{"id":7661,"date":"2023-06-14T09:00:00","date_gmt":"2023-06-14T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-3575\/"},"modified":"2026-07-04T10:44:59","modified_gmt":"2026-07-04T10:44:59","slug":"eu-cyber-resilience-act-ce-qui-attend-les-fabricants-et-les-distributeurs-de-logiciels","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2023\/06\/14\/eu-cyber-resilience-act-ce-qui-attend-les-fabricants-et-les-distributeurs-de-logiciels\/","title":{"rendered":"EU Cyber Resilience Act : Ce qui attend les fabricants et les distributeurs de logiciels"},"content":{"rendered":"<p><strong>Le EU Cyber Resilience Act (CRA) est plus qu&rsquo;une simple exigence de conformit\u00e9. Il transforme fondamentalement la mani\u00e8re dont les entreprises doivent d\u00e9velopper, tester et mettre sur le march\u00e9 les produits num\u00e9riques. Ceux qui commencent d\u00e8s maintenant \u00e0 se pr\u00e9parer auront un avantage consid\u00e9rable sur leurs concurrents qui attendront jusqu&rsquo;\u00e0 la derni\u00e8re minute.<\/strong><\/p>\n<h2>L&rsquo;essentiel<\/h2>\n<ul>\n<li><strong>Tous les \u00ab\u00a0produits avec des \u00e9l\u00e9ments num\u00e9riques\u00a0\u00bb sont concern\u00e9s :<\/strong> Des appareils IoT aux logiciels  &#8211;  si une connexion r\u00e9seau est pr\u00e9sente, le CRA s&rsquo;applique.<\/li>\n<li><strong>La s\u00e9curit\u00e9 par conception devient obligatoire :<\/strong> La s\u00e9curit\u00e9 doit \u00eatre int\u00e9gr\u00e9e d\u00e8s la phase de d\u00e9veloppement, et non ajout\u00e9e par la suite.<\/li>\n<li><strong>Obligation de support de 5 ans :<\/strong> Les fabricants doivent fournir des mises \u00e0 jour de s\u00e9curit\u00e9 pendant au moins 5 ans ou la dur\u00e9e de vie pr\u00e9vue du produit.<\/li>\n<li><strong>Obligation de d\u00e9claration en 24 heures :<\/strong> Les failles activement exploit\u00e9es doivent \u00eatre signal\u00e9es \u00e0 l&rsquo;ENISA dans un d\u00e9lai de 24 heures.<\/li>\n<li><strong>Amendes allant jusqu&rsquo;\u00e0 15 millions d&rsquo;euros :<\/strong> Ou 2,5 % du chiffre d&rsquo;affaires annuel mondial.<\/li>\n<\/ul>\n<h2>Ce que le CRA r\u00e9glemente  &#8211;  et ce qu&rsquo;il ne r\u00e9glemente pas<\/h2>\n<p>Le Cyber Resilience Act s&rsquo;applique \u00e0 tous les produits qui peuvent \u00eatre connect\u00e9s directement ou indirectement \u00e0 d&rsquo;autres appareils ou r\u00e9seaux. Cela inclut le mat\u00e9riel avec logiciel, les logiciels purs et les SaaS (avec des restrictions). Sont exclus, entre autres, les logiciels open-source sans exploitation commerciale, les dispositifs m\u00e9dicaux (r\u00e9gime propre) et les logiciels automobiles.<\/p>\n<p>Les classes de produits critiques sont plus strictement r\u00e9glement\u00e9es : la classe I (par exemple, les gestionnaires de mots de passe, les navigateurs) doit effectuer une \u00e9valuation de conformit\u00e9. La classe II (par exemple, les pare-feu, les microcontr\u00f4leurs) n\u00e9cessite une certification ind\u00e9pendante par un organisme notifi\u00e9.<\/p>\n<h2>Obligations concr\u00e8tes pour les fabricants<\/h2>\n<p><strong>D\u00e9veloppement :<\/strong> Mettre en \u0153uvre un Secure Development Lifecycle (SDLC), mod\u00e9lisation des menaces, tests de s\u00e9curit\u00e9, revues de code. Pas en tant qu\u2019add-on, mais comme partie int\u00e9grante du processus de d\u00e9veloppement.<\/p>\n<p><strong>Documentation :<\/strong> Documentation technique, Software Bill of Materials (SBOM), d\u00e9claration de conformit\u00e9  &#8211;  tout cela doit \u00eatre disponible pour les autorit\u00e9s.<\/p>\n<p><strong>Exploitation :<\/strong> Surveillance des vuln\u00e9rabilit\u00e9s, gestion des mises \u00e0 jour, programme de divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s (CVD\/VDP). Les failles activement exploit\u00e9es doivent \u00eatre imm\u00e9diatement signal\u00e9es et corrig\u00e9es.<\/p>\n<p><strong>D\u00e9claration de fin de vie :<\/strong> Si un produit sort du support, les utilisateurs doivent \u00eatre inform\u00e9s activement et des chemins de migration doivent \u00eatre communiqu\u00e9s.<\/p>\n<h2>Calendrier et prochaines \u00e9tapes<\/h2>\n<p>Le CRA a \u00e9t\u00e9 propos\u00e9 par la Commission europ\u00e9enne en septembre 2022. Apr\u00e8s le processus l\u00e9gislatif europ\u00e9en, il devrait entrer en vigueur en 2024, avec une p\u00e9riode de transition de 36 mois  &#8211;  donc application compl\u00e8te vers 2027.<\/p>\n<p>Les fabricants devraient commencer maintenant : analyse des \u00e9carts du processus de d\u00e9veloppement actuel, mise en \u0153uvre de SBOM pour tous les produits, cr\u00e9ation d\u2019un programme de divulgation des vuln\u00e9rabilit\u00e9s. 36 mois peuvent sembler longs, mais c\u2019est court pour transformer un processus de d\u00e9veloppement.<\/p>\n<h2>Key Facts en un coup d&rsquo;\u0153il<\/h2>\n<p><strong>Produits concern\u00e9s dans l&rsquo;UE :<\/strong> Environ 400 millions + (estimation de la Commission)<\/p>\n<p><strong>Obligation de support :<\/strong> Au moins 5 ans ou dur\u00e9e de vie pr\u00e9vue du produit<\/p>\n<p><strong>Obligation de d\u00e9claration des failles activement exploit\u00e9es :<\/strong> 24 heures \u00e0 l&rsquo;ENISA<\/p>\n<p><strong>Amende maximale :<\/strong> 15 millions d&rsquo;euros ou 2,5 % du chiffre d&rsquo;affaires annuel mondial<\/p>\n<p><strong>Application compl\u00e8te pr\u00e9vue :<\/strong> 2027 (36 mois apr\u00e8s l&rsquo;entr\u00e9e en vigueur)<\/p>\n<p><strong>Fait :<\/strong> Selon le Allianz Risk Barometer 2025, les cyberattaques sont le plus grand risque commercial au niveau mondial.<\/p>\n<p><strong>Fait :<\/strong> Seulement 43 % des PME allemandes disposent d\u2019un plan d\u2019urgence informatique, selon Bitkom.<\/p>\n<h2>Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Le CRA s&rsquo;applique-t-il \u00e9galement aux logiciels open-source ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non pour les logiciels open-source non commerciaux. Ceux qui utilisent ou distribuent des logiciels open-source \u00e0 des fins commerciales peuvent toutefois \u00eatre concern\u00e9s. Les stewards de projets open-source critiques en mati\u00e8re de s\u00e9curit\u00e9 ont des obligations all\u00e9g\u00e9es.<\/p>\n<\/details>\n<details>\n<summary><strong>Qu&rsquo;est-ce qu&rsquo;un SBOM et pourquoi devient-il important ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Une Software Bill of Materials (SBOM) est un inventaire lisible par machine de toutes les composantes, d\u00e9pendances et licences d\u2019un logiciel. Le CRA rend les SBOM obligatoires  &#8211;  et en cas de vuln\u00e9rabilit\u00e9s, il est imm\u00e9diatement clair quels produits sont concern\u00e9s.<\/p>\n<\/details>\n<details>\n<summary><strong>Le CRA s&rsquo;applique-t-il \u00e9galement aux SaaS ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Oui, en principe, avec des nuances. Les SaaS rel\u00e8vent du CRA s\u2019ils sont utilis\u00e9s comme composante dans des produits num\u00e9riques critiques. Les services B2B purs pourraient avoir des exceptions  &#8211;  le texte final de la r\u00e9glementation apportera plus de clart\u00e9 \u00e0 ce sujet.<\/p>\n<\/details>\n<details>\n<summary><strong>Qui contr\u00f4le la conformit\u00e9 au CRA ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Les autorit\u00e9s nationales de surveillance du march\u00e9 (en Allemagne, le BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique)) sont comp\u00e9tentes. L\u2019ENISA coordonne au niveau de l\u2019UE et re\u00e7oit les signalements de vuln\u00e9rabilit\u00e9s.<\/p>\n<\/details>\n<details>\n<summary><strong>Que doit faire une entreprise maintenant ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Analyse des \u00e9carts : quels produits sont concern\u00e9s ? Quels sont les manquements en mati\u00e8re de documentation, SBOM, SDLC, VDP ? \u00c9laborer un plan de projet qui soit conforme d\u2019ici 2026\/2027. Commencer t\u00f4t cr\u00e9e un avantage concurrentiel.<\/p>\n<\/details>\n<h2>Autres articles sur le sujet<\/h2>\n<p>\u2192 NIS2 : Tous les d\u00e9tails sur la nouvelle directive europ\u00e9enne en mati\u00e8re de cybers\u00e9curit\u00e9<\/p>\n<p>\u2192 S\u00e9curit\u00e9 de la cha\u00eene d&rsquo;approvisionnement 2026 : comment les entreprises prot\u00e8gent leur cha\u00eene d&rsquo;approvisionnement logicielle<\/p>\n<h2>Lectures compl\u00e9mentaires dans le r\u00e9seau<\/h2>\n<p>R\u00e9glementation de l&rsquo;UE pour les entreprises : <a href=\"https:\/\/www.mybusinessfuture.com\" target=\"_blank\" rel=\"noopener\">mybusinessfuture.com<\/a><\/p>\n<p>Conformit\u00e9 technologique : <a href=\"https:\/\/www.cloudmagazin.com\" target=\"_blank\" rel=\"noopener\">cloudmagazin.com<\/a><\/p>\n<h2>Articles connexes<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2025\/06\/12\/reglement-europeen-solidarite-cybernetique\/\">EU Cyber Solidarity Act : l&rsquo;Europe construit une d\u00e9fense cyber commune<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/01\/16\/tendances-cybersecurite-2026\/\">Tendances de la cybers\u00e9curit\u00e9 2026 : les 7 d\u00e9veloppements les plus importants pour les entreprises<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2025\/12\/11\/cybersecurite-2025-annee-retrospective\/\">Cybers\u00e9curit\u00e9 2025 : l&rsquo;ann\u00e9e en revue  &#8211;  incidents, tendances, le\u00e7ons<\/a><\/li>\n<\/ul>\n<p style=\"text-align: right;\"><em>Source de l&rsquo;image : Pexels \/ cottonbro studio<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Le EU Cyber Resilience Act (CRA) est plus qu&rsquo;une simple exigence de conformit\u00e9. Il transforme fondamentalement la mani\u00e8re dont les entreprises doivent d\u00e9velopper, tester et mettre sur le march\u00e9 les produits num\u00e9riques. Ceux qui commencent d\u00e8s maintenant \u00e0 se pr\u00e9parer auront un avantage consid\u00e9rable sur leurs concurrents qui attendront jusqu&rsquo;\u00e0 la derni\u00e8re minute. L&rsquo;essentiel Tous [&hellip;]","protected":false},"author":10,"featured_media":3574,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"cyber resilience act","_yoast_wpseo_title":"EU Cyber Resilience Act : Ce qui attend les fabricants et les distributeurs de l","_yoast_wpseo_metadesc":"Cyber Resilience Act : garantissez la conformit\u00e9 et la s\u00e9curit\u00e9 de vos logiciels d\u00e8s le d\u00e9veloppement. Agissez maintenant pour rester comp\u00e9titif en UE.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-3575"],"footnotes":""},"categories":[260],"tags":[],"class_list":["post-7661","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":3575,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7661","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7661"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7661\/revisions"}],"predecessor-version":[{"id":19063,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7661\/revisions\/19063"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/3574"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7661"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7661"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7661"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}