Cyber Resilience Act : les obligations de signalementapplicables depuis le 11 septembre 2026

Adopté sous la référence règlement (UE) 2024/2847 *, le Cyber Resilience Act (CRA) est entré en vigueur le 10 décembre 2024. Son ambition est structurelle : là où les réglementations précédentes (NIS2, RGPD) ciblaient les entreprises en tant qu'utilisatrices ou opératrices de systèmes numériques, le CRA remonte à la source et impose des obligations aux fabricants de ces systèmes, c'est‑à‑dire aux éditeurs de logiciels, aux développeurs d'applications et aux constructeurs d'équipements connectés.

Le périmètre est très large : smartphones, ordinateurs, routeurs, systèmes d'exploitation, navigateurs, applications mobiles, logiciels de gestion, plugins, équipements domotiques ou industriels comportant une interface numérique sont tous concernés dès lors qu'ils sont commercialisés sur le marché européen. Les produits fournis gratuitement à titre commercial (freemium, SaaS en version gratuite) entrent également dans le champ du règlement, à quelques exceptions près pour les logiciels libres non commerciaux.

Depuis le 11 septembre 2026, tout fabricant d'un produit comportant des éléments numériques doit, dès qu'il a connaissance d'une vulnérabilité activement exploitée ou d'un incident de sécurité grave, engager une chaîne de notification en trois étapes * :

1. 24 h
   Alerte précoce

   Transmettre une première notification à l'ENISA et au CSIRT national compétent. L'objectif : signaler l'existence de la vulnérabilité ou de l'incident sans délai, même si l'analyse complète n'est pas terminée. Il n'est pas exigé d'avoir une évaluation exhaustive à ce stade, mais le signalement doit être transmis dans les 24 heures suivant la prise de connaissance de l'événement.

2. 72 h
   Notification détaillée

   Transmettre une notification plus complète comprenant une première évaluation de la vulnérabilité ou de l'incident : nature, gravité, impact potentiel, mesures correctives envisagées. Ce délai court depuis la prise de connaissance, pas depuis l'alerte précoce.

3. 14 jours
   Rapport final

   Soumettre un rapport de clôture détaillé incluant une description complète de la vulnérabilité, les mesures correctives appliquées ou planifiées, et, le cas échéant, la coordination avec d'autres parties affectées. Ce rapport marque la fin de l'obligation de signalement pour l'événement considéré.

Les notifications transitent par la plateforme de signalement unique de l'ENISA, qui redistribue ensuite les informations aux CSIRT nationaux concernés. En France, c'est l'ANSSI qui joue ce rôle de point de contact national.

La date du 11 septembre 2026 ne marque qu'une étape intermédiaire. Le corps principal du Cyber Resilience Act, qui représente la majeure partie de son impact réglementaire, entrera en application au 11 décembre 2027 *. Voici ce qui n'est pas encore exigible aujourd'hui :

• Exigences essentielles de cybersécurité : les fabricants devront intégrer la sécurité dès la conception (security by design), limiter la surface d'attaque, gérer les configurations par défaut sécurisées et maintenir leurs produits pendant toute la durée de vie annoncée.
• Marquage CE : les produits numériques vendus dans l'UE devront démontrer leur conformité aux exigences du CRA, soit par autoévaluation, soit via un organisme tiers selon leur catégorie de risque.
• SBOM (Software Bill of Materials) : les fabricants devront fournir une liste exhaustive des composants logiciels utilisés dans leur produit, permettant d'identifier rapidement les dépendances vulnérables.
• Gestion des mises à jour de sécurité : obligation de fournir des correctifs pendant toute la période de support annoncée, et d'informer les utilisateurs de manière proactive.
• Documentation technique et transparence : les fabricants devront produire et maintenir une documentation technique complète sur l'architecture de sécurité de leur produit.

Le règlement couvre tous les produits comportant des éléments numériques mis sur le marché de l'Union européenne à titre commercial. Pour une TPE ou une PME, cela concerne concrètement :

Le cas particulier des logiciels libres

Le CRA ménage un traitement spécifique pour les logiciels open source. Les projets développés et distribués en dehors de toute activité commerciale ne sont pas soumis aux obligations du règlement. En revanche, dès qu'un acteur commercialise un produit intégrant ou basé sur un composant open source, c'est lui qui endosse la responsabilité de fabricant, y compris pour les obligations de notification. Concrètement, un plugin WordPress vendu sur une marketplace est couvert, même s'il repose sur des bibliothèques libres : l'éditeur qui le commercialise est le « fabricant » au sens du CRA.

Les microentreprises : des aménagements prévus par le texte

Le règlement prévoit des dispositions spécifiques pour les microentreprises et les PME afin de réduire la charge administrative. Ces aménagements concernent principalement les délais de mise en conformité documentaire et les modalités d'évaluation, mais ils ne dispensent pas des obligations de signalement de vulnérabilités applicables depuis le 11 septembre 2026.

Le CRA ne vous impose pas de remplir un formulaire de notification. Il impose en revanche à vos éditeurs d'être transparents, rapides et organisés en cas de faille exploitée. Ce changement de responsabilité en amont a des conséquences pratiques sur votre politique de maintenance et de sélection des outils.

Ce que vous pouvez désormais exiger de vos prestataires

• La confirmation que les logiciels fournis entrent dans le périmètre CRA et que l'éditeur dispose d'une procédure de notification conforme.
• Un engagement sur les délais de publication des correctifs de sécurité en cas de vulnérabilité exploitée détectée.
• La transmission proactive d'informations sur les incidents affectant les produits que vous utilisez, sans attendre que vous demandiez.
• La traçabilité des composants logiciels (anticipation du SBOM obligatoire en 2027), particulièrement utile pour les solutions sur mesure.

L'impact sur vos décisions de maintenance

Un éditeur qui ne peut pas démontrer qu'il a les moyens humains et organisationnels de répondre à une vulnérabilité exploitée en 24 heures est aujourd'hui hors conformité réglementaire. C'est un critère de sélection à intégrer dans vos appels d'offres et dans vos contrats de maintenance, au même titre que la disponibilité ou les délais de réponse.

Pour les sites WordPress en particulier, cela renforce l'argument en faveur d'une maintenance active : les mises à jour de plugins et de thèmes ne sont plus seulement une bonne pratique, elles sont le reflet visible d'une chaîne de responsabilité qui remonte désormais jusqu'à l'éditeur.

• 1
  Recensez vos logiciels critiques

  Identifiez les logiciels, plugins, applications et équipements connectés que vous utilisez dans votre activité. Distinguez les outils en contact avec vos données clients ou votre infrastructure de ceux qui sont purement accessoires.

• 2
  Vérifiez que les éditeurs sont toujours actifs

  Pour chaque logiciel critique, vérifiez que l'éditeur publie encore régulièrement des mises à jour de sécurité. Un produit sans mise à jour depuis plus de douze mois mérite une vigilance accrue.

• 3
  Interrogez vos prestataires sur leur politique de notification CRA

  Demandez à votre agence web, à votre hébergeur ou à votre intégrateur si les produits qu'il maintient pour vous disposent d'une procédure de signalement conforme au règlement. Ce n'est pas une question technique : c'est une question de responsabilité contractuelle.

• 4
  Anticipez les obligations de 2027 dans vos contrats

  Si vous signez un contrat de développement ou de maintenance aujourd'hui, intégrez dès à présent une clause demandant la fourniture d'un SBOM et le respect des exigences essentielles du CRA à compter du 11 décembre 2027.

• 5
  Planifiez le remplacement des outils sans maintenance active

  Si votre environnement repose sur des plugins ou des logiciels dont l'éditeur a cessé le support, inscrivez leur remplacement dans votre feuille de route numérique. La conformité CRA de vos fournisseurs deviendra un critère de sélection incontournable d'ici à 2027.