Un produit numérique ne pourra bientôt plus être considéré comme commercialisable uniquement parce qu’il fonctionne. Avec le Cyber Resilience Act, sa mise sur le marché européen dépendra également du respect d’exigences de cybersécurité portant sur sa conception, sa maintenance et la gestion de ses vulnérabilités.
Publié en juillet 2026, le processus défini par l’ANSSI pour la notification des organismes chargés d’évaluer certains produits peut sembler très administratif. Il révèle pourtant une transformation beaucoup plus profonde : la cybersécurité quitte progressivement le seul domaine des bonnes pratiques techniques pour entrer dans celui de la conformité des produits.
Une annonce administrative qui matérialise le CRA
Le Cyber Resilience Act, ou CRA, établit des exigences horizontales de cybersécurité applicables aux produits comportant des éléments numériques mis à disposition sur le marché européen. Son périmètre couvre aussi bien des logiciels que des équipements matériels, mais également certains composants commercialisés séparément.
Le règlement est entré en vigueur le 10 décembre 2024. Son application s’effectue cependant progressivement. Les dispositions relatives à la notification des organismes d’évaluation de la conformité sont applicables depuis le 11 juin 2026. Les obligations de signalement de certaines vulnérabilités et de certains incidents prendront effet le 11 septembre 2026, tandis que l’essentiel du règlement s’appliquera à compter du 11 décembre 2027.
La publication de l’ANSSI ne constitue donc pas une simple anticipation. Elle participe à la construction concrète du dispositif nécessaire à l’application du règlement.
En France, les organismes souhaitant évaluer la conformité de certains produits devront d’abord obtenir une accréditation du Cofrac, puis soumettre leur demande à l’ANSSI. Celle-ci agira comme autorité notifiante : elle sera chargée d’évaluer, de notifier et de contrôler les organismes intervenant dans le cadre du CRA. Le processus actuellement publié concerne le module B, portant sur l’examen de la conception et du développement du produit. Une procédure distincte doit ultérieurement être publiée pour le module H, consacré au système qualité du fabricant.
Derrière ces modalités techniques apparaît un principe beaucoup plus important : pour certains produits numériques, le fabricant ne pourra plus être le seul juge de leur niveau de conformité.
De la promesse commerciale à l’exigence réglementaire
La cybersécurité des logiciels et des équipements n’est évidemment pas un sujet nouveau. Les entreprises évaluent déjà les solutions qu’elles acquièrent, exigent des correctifs, analysent les vulnérabilités et imposent parfois des clauses de sécurité à leurs fournisseurs.
Mais ces pratiques reposent encore très largement sur la maturité de l’acheteur, la qualité de la relation contractuelle et la volonté du fabricant.
Un fournisseur peut aujourd’hui mettre en avant la sécurité de son produit dans sa documentation commerciale, publier quelques engagements et organiser son processus de correction selon ses propres méthodes. Le niveau réel de sécurité reste alors difficile à apprécier pour l’utilisateur.
Le CRA change la nature de cette exigence.
La cybersécurité ne constitue plus seulement un argument de vente ou une qualité souhaitable. Elle devient l’un des éléments que le fabricant doit prendre en compte pour pouvoir déclarer son produit conforme et le mettre sur le marché européen.
Avant sa commercialisation, le fabricant devra notamment réaliser une analyse des risques de cybersécurité, intégrer les exigences appropriées dans la conception et le développement, constituer une documentation technique et suivre une procédure d’évaluation de la conformité. Une fois cette procédure accomplie, il pourra établir la déclaration européenne de conformité et apposer le marquage CE.
Le produit numérique rejoint ainsi une logique déjà connue dans d’autres domaines industriels : son accès au marché est conditionné par le respect d’exigences essentielles vérifiables.
La conformité ne s’arrête pas le jour de la commercialisation
L’un des apports les plus significatifs du CRA tient à la durée de la responsabilité du fabricant.
La conformité ne porte pas uniquement sur l’état du produit au moment où il est mis sur le marché. Elle concerne également la manière dont il sera maintenu pendant son cycle de vie.
Le fabricant devra déterminer une période de support et en informer clairement l’acheteur. Durant cette période, il devra traiter les vulnérabilités affectant le produit et mettre à disposition les mises à jour de sécurité nécessaires. Il devra également fournir un point de contact permettant le signalement des vulnérabilités.
Cette exigence remet en cause une pratique encore fréquente : commercialiser un logiciel ou un équipement sans rendre réellement lisibles sa durée de maintenance, la date de fin de son support ou les modalités de correction des failles découvertes après sa vente.
Un produit peut continuer à fonctionner longtemps après que son fabricant a cessé de le maintenir. Du point de vue de son utilisateur, il reste opérationnel. Du point de vue de la cybersécurité, il devient progressivement un risque.
Le CRA impose donc une autre manière de concevoir le produit numérique. Celui-ci ne doit plus seulement être développé pour être vendu. Il doit aussi pouvoir être maintenu, corrigé et suivi pendant la durée annoncée de son utilisation.
Tous les produits ne seront pas évalués de la même manière
Le CRA repose sur une approche proportionnée au niveau de risque.
Pour la majorité des produits, le fabricant pourra recourir à une procédure d’autoévaluation. Cela concernera notamment de nombreuses applications mobiles, des jeux vidéo, des objets connectés courants ou des appareils électroménagers comportant des éléments numériques.
Les exigences deviennent plus strictes pour les produits considérés comme importants ou critiques. Selon leur catégorie et la méthode retenue pour démontrer leur conformité, l’intervention d’un organisme notifié pourra devenir nécessaire. Pour les produits critiques, l’évaluation par un tiers est obligatoire.
Cette gradation évite d’imposer le même processus à une application grand public et à un hyperviseur, un pare-feu, un composant sécurisé ou une passerelle de compteur intelligent.
Elle traduit également une idée simple : plus un produit occupe une position structurante dans un système d’information, plus sa défaillance peut produire des conséquences importantes. Son évaluation ne peut donc pas toujours reposer sur la seule déclaration de celui qui le commercialise.
C’est précisément pour rendre ces évaluations possibles que les États membres doivent désigner les organismes compétents et contrôler leur indépendance, leur impartialité ainsi que leurs capacités techniques.
Une conformité n’est pas une garantie d’invulnérabilité
Le marquage CE apposé au titre du CRA ne signifiera pas qu’un produit est invulnérable.
Une telle promesse serait d’ailleurs irréaliste. Toute solution numérique suffisamment complexe peut contenir des défauts qui ne seront découverts qu’après sa mise sur le marché.
Le règlement cherche moins à garantir l’absence absolue de vulnérabilités qu’à vérifier l’existence d’une démarche cohérente : analyse des risques, conception sécurisée, documentation, traitement des failles, publication des correctifs et maintien du produit pendant une période déterminée.
L’ANSSI distingue d’ailleurs clairement le marquage CE d’un visa de sécurité. Le premier atteste du respect des exigences essentielles du CRA, éventuellement au moyen d’une autoévaluation. Une certification de sécurité délivrée dans le cadre d’un schéma spécifique vise, quant à elle, à apprécier plus directement la robustesse d’un produit au moyen d’analyses et de tests réalisés par des évaluateurs compétents.
Cette distinction est importante. La conformité réglementaire constitue un socle. Elle ne remplace ni l’analyse de risques réalisée par l’entreprise utilisatrice, ni les évaluations techniques approfondies nécessaires pour les environnements sensibles.
NIS 2 en aval, le CRA en amont
La directive NIS 2 et le CRA interviennent à deux endroits différents de la chaîne numérique. NIS 2 demande aux organisations concernées de mettre en œuvre des mesures de gestion des risques. Elle inclut notamment la sécurité de la chaîne d’approvisionnement, les relations avec les fournisseurs, la sécurité de l’acquisition et de la maintenance des systèmes ainsi que le traitement des vulnérabilités. L’organisation reste donc responsable du choix de ses solutions, de leur configuration, de leur intégration dans le système d’information et de la maîtrise des risques associés.
Le CRA agit plus en amont. Il intervient sur les conditions dans lesquelles les produits sont conçus, documentés, commercialisés et maintenus par leurs fabricants. L’un ne dispense pas de l’autre.
Un produit conforme au CRA pourra être mal configuré ou utilisé dans un contexte pour lequel il n’est pas adapté. Inversement, une entreprise ne peut pas durablement compenser par ses propres mesures de sécurité toutes les faiblesses d’un produit mal conçu ou abandonné par son fabricant.
L’articulation entre les deux textes dessine donc une continuité : le fabricant doit fournir un produit répondant aux exigences de cybersécurité ; l’entreprise doit sélectionner, déployer et exploiter ce produit en maîtrisant ses propres risques. La responsabilité n’est pas diluée. Elle est répartie entre les différents acteurs de la chaîne.
Un nouveau critère pour choisir ses fournisseurs
Le CRA modifiera progressivement les relations entre les fabricants et leurs clients. La durée du support, la politique de gestion des vulnérabilités, la disponibilité des mises à jour, la documentation de sécurité et la procédure de conformité deviendront des informations plus structurantes dans les décisions d’achat.
Pour les entreprises, la question ne sera plus seulement : Ce produit répond-il à notre besoin fonctionnel ? Elle devra aussi devenir : Pendant combien de temps sera-t-il maintenu, comment ses vulnérabilités seront-elles traitées et sur quelles preuves repose sa conformité ?
Cette évolution pourra également améliorer la comparaison entre les offres. Aujourd’hui, deux produits remplissant la même fonction peuvent reposer sur des pratiques de sécurité et de maintenance très différentes, sans que cette différence soit clairement visible au moment de l’achat.
En obligeant les fabricants à documenter davantage leurs engagements et à déclarer une période de support, le CRA devrait rendre certains de ces écarts plus perceptibles.
La cybersécurité entre dans la conformité du produit
Le processus publié par l’ANSSI pourrait être résumé comme une procédure destinée à quelques organismes spécialisés, mais ce serait manquer sa véritable portée. La création d’un réseau d’organismes capables d’évaluer les produits les plus sensibles montre que le CRA entre désormais dans sa phase opérationnelle.
La cybersécurité ne reposera plus uniquement sur la vigilance de l’utilisateur, la qualité d’un contrat ou les déclarations du fabricant. Elle devient progressivement une composante de la conformité nécessaire à la commercialisation d’un produit numérique en Europe. Le CRA ne supprimera pas les vulnérabilités. Il ne dispensera pas les entreprises de sécuriser leurs systèmes et ne transformera pas le marquage CE en garantie absolue de robustesse. Il introduit néanmoins un changement essentiel : un fabricant ne pourra plus considérer qu’il a rempli sa mission lorsque son produit fonctionne et qu’il a été vendu, il devra également démontrer qu’il a été conçu pour être sécurisé, qu’il pourra être maintenu et que ses vulnérabilités seront prises en charge pendant son cycle de vie.
C’est en cela que le Cyber Resilience Act marque un véritable basculement : la cybersécurité devient une condition de mise sur le marché.
