3 min de lecture<\/p>\n
La loi de l’UE sur la r\u00e9silience cybern\u00e9tique (CRA) est entr\u00e9e en vigueur le 10 d\u00e9cembre 2024. \u00c0 compter de septembre 2026, les obligations de d\u00e9claration s’appliqueront, et \u00e0 partir de d\u00e9cembre 2027, tous les produits num\u00e9riques sur le march\u00e9 europ\u00e9en devront satisfaire aux exigences compl\u00e8tes en mati\u00e8re de s\u00e9curit\u00e9. Pour les DSI, ce n’est pas seulement la conformit\u00e9 propre qui change, mais toute la logique d’approvisionnement : pas de marquage CE sans preuve de cybers\u00e9curit\u00e9, pas d’acc\u00e8s au march\u00e9 europ\u00e9en sans d\u00e9claration de conformit\u00e9.<\/strong><\/p>\n Le CRA concerne tous les \u00ab produits dot\u00e9s d’\u00e9l\u00e9ments num\u00e9riques \u00bb : mat\u00e9riels et logiciels mis sur le march\u00e9 europ\u00e9en. Peu importe que le fabricant ait son si\u00e8ge dans l’UE. Un capteur IoT de Shenzhen, un client VPN de Californie et un pare-feu de Munich sont soumis aux m\u00eames r\u00e8gles.<\/p>\n La loi distingue trois classes. Les produits standard (la majorit\u00e9) peuvent \u00eatre certifi\u00e9s par auto-\u00e9valuation. Les produits de classe I (notamment les gestionnaires de mots de passe, les produits VPN, les navigateurs web, les appareils domotiques et les syst\u00e8mes d’exploitation) sont soumis \u00e0 des proc\u00e9dures plus strictes. Les produits de classe II (pare-feux, syst\u00e8mes de d\u00e9tection d’intrusion, microprocesseurs inviolables) n\u00e9cessitent une \u00e9valuation tierce par un organisme notifi\u00e9.<\/p>\n Sont exclus les logiciels open source \u00e0 but non commercial, les dispositifs m\u00e9dicaux, les v\u00e9hicules et les produits destin\u00e9s \u00e0 la s\u00e9curit\u00e9 nationale. Tout le reste qui est num\u00e9rique et vendu rel\u00e8ve du CRA.<\/p>\n 1. S\u00e9curit\u00e9 int\u00e9gr\u00e9e d\u00e8s la conception et par d\u00e9faut.<\/strong> La cybers\u00e9curit\u00e9 doit \u00eatre int\u00e9gr\u00e9e d\u00e8s le d\u00e9but du d\u00e9veloppement. Pas de mots de passe par d\u00e9faut faibles, surface d’attaque minimis\u00e9e, chiffrement des donn\u00e9es stock\u00e9es et transmises. La possibilit\u00e9 de mises \u00e0 jour automatiques de s\u00e9curit\u00e9 doit \u00eatre assur\u00e9e.<\/p>\n 2. Gestion des vuln\u00e9rabilit\u00e9s et SBOM.<\/strong> Les fabricants doivent \u00e9tablir une nomenclature des composants logiciels (Software Bill of Materials, SBOM). Nuance importante : la publication de la SBOM n’est pas obligatoire. Elle sert au traitement interne des vuln\u00e9rabilit\u00e9s et doit \u00eatre pr\u00e9sent\u00e9e sur demande de l’autorit\u00e9 de surveillance du march\u00e9. En outre, un processus de divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s doit \u00eatre mis en place.<\/p>\n 3. Obligations de d\u00e9claration \u00e0 partir de septembre 2026.<\/strong> En cas de vuln\u00e9rabilit\u00e9s activement exploit\u00e9es, les fabricants doivent envoyer un avertissement pr\u00e9coce \u00e0 l’ENISA dans les 24 heures. Un rapport d\u00e9taill\u00e9 doit suivre dans les 72 heures. Le rapport final est exig\u00e9 apr\u00e8s 14 jours.<\/p>\n 4. Marquage CE pour la cybers\u00e9curit\u00e9.<\/strong> Sans conformit\u00e9 au CRA, pas de marquage CE. Sans marquage CE, pas d’acc\u00e8s au march\u00e9 europ\u00e9en. Les fabricants doivent \u00e9tablir une d\u00e9claration de conformit\u00e9 UE. Les importateurs doivent conserver ce document pendant dix ans.<\/p>\n 5. Mises \u00e0 jour de s\u00e9curit\u00e9 gratuites pendant au moins cinq ans.<\/strong> Les fabricants doivent communiquer la date de fin de support et fournir gratuitement des mises \u00e0 jour de s\u00e9curit\u00e9 pendant toute la dur\u00e9e du support.<\/p>\n \n\u00ab Le CRA change les r\u00e8gles du jeu pour l’ensemble du march\u00e9 num\u00e9rique europ\u00e9en. Pour la premi\u00e8re fois, la cybers\u00e9curit\u00e9 devient une condition pr\u00e9alable au marquage CE des produits num\u00e9riques. \u00bb Le CRA n’oblige pas uniquement les fabricants, mais tous les acteurs \u00e9conomiques de la cha\u00eene d’approvisionnement. Pour les DSI et les acheteurs informatiques, cela signifie : les crit\u00e8res d’achat doivent \u00eatre mis \u00e0 jour.<\/p>\n Sept questions que les achats devront poser \u00e0 partir de 2026 :<\/strong><\/p>\n 1. Une d\u00e9claration de conformit\u00e9 UE (DoC) au CRA est-elle disponible ?<\/p>\n 2. Le marquage CE est-il pr\u00e9sent et li\u00e9 aux exigences du CRA ?<\/p>\n 3. Quelle est la dur\u00e9e du support annonc\u00e9e ? Que se passe-t-il \u00e0 la fin du support ?<\/p>\n 4. Une SBOM est-elle disponible (sur demande) ?<\/p>\n 5. Quelle voie d’\u00e9valuation de la conformit\u00e9 a \u00e9t\u00e9 choisie ?<\/p>\n 6. Existe-t-il un processus document\u00e9 de divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s ?<\/p>\n 7. Le fabricant dispose-t-il d’une politique de mises \u00e0 jour automatiques de s\u00e9curit\u00e9 ?<\/p>\n Les contrats d’achat devraient inclure explicitement les preuves de conformit\u00e9 au CRA, les obligations de mise \u00e0 jour et les modalit\u00e9s de fin de support. Le CRA fixe la norme pour ce qui constitue un d\u00e9faut de produit.<\/p>\n Le CRA r\u00e9gule les produits<\/strong> avant leur mise sur le march\u00e9. NIS2<\/a> r\u00e9gule les organisations<\/strong> en exploitation. DORA<\/a> r\u00e9gule les entreprises financi\u00e8res<\/strong> et leurs fournisseurs TIC. L’AI Act r\u00e9gule les syst\u00e8mes d’IA<\/strong> selon des classes de risque. Le CRA et NIS2 peuvent s’appliquer simultan\u00e9ment.<\/p>\n Le CRA fait de la cybers\u00e9curit\u00e9 un sas d’entr\u00e9e sur le march\u00e9 europ\u00e9en. Pas de marquage CE sans preuve de s\u00e9curit\u00e9, pas de commercialisation sans d\u00e9claration de conformit\u00e9, aucune vuln\u00e9rabilit\u00e9 sans d\u00e9claration dans les 24 heures. Les obligations de d\u00e9claration entrent d\u00e9j\u00e0 en vigueur en septembre 2026. Celui qui attend jusque-l\u00e0 aura un probl\u00e8me de timing.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Oui. Le CRA concerne tous les \u00ab produits dot\u00e9s d’\u00e9l\u00e9ments num\u00e9riques \u00bb, donc mat\u00e9riels et logiciels. Les logiciels open source \u00e0 but non commercial sont exclus.<\/p>\n<\/details>\n Non. La SBOM doit \u00eatre \u00e9tablie et pouvoir \u00eatre pr\u00e9sent\u00e9e sur demande de l’autorit\u00e9 de surveillance du march\u00e9. Une publication obligatoire n’est pas pr\u00e9vue.<\/p>\n<\/details>\n Des amendes allant jusqu’\u00e0 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel. En outre, les autorit\u00e9s de surveillance du march\u00e9 peuvent interdire la commercialisation ou ordonner des rappels de produits. En Allemagne, le BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique) est comp\u00e9tent.<\/p>\n<\/details>\n Le CRA r\u00e9gule les produits (avant la mise sur le march\u00e9), NIS2 r\u00e9gule les organisations (en exploitation). Les deux peuvent s’appliquer simultan\u00e9ment.<\/p>\n<\/details>\n Mettre \u00e0 jour les crit\u00e8res d’achat, v\u00e9rifier la pr\u00e9paration au CRA des fournisseurs existants, compl\u00e9ter les contrats d’achat par des preuves de conformit\u00e9 et des obligations de mise \u00e0 jour.<\/p>\n<\/details>\nL’essentiel<\/h2>\n
\n
Ce que r\u00e9gule le CRA<\/h2>\n
Les cinq obligations principales pour les fabricants<\/h2>\n
\nBSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique), page d’information sur la loi sur la r\u00e9silience cybern\u00e9tique<\/cite>\n<\/p><\/blockquote>\nCe que les DSI doivent modifier d\u00e8s maintenant dans leurs achats<\/h2>\n
Distinction : CRA, NIS2, DORA et AI Act<\/h2>\n
Conclusion : la cybers\u00e9curit\u00e9 devient une condition d’acc\u00e8s au march\u00e9<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Le CRA s’applique-t-il aussi aux logiciels ?<\/strong><\/summary>\n
La SBOM doit-elle \u00eatre publi\u00e9e ?<\/strong><\/summary>\n
Que se passe-t-il en cas de non-conformit\u00e9 ?<\/strong><\/summary>\n
Quel lien existe-t-il entre CRA et NIS2 ?<\/strong><\/summary>\n
Que doit faire le DSI d’ici septembre 2026 ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n