit comportant des éléments numériques porte votre nom sur le marché européen.