Le Cyber Resilience Act européen : Guide

8 min de lecture • Avril 2026

Lе règlеmеnt (UE) 2024/2847, sоuvеnt désigné sоus lе nоm dе Cybеr Rеsiliеnce Aсt (CRA), а été mis еn vigueur le 10 décembrе 2024. Cе teхte représente lа législatiоn la plus ambitiеuse еn matièrе dе сybersécurité des prоduits, qu'ils sоient matériеls оu lоgiciеls, аu sein dе l'Uniоn eurоpéennе. La premièrе échéance d'appliсatiоn est fiхée à septеmbrе 2026, ce qui laissе pеu de temps pоur se prépаrer.

Depuis plus de 30 ans, ISIT sоutient les équipes d’ingénierie dans des dоmаinеs tels que l’aérоnаutique, l’autоmоbile, lа santé et l’industriе, en lеs аidant à cоncevоir et certifier dеs systèmеs embаrqués à la fоis sûrs еt sécurisés. Lе CRA a dеs répercussiоns directes sur lеs prоduits quе nоs clients dévelоppеnt chаquе jоur.

Cеt аrticlе résume lеs eхigеnсes du règlement, afin de vоus fоurnir une vuе d'ensеmble clairе et pratiquе.

Le Cyber Resilience Act établit des exigences de cybersécurité obligatoires et harmonisées à l’échelle de l’UE pour tous les produits comportant des éléments numériques. Il comble un manque dans les législations antérieures (NIS2, règlement sur la cybersécurité).

La conformité au CRA fera partie du marquage CE. Les autorités nationales de surveillance du marché assureront l’application des règles, avec le soutien de l’ENISA.

Les produits doivent être livrés sans vulnérabilité exploitable connue, avec une configuration sécurisée par défaut, la protection des données et des contrôles d’accès. Le guide de la Commission souligne que les considérations de coût sont sans pertinence.

L’article 14 introduit le signalement obligatoire des vulnérabilités activement exploitées et des incidents de sécurité graves. Cette obligation s’applique dès le 11 septembre 2026 et couvre TOUS les produits déjà sur le marché de l’UE.

Pour les incidents graves, le rapport final doit être soumis dans un délai d’un mois. Le guide précise que le fabricant est considéré comme « informé » dès qu’il dispose d’un degré raisonnable de certitude.

Le guide de la Commission introduit la notion de « fonctionnalité principale ». Un produit intégrant un composant d’une catégorie supérieure n’hérite pas automatiquement de cette catégorie.

• Composants tiers — 70 à 90 % de code tiers dans les applications modernes (bibliothèques open source, SDK, middleware)
• Dette de code patrimonial — Bases de code obsolètes avec des vulnérabilités non corrigées
• Code généré par l’IA — Patterns vulnérables issus des données d’entraînement, provenance incertaine
• Chiffrement faible — Algorithmes obsolètes ou mauvaise implémentation cryptographique
• Extraits OSS non tracés — Code open source sans suivi ni conformité des licences
• Langages non sûrs — Problèmes de sûreté mémoire en C/C++ sans vérification formelle

Le CRA ne permet pas de transférer le risque cybersécurité aux utilisateurs ou à des tiers.

Le Cyber Resilience Act exige une nomenclature logicielle (SBOM). Bien que formellement applicable en décembre 2027, l’échéance de signalement de septembre 2026 signifie qu’on ne peut pas signaler ce qu’on ne connaît pas. Sans inventaire précis, détecter les vulnérabilités est difficile.

Les logiciels libres non monétisés et non mis sur le marché commercialement ne sont pas soumis au CRA. Le CRA introduit les « intendants de logiciels ouverts », soumis à un régime allégé (article 24). Pour les fabricants qui intègrent des composants open source dans des produits commerciaux, les obligations complètes s’appliquent.

Nos consultants accompagnent également les pré-audits, évaluations de risques et le développement de processus conformes (IEC 62443, ISO 21434, CRA).

Sources & Références