Cyber Resilience Act : ce qui change dès le 11 septembre 2026

Le Cyber Resilience Act européen franchit une nouvelle étape ce 11 septembre 2026. Les fabricants de produits matériels et logiciels comportant des éléments numériques doivent désormais respecter de nouvelles obligations de signalement en cas de vulnérabilité activement exploitée ou d’incident de sécurité grave. L’essentiel du règlement s’appliquera toutefois à partir de décembre 2027.

UN CADRE EUROPÉEN POUR LES PRODUITS NUMÉRIQUES

Montres connectées, caméras, logiciels, applications, équipements domotiques ou encore babyphones : la liste est longue, mais tous les produits comportant des éléments numériques occupent désormais une place importante dans le quotidien. Mais on l'a vu à plusieurs reprises, leur multiplication augmente également le nombre d'appareils susceptibles de présenter des vulnérabilités.

C’est précisément ce que cherche à encadrer le Cyber Resilience Act (CRA). Entré en vigueur le 10 décembre 2024, ce règlement européen instaure des obligations en matière de cybersécurité pour les fabricants de matériels et logiciels commercialisés dans l’Union européenne.

Le texte couvre l’ensemble du cycle de vie des produits, de leur conception à leur maintenance. Il s'agit notamment d’améliorer leur niveau de sécurité, mais aussi d’éviter que des appareils présentant des vulnérabilités connues restent commercialisés ou utilisés pendant plusieurs années sans recevoir les correctifs nécessaires.

UNE PREMIÈRE ÉCHÉANCE LE 11 SEPTEMBRE 2026

Si l’essentiel des obligations du CRA ne s’appliquera qu’à partir du 11 décembre 2027, une première série de mesures entre en application dès ce 11 septembre 2026. Les fabricants doivent désormais signaler les vulnérabilités activement exploitées et certains incidents de sécurité graves. Une première alerte doit être transmise dans les 24 heures, avant une notification plus détaillée dans les 72 heures.

Cette obligation doit notamment permettre aux autorités européennes d’être informées plus rapidement lorsqu’une faille représente une menace réelle et d’améliorer le suivi des vulnérabilités affectant des produits disponibles sur le marché. La Commission européenne a d’ailleurs publié fin juillet de nouvelles recommandations pratiques afin d’aider les fabricants, développeurs et entreprises à préparer l’entrée en application progressive du règlement.

DES EXIGENCES DE SÉCURITÉ DÈS LA CONCEPTION

À partir de décembre 2027, le dispositif deviendra beaucoup plus large. Les fabricants devront intégrer la cybersécurité dès la planification, la conception et le développement de leurs produits, mais également assurer la gestion des vulnérabilités après leur commercialisation. Certains produits présentant un enjeu particulier en matière de cybersécurité pourront également être soumis à une évaluation par un organisme tiers avant leur arrivée sur le marché européen.

Les appareils et logiciels concernés pourront porter le marquage CE, indiquant leur conformité aux exigences applicables du CRA. Les autorités nationales de surveillance du marché seront ensuite chargées de contrôler le respect de ces règles. Le Cyber Resilience Act vient ainsi compléter d’autres textes européens consacrés à la cybersécurité, notamment la directive NIS2.

Pour les fabricants d’objets connectés, cette évolution impose nécessairement d’adapter certaines pratiques. Par exemple, le fabricant autrichien Nuki, spécialisé dans les serrures connectées, en a profité pour détailler sa stratégie et devancer les échéances. L’entreprise explique appliquer depuis plusieurs années une approche de Security-by-Design, avec notamment du chiffrement de bout en bout, une analyse continue des menaces, des mises à jour de sécurité et différentes protections matérielles.