Cyber Resilience Act : les nouvelles lignes directrices enfin publiées, la conformité devient claire

Cyber Resilience Act : fini le brouillard réglementaire ?

Imaginez devoir assembler un meuble IKEA sans notice, avec des vis en trop et des pièces qui ne correspondent pas. C'est un peu ce que vivaient les fabricants de produits numériques face au Cyber Resilience Act (CRA) : une obligation de conformité sans mode d'emploi clair. Mais depuis le 20 février 2025, la Commission européenne a publié des lignes directrices qui lèvent enfin le voile. Non contraignantes, elles n'en sont pas moins stratégiques pour préparer les échéances de septembre 2026 et décembre 2027.

Cet article vous guide à travers les points clés : champ d'application, logiciel open source, modifications substantielles et obligations de signalement. Accrochez-vous, on rend le droit presque sympa.

Qu'est-ce que le Cyber Resilience Act ?

Featured snippet : Le Cyber Resilience Act est un règlement européen qui impose des exigences de cybersécurité pour les produits matériels et logiciels connectés. Ses lignes directrices, publiées en février 2025, clarifient le champ d'application, le statut des logiciels open source, les modifications substantielles et les obligations de signalement. Les premières échéances de conformité sont fixées à septembre 2026 et décembre 2027.

Le CRA vise à garantir que les produits numériques – des ampoules connectées aux applications de santé – soient sécurisés tout au long de leur cycle de vie. Les fabricants, importateurs et distributeurs sont concernés. Mais jusqu'à récemment, beaucoup naviguaient à vue. Les nouvelles lignes directrices apportent une boussole.

Champ d'application : qui est concerné ?

Les lignes directrices précisent que le CRA s'applique à tout produit connecté, matériel ou logiciel, commercialisé dans l'UE. Sont exclus les dispositifs médicaux et certains produits automobiles déjà couverts par d'autres réglementations. Attention : même une simple application mobile peut tomber sous le coup si elle traite des données à distance.

Logiciel open source : une exception clarifiée

Grande question : les développeurs open source sont-ils soumis au CRA ? Les lignes directrices confirment que oui, mais uniquement s'ils commercialisent le logiciel. Un développeur qui publie un code gratuit sans modèle économique est exonéré. En revanche, si vous vendez des services autour ou une version premium, vous entrez dans le champ. De quoi rassurer les communautés tout en responsabilisant les éditeurs.

Modifications substantielles : quand faut-il remettre sur le métier ?

Une simple mise à jour peut-elle déclencher une nouvelle obligation de conformité ? Oui, si la modification est « substantielle », c'est-à-dire qu'elle change la fonctionnalité, la surface d'attaque ou le modèle de sécurité du produit. Exemple : ajouter une fonction de paiement à une lampe connectée. Les lignes directrices donnent des critères pour éviter les interprétations trop larges.

Obligations de signalement : signaler les failles sans panique

Le CRA impose de signaler les vulnérabilités activement exploitées aux autorités et aux utilisateurs. Les lignes directrices détaillent les délais : 24 heures pour une notification précoce, 72 heures pour un rapport complet. Et si vous découvrez une faille dans un composant open source ? Vous devez aussi le signaler, mais sans nécessairement devoir fournir un correctif immédiat. Ouf.

Cerise sur le gâteau : la Commission précise que ces lignes directrices ne sont pas contraignantes, mais suivre leurs recommandations vous mettra en bonne posture pour les audits futurs. Autant dire que les ignorer reviendrait à construire votre meuble IKEA sans notice : possible, mais risqué.

Comment se préparer dès maintenant ?

Ne remettez pas à demain ce que vous pouvez sécuriser aujourd'hui. Même si les obligations complètes entrent en vigueur en 2026 et 2027, certaines dispositions (comme le signalement des vulnérabilités) s'appliquent plus tôt. Commencez par auditer vos produits, documenter vos processus de sécurité et former vos équipes. Et surtout, lisez les lignes directrices officielles – oui, c'est un pavé, mais votre futur vous remerciera.

Un dernier conseil : ne traitez pas la conformité comme une corvée, mais comme un avantage concurrentiel. Dans un marché où les cyberattaques se multiplient, un produit certifié CRA inspire confiance. Et ça, c'est bien plus vendeur qu'un énième argument marketing.

FAQ