Cyber Resilience Act : gardez l’accès au marché européen

Un SaaS autonome n’est pas un produit au sens du CRA : il relève d’autres textes, comme NIS 2. Tout change si vous fournissez aussi un logiciel ou un objet connecté : application mobile ou de bureau, agent, extension de navigateur. Ce logiciel est un produit, et si l’une de ses fonctions ne peut pas s’exécuter sans votre API ou votre base de données, le service qui les fournit devient sa « solution de traitement de données à distance », couverte elle aussi. Seule cette partie du service est concernée, pas la sécurité de tout votre système d’information.

Le règlement sur la cyberrésilience est entré en vigueur le 10 décembre 2024. Les règles sur les organismes notifiés s’appliquent depuis le 11 juin 2026, l’obligation de signalement depuis le 11 septembre 2026. Toutes les autres obligations, marquage CE compris, s’appliquent à partir du 11 décembre 2027. Le signalement vaut aussi pour vos produits déjà sur le marché ; les autres exigences ne s’imposent à un produit mis sur le marché avant le 11 décembre 2027 que s’il fait ensuite l’objet d’une modification substantielle, par exemple une mise à jour qui change son utilisation prévue.

Une vulnérabilité activement exploitée dans votre produit, c’est-à-dire utilisée par un acteur malveillant, et tout incident grave touchant sa sécurité. Une faille trouvée par un chercheur ou lors d’un test d’intrusion, sans exploitation connue, n’a pas à être déclarée. Pour chaque événement : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final, au plus tard 14 jours après la mise à disposition d’un correctif pour une vulnérabilité, un mois après la notification pour un incident. La déclaration passe par la plateforme unique de signalement de l’ENISA et parvient en même temps au centre de réponse aux incidents de sécurité informatique (CSIRT) coordinateur, le CERT-FR pour une entreprise établie en France. Vous informez aussi les utilisateurs touchés. Aucune équipe dédiée n’est imposée : il faut un point de contact unique et une organisation qui tienne les délais.

Le fabricant porte l’essentiel des obligations : c’est celui qui commercialise le produit sous son nom ou sa marque, qu’il l’ait développé lui-même ou fait développer. Vendre sous votre marque un produit conçu ailleurs fait donc de vous son fabricant, tout comme modifier substantiellement un produit existant. L’importateur, qui met sur le marché européen le produit d’une marque établie hors de l’Union, vérifie avant la vente l’évaluation de conformité, la documentation technique, le marquage CE, la notice et la date de fin de la période d’assistance. Le distributeur contrôle le marquage CE et ces documents. Tous deux signalent au fabricant les vulnérabilités qu’ils découvrent et ne vendent pas un produit qu’ils ont des raisons de croire non conforme.

Pour la plupart des produits, non : dans la catégorie par défaut, vous évaluez vous-même la conformité par un contrôle interne, signez la déclaration UE, puis apposez le marquage CE, sur la déclaration ou sur le site qui accompagne un logiciel. Un produit important de classe I, comme un VPN ou un gestionnaire de mots de passe, peut suivre la même voie s’il applique entièrement une norme harmonisée, une spécification commune ou un schéma européen de certification ; sinon, un organisme notifié intervient. En classe II, comme un pare-feu ou un hyperviseur, un tiers intervient toujours. Seule compte la fonctionnalité de base : intégrer un navigateur à votre produit n’en fait pas un produit important. Les normes harmonisées sont encore en préparation, certaines jusqu’à fin 2027, et l’ANSSI prévoit les premières notifications d’organismes fin 2026 : un produit concerné se prépare tôt.

Un logiciel libre n’entre dans le périmètre que s’il est fourni dans le cadre d’une activité commerciale. Publier une bibliothèque sans la monétiser, ou contribuer au code d’un projet, ne fait pas de vous un fabricant. La monétiser, par exemple en facturant un support au-delà de son coût ou en en faisant la porte d’entrée d’un service payant, en fait un produit. Si vous intégrez un composant open source, vous restez responsable du produit entier : vous le vérifiez avant de l’intégrer, signalez ses vulnérabilités à ses mainteneurs et les corrigez dans votre produit. Les fondations qui soutiennent durablement des projets libres utilisés commercialement relèvent d’un régime allégé, celui d’« intendant de logiciels ouverts ».

Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les exigences essentielles et les obligations du fabricant, signalement compris. Jusqu’à 10 millions ou 2 % pour les autres obligations, comme la documentation, le marquage CE ou les devoirs des importateurs et distributeurs, et 5 millions ou 1 % pour des informations inexactes fournies aux autorités. La taille de l’entreprise entre dans le calcul. L’autorité de surveillance du marché, l’Agence nationale des fréquences (ANFR) en France, peut aussi exiger une mise en conformité, le retrait ou le rappel du produit.