Mon produit est déjà en ligne : suis-je vraiment tranquille jusqu'en 2027 ?

Un article du règlement mérite d'être lu de près, parce qu'il donne une impression trompeuse à première vue.

Ce que dit le texte

L'article 69§2 du règlement (UE) 2024/2847 prévoit que :

« Les produits comportant des éléments numériques qui ont été mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences énoncées dans le présent règlement que si, à compter de cette date, ces produits font l'objet d'une modification substantielle. »

Autrement dit : un produit déjà sur le marché, qui ne change plus, resterait en dehors du champ des exigences du CRA. Séduisant, si votre produit est stable.

Le vrai piège : la définition de « modification substantielle »

Le règlement définit une modification substantielle comme « une modification [...] qui a une incidence sur la conformité [...] ou qui entraîne une modification de l'utilisation prévue » (article 3§30).

Le considérant 39 précise ce qui compte, et ce qui ne compte pas :

Ne compte pas comme modification substantielle :

• un correctif de sécurité qui réduit le risque, sans changer l'usage prévu
• une mise à jour visuelle mineure (nouveaux pictogrammes, nouvelles langues)

Compte comme modification substantielle :

• l'ajout de fonctionnalités qui changent l'usage prévu du produit
• tout changement qui augmente le niveau de risque de cybersécurité

Le texte est explicite sur la raison : « l'ajout de nouvelles caractéristiques accroît généralement la surface d'attaque et, partant, les risques de cybersécurité ».

Pour qui ce sursis est réel

Concrètement, ce statut protège un produit en fin de vie, en maintenance de sécurité pure — plus aucune nouvelle fonctionnalité, seulement des correctifs.

Ça ne protège pas un produit en développement actif. Si vous continuez à ajouter des fonctionnalités — ce qui décrit la quasi-totalité des SaaS vivants — la première mise à jour de fonctionnalité après le 11 décembre 2027 fait probablement basculer votre produit dans le champ complet du règlement, à ce moment précis.

Ce n'est donc pas une échappatoire durable pour un produit qui évolue. C'est un sursis, qui se referme dès la première vraie nouveauté livrée.

Ce qui reste dû, même pendant ce sursis

Un point à ne pas manquer : l'obligation de signalement des vulnérabilités activement exploitées (article 14) s'applique dès le 11 septembre 2026, indépendamment de ce sursis — on l'a détaillée dans notre article sur cette échéance. Un produit figé qui bénéficie de l'exemption de l'article 69§2 doit quand même signaler toute vulnérabilité activement exploitée qui l'affecte.

En résumé

• Un produit déjà sur le marché et qui ne change plus peut légalement rester hors du champ complet du CRA — jusqu'à sa prochaine modification substantielle.
• Une simple correction de sécurité ne fait pas perdre ce statut. Une nouvelle fonctionnalité, si.
• Pour un produit en développement actif, ce sursis est temporaire par nature — pas une stratégie de contournement à long terme.
• Le signalement des vulnérabilités (dès septembre 2026) reste dû, sursis ou non.

Votre produit, précisément ?

Ces nuances se jugent au cas par cas. Le diagnostic gratuit CRA Kit vous aide à situer votre produit sur votre situation réelle, pas sur un cas générique.

Cet article est fourni à titre informatif et ne constitue pas un avis juridique.