Cyber Resilience Act : ce qui change en septembre 2026 pour les acteurs du numérique

 Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !

Ce 11 septembre 2026, l’article 14 du Cyber Resilience Act entre en application. Ce règlement impose désormais aux fabricants de produits et solutions comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents graves affectant leur sécurité dans les 24 h. Puis, une autre notification plus détaillée devra être émise dans les 72 h. Dans le cas d’un incident grave, elle devra notamment comporter une première évaluation de la situation.

"Les fabricants de produits matériels ou logiciels intégrant une composante numérique sont concernés au même titre que les éditeurs de logiciels, y compris lorsque le logiciel est fourni indépendamment du matériel", précise la Direction générale des entreprises. "À noter que certaines obligations concernent aussi les intendants de logiciels ouverts." Ces obligations spécifiques ne s’appliqueront toutefois qu’à partir du 11 décembre 2027. "Les importateurs mettant sur le marché de l’Union européenne des produits numériques provenant de pays tiers et les distributeurs (en tant qu’acteurs de la chaîne de mise sur le marché) doivent également se conformer au CRA." Ces obligations s’appliqueront également à compter du 11 décembre 2027.

Lire aussi : L’Europe des données : tour d’horizon réglementaire en 2025

Une notification dans les 24h après le constat d'incident

L’Enisa, l’agence de l’UE pour la cybersécurité, est chargée de gérer la plateforme unique de signalement permettant de recueillir ces notifications pour l’ensemble des pays européens. Le déclarant devra spécifier son pays d’origine ainsi que les pays concernés par la vulnérabilité ou l’incident. Au sein de l’Hexagone, le CERT-FR de l’Anssi assurera "la réception, l’analyse et la coordination du traitement des vulnérabilités ou incidents signalés, en lien avec les autorités compétentes", précise la Direction générale des entreprises.

"Désormais, la conformité au CRA sera demandée dans les appels d'offres et dans les projets de contrats, c’est déjà le cas depuis quelque temps", conclut Marc-Antoine Ledieu, avocat au barreau de Paris et spécialiste du droit de la cybersécurité et des contrats IT.

Cette première application du règlement européen n’est qu’une première étape pour les entreprises concernées. D’ici au 11 décembre 2027, elles devront notamment se préparer à respecter l’ensemble des exigences du règlement. Sur son site, l’Anssi a mis en place une foire aux questions.