Cyber Resilience Act : ce qui change pour les éditeurs de logiciels
Le Cyber Resilience Act (CRA) est souvent présenté comme une règle pour les objets connectés — caméras, montres, appareils domestiques. C'est vrai, mais incomplet. Les éditeurs de logiciels sont concernés aussi — mais pas tous de la même façon : tout dépend si votre logiciel s'installe quelque part chez l'utilisateur, ou reste uniquement accessible via un navigateur.
Cet article résume l'essentiel, sans jargon juridique.
Le CRA en une phrase
Le règlement (UE) 2024/2847, dit Cyber Resilience Act, impose des exigences de cybersécurité à tout produit comportant des éléments numériques vendu dans l'Union européenne — matériel et logiciel.
Il fixe des règles sur :
- la sécurité du produit lui-même (configuration par défaut, mises à jour, chiffrement des données)
- la gestion des vulnérabilités (comment vous les détectez, les corrigez, les signalez)
- la documentation à fournir pour prouver que tout cela est en place
Le vrai critère : un composant installé, pas juste un accès web
Le texte s'applique à tout produit dont l'usage prévu implique une connexion — directe ou indirecte — à un réseau ou à un autre appareil. Mais encore faut-il qu'il s'agisse d'un produit au sens du règlement (Art. 3(1)) : un logiciel ou un matériel placé sur le marché, pas un service continu.
C'est là que la distinction SaaS devient cruciale :
- Un SaaS pur, accessible uniquement via navigateur, sans rien à installer chez l'utilisateur, n'est généralement pas un « produit » au sens du CRA. Les lignes directrices de la Commission européenne (juillet 2026) le confirment : une application web utilisée uniquement via un navigateur n'entre pas dans le champ du règlement. Ce type de service peut en revanche relever de NIS2, selon la taille de l'entreprise (voir notre article dédié).
- Dès qu'il existe un composant installé côté utilisateur — application desktop, app mobile, extension de navigateur, objet connecté — ce composant est un produit à part entière, dans le champ du CRA. Le backend cloud dont il dépend pour fonctionner entre alors dans le champ avec lui, comme « solution de traitement de données à distance » (Recitals 11-12, Art. 3(2)).
La question qui compte n'est donc pas « mon logiciel est-il en ligne ? », mais « installe-t-il quelque chose chez l'utilisateur, au-delà d'un accès web ? »
Les dates à retenir
Deux échéances, pas une seule :
11 sept. 2026
Le signalement des vulnérabilités activement exploitées devient obligatoire — alerte sous 24h, notification sous 72h, rapport final au plus tard 14 jours après la mise à disposition d'une mesure corrective. Cette date arrive avant l'application complète du règlement.
11 déc. 2027
Application complète du règlement. La mise sur le marché d'un produit non conforme devient interdite.
Suis-je concerné ? Les critères en bref
Trois questions suffisent à savoir si vous êtes concerné :
- Mon logiciel installe-t-il quelque chose chez l'utilisateur (application, extension, objet connecté) — au-delà d'un simple accès via navigateur ?
- Ce composant se connecte-t-il à un réseau ou à un serveur distant ?
- Est-il fourni dans le cadre d'une activité professionnelle ? (La notion est large — voir plus haut.)
Si vous répondez oui aux trois, le CRA s'applique à vous — et le backend dont dépend ce composant entre dans le champ avec lui.
Si vous êtes en SaaS pur, sans rien d'installé côté utilisateur, la réponse à la première question est non — le CRA ne s'applique probablement pas à vous. Vérifiez plutôt du côté de NIS2.
Reste ensuite à savoir comment vous mettre en conformité — et là, bonne nouvelle pour la plupart des éditeurs concernés : sauf à correspondre à une catégorie particulière (gestionnaire de mots de passe, pare-feu, VPN…), vous relevez du cas « par défaut ». Ce n'est pas une sortie du champ d'application — c'est simplement la procédure la plus légère : une auto-évaluation, sans passage obligatoire par un organisme tiers. Rassurant, mais ça ne dispense pas de faire le travail : évaluation des risques, documentation technique, déclaration de conformité.
Ce qui est en jeu
Le non-respect des exigences essentielles peut entraîner une amende administrative allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial — le montant le plus élevé étant retenu (article 64 du règlement).
Au-delà de la sanction : un produit non conforme ne peut légalement pas être mis sur le marché de l'UE.
Pour aller plus loin
Sources officielles, pour vérifier par vous-même :
- Texte complet du règlement (UE) 2024/2847 — EUR-Lex
- Page de référence de la Commission européenne sur le CRA
- Résumé officiel des dispositions principales
- CRA, NIS2, RGPD : quelle différence, et lequel vous concerne ?
Et concrètement, pour vous ?
Savoir que le CRA existe ne dit pas si votre produit est concerné, ni ce qu'il vous reste à faire.
Le diagnostic gratuit CRA Kit répond à ces deux questions en 10 minutes, sur la base de votre situation réelle — pas d'un cas générique.
Démarrer le diagnostic gratuit →Cet article est fourni à titre informatif et ne constitue pas un avis juridique.
Retour au guide