Cyber Resilience Act : préparer vos produits au marquage CE

Tout fabricant qui met sur le marché européen un produit comportant des éléments numériques dont l'usage prévoit une connexion, directe ou indirecte, à un appareil ou à un réseau : objets connectés, équipements industriels, logiciels installés, firmware, ainsi que les solutions de traitement de données à distance indispensables au fonctionnement du produit. Les importateurs et les distributeurs ont aussi des obligations de vérification.

Sont exclus les produits déjà couverts par une réglementation sectorielle équivalente — dispositifs médicaux (MDR) et de diagnostic in vitro (IVDR), véhicules, aéronautique, équipements marins — ainsi que les services SaaS sans lien avec un produit, qui relèvent de NIS2.

Le règlement (UE) 2024/2847 est entré en vigueur le 10 décembre 2024. Les dispositions relatives aux organismes notifiés s'appliquent depuis le 11 juin 2026 et l'obligation de signaler les vulnérabilités activement exploitées et les incidents graves depuis le 11 septembre 2026, pour tous les produits déjà sur le marché. L'ensemble des exigences s'applique le 11 décembre 2027.

Les signalements suivent un calendrier serré : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final, via la plateforme unique de signalement de l'ENISA.

Le respect des exigences essentielles du CRA devient une condition du marquage CE. Le fabricant mène une évaluation de la conformité, établit la documentation technique et la déclaration UE de conformité, puis appose le marquage CE.

Pour la majorité des produits, l'auto-évaluation suffit. Les produits « importants » de classe I doivent appliquer une norme harmonisée ou passer par un organisme notifié ; ceux de classe II et les produits « critiques » exigent une évaluation par un tiers ou une certification.

Les dispositifs médicaux et de diagnostic in vitro sont exclus du CRA, car le MDR et l'IVDR encadrent déjà leur cybersécurité. En revanche, les produits de votre gamme qui ne sont pas qualifiés de dispositifs médicaux — passerelles, objets de bien-être, applications compagnons, équipements hospitaliers non médicaux — entrent dans son périmètre.

Un même programme (SBOM, gestion des vulnérabilités, développement sécurisé) répond aux deux cadres : nous vous aidons à qualifier chaque produit et à mutualiser les preuves.

Aux États-Unis, la section 524B du Federal Food, Drug, and Cosmetic Act impose depuis 2023 aux « cyber devices » un plan de surveillance et de traitement des vulnérabilités, y compris une divulgation coordonnée, des processus de conception et de mise à jour sécurisés, et la fourniture d'un SBOM.

Ces exigences recoupent largement l'Annexe I du CRA. Un fabricant medtech peut construire un socle unique — processus CVD, SBOM, NIST SSDF — réutilisable pour la soumission FDA et pour le marquage CE de ses produits non médicaux.

Le non-respect des exigences essentielles est passible d'une amende pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. Les autorités de surveillance du marché peuvent aussi exiger le rappel ou le retrait du produit.