.png)
Concerné(e) par le Cyber Resilience Act ?
Simplifier ma mise en conformité
Table des matières
Découvrez comment Tenacy structure votre cybersécurité
Planifier une démo
Qu’est-ce que le Cyber Resilience Act ?
Définition officielle du CRA
Le Cyber Resilience Act (CRA) est un règlement de l’Union européenne qui établit des exigences de cybersécurité pour tous les produits numériques mis sur le marché européen. Il s’applique aux logiciels, aux équipements connectés et aux composants numériques intégrés dans des systèmes plus larges.
Contrairement à une directive, ce règlement est directement applicable dans chaque État membre. Il crée ainsi un cadre harmonisé pour la sécurité des produits numériques au sein de l’Union européenne, sans interprétation locale ni délai de transposition.
Quels sont les objectifs du règlement ?
Le CRA poursuit trois objectifs majeurs :
- Élever le niveau de cybersécurité des produits dès leur conception.
- Réduire durablement les vulnérabilités exploitables sur le marché européen.
- Améliorer la transparence et la gestion des incidents tout au long de la vie des produits.
Concrètement, le règlement opère un changement de paradigme : on ne corrige plus la sécurité après coup. Elle devient un élément structurant du développement des produits, au même titre que la performance, le coût ou l’ergonomie.
Différence avec NIS2, DORA, RGPD
Le CRA s’inscrit dans un paysage réglementaire déjà dense :
- NIS2 encadre la sécurité des entités essentielles et importantes.
- DORA cible la résilience opérationnelle du secteur financier.
- Le RGPD protège les données personnelles.
Le Cyber Resilience Act se distingue par son angle : il ne régule pas des organisations, mais des produits. Il agit en amont, sur les éléments numériques eux-mêmes, qu’ils soient intégrés dans des services, des systèmes industriels ou des outils métiers.
Quels sont les produits concernés ?
Sont concernés :
- Les logiciels (on-premise, SaaS, embarqués)
- Les équipements connectés
- Les produits comportant des éléments numériques
- Les composants utilisés dans des systèmes plus larges
Autrement dit, presque tous les produits numériques utilisés en entreprise entrent dans le périmètre du règlement : ERP, outils RH, solutions métiers, capteurs industriels, équipements réseau, etc.
Logique “security by design & by default”
Le texte impose une logique de security by design & by default : la sécurité doit être intégrée dès la conception, et activée par défaut.
Cela implique notamment :
- La réduction des surfaces d’attaque
- La gestion proactive des vulnérabilités
- La capacité à déployer des mises à jour de sécurité
- Une documentation claire des risques résiduels
La cybersécurité devient ainsi une propriété intrinsèque du produit, et non un simple “add-on”.
Qui est concerné par le Cyber Resilience Act ?
Les fabricants de produits numériques :
Les fabricants sont en première ligne. Ils doivent garantir que leurs produits respectent les exigences du règlement, depuis la phase de développement jusqu’à la fin de vie.
Les éditeurs de logiciels :
Les éditeurs sont soumis aux mêmes obligations : gestion des vulnérabilités, mécanismes de mise à jour, documentation de sécurité, processus de réponse aux incidents.
Les intégrateurs / fournisseurs :
Les intégrateurs, importateurs et distributeurs doivent s’assurer que les produits qu’ils mettent sur le marché sont conformes au CRA.
Les autres acteurs concernés par le CRA :
Même si vous n’êtes pas éditeur, vous êtes directement impacté :
- En tant qu’utilisateur, vous devez exiger des garanties de conformité.
- En tant que RSSI, vous devez évaluer les risques liés aux produits utilisés.
- En tant qu’organisation, vous devez documenter votre exposition.
Le CRA transforme la relation fournisseur en enjeu structurel de cybersécurité.
Quelles sont les obligations du Cyber Resilience Act ?
Exigences de sécurité produit
Le règlement impose un socle commun d’exigences :
- Produits conçus pour limiter les vulnérabilités
- Mécanismes de mise à jour sécurisés
- Protection contre les accès non autorisés
- Gestion documentée des risques
- Sécurité maintenue sur toute la durée de vie
Ces obligations s’appliquent à tous les produits numériques concernés, sans distinction de taille d’acteur.
Obligations de reporting
Les fabricants doivent :
- Détecter les incidents et vulnérabilités exploitées
- Notifier les autorités dans des délais stricts
- Informer les utilisateurs
- Conserver des informations exploitables pour l’évaluation
Le reporting devient un pilier central de la réglementation, au même titre que la sécurité elle-même.
Sanctions en cas de non-conformité
Le Cyber Resilience Act s’appuie sur un régime de sanctions particulièrement dissuasif. En cas de non-respect du règlement européen, les autorités pourront infliger :
- des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu) pour les violations les plus graves ;
- jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires pour d’autres manquements aux obligations de cybersécurité ;
- jusqu’à 5 millions d’euros ou 1 % du chiffre d’affaires en cas d’informations inexactes ou trompeuses fournies aux autorités.
Au-delà des sanctions financières, le CRA prévoit des mesures opérationnelles fortes :
- retrait ou rappel des produits non conformes,
- interdiction de mise sur le marché,
- injonctions de mise en conformité sous délai.
Ces sanctions s’accompagnent de risques juridiques, réputationnels et contractuels majeurs, pouvant aller jusqu’à l’exclusion de certaines chaînes d’approvisionnement.
Le Cyber Resilience Act s’inscrit ainsi clairement dans une logique contraignante : la cybersécurité des produits numériques devient un prérequis réglementaire, économique et stratégique.
Quelle est la date d’application du Cyber Resilience Act ?
Le Cyber Resilience Act a été adopté en 2024 et est entré en vigueur le 10 décembre 2024.
Une période de transition est prévue pour permettre aux acteurs du marché d’adapter leurs produits, leurs processus et leur organisation. La date butoir de mise en conformité complète est fixée au 11 décembre 2027 : à partir de cette échéance, seuls les produits conformes pourront être mis sur le marché de l’Union européenne.
Certaines obligations intermédiaires s’appliqueront dès 2026, notamment en matière de notification des vulnérabilités et des incidents. Pour les RSSI, cela signifie une chose : la préparation doit commencer bien avant 2027.
Cyber Resilience Act : quels impacts pour les RSSI ?
Multiplication des exigences à suivre :
Le CRA ajoute une nouvelle couche réglementaire aux côtés de NIS2, ISO 27001 ou DORA. Chaque texte apporte son lot d’exigences, de preuves et d’audits.
Contrôle accru des fournisseurs :
La cybersécurité ne dépend plus uniquement de vos systèmes internes. Elle repose sur la solidité des produits que vous utilisez. La conformité de vos fournisseurs devient un facteur clé de votre propre niveau de résilience.
Pilotage factuel et rigoureux :
Le RSSI doit désormais :
- Centraliser les informations fournisseurs
- Structurer les exigences
- Évaluer les écarts
- Produire des rapports exploitables
- Démontrer la conformité dans la durée
Le CRA impose un pilotage industriel de la conformité.
Comment se préparer au Cyber Resilience Act ?
1. Cartographier les produits numériques utilisés
Identifiez tous les produits comportant des éléments numériques : logiciels métiers, outils SaaS, équipements connectés, composants critiques. Cette cartographie devient la base de votre gouvernance CRA.
2. Identifier les fournisseurs critiques
Tous les fournisseurs ne présentent pas le même niveau de risque. Priorisez ceux qui impactent vos systèmes sensibles, vos données critiques ou votre continuité d’activité.
3. Définir des exigences CRA
Traduisez le texte en exigences opérationnelles : critères de sécurité, clauses contractuelles, attentes en matière de reporting, engagements de mise à jour.
4. Collecter les preuves de conformité
Certifications, attestations, documents techniques, engagements contractuels : chaque élément doit être centralisé, tracé et historisé.
5. Suivre les écarts
Comparez l’état réel des produits avec les exigences du règlement pour identifier les risques résiduels et piloter des plans d’action concrets.
6. Préparer le reporting
Vous devez être capable de produire des rapports clairs pour :
- La direction
- Les auditeurs
- Les autorités
- Les partenaires
Le CRA transforme le reporting en actif stratégique.
Centraliser, automatiser, reporter : la clé pour piloter le CRA dans la durée
Pourquoi Excel ne suffit plus :
Les tableurs ne permettent ni la traçabilité, ni l’alignement entre exigences, preuves et risques. Ils deviennent rapidement ingérables face à la complexité du cadre réglementaire.
Pourquoi les outils généralistes montrent vite leurs limites :
Ils ne gèrent pas :
- Les référentiels réglementaires
- Les liens entre produits, fournisseurs et exigences
- Le suivi dans le temps
- Le reporting structuré
Résultat : une conformité fragile, chronophage et difficile à défendre en audit.
Ce que doit permettre une plateforme moderne :
Une plateforme GRC efficace doit :
- Centraliser les exigences du CRA
- Les aligner avec ISO, NIS2 et autres réglementations
- Automatiser la collecte des informations
- Suivre les écarts
- Produire des rapports prêts pour audit
C’est ce passage d’une conformité “artisanale” à une conformité “industrielle” qui fait toute la différence.
Comment Tenacy aide les RSSI à piloter le Cyber Resilience Act
Tenacy est la plateforme GRC de référence pour piloter la multi-conformité cyber. Elle modélise les principaux standards (ISO 27001, NIST, SOC2, DORA…) et intègre le référentiel CRA.
Avec Tenacy, vous pouvez :
- Générer des plans d’actions à partir du référentiel CRA
- L’aligner avec vos autres cadres de cybersécurité
- Centraliser toutes les informations et preuves
- Suivre vos écarts en temps réel
- Produire des rapports exploitables en quelques clics
Au lieu de subir la complexité du règlement, les RSSI disposent d’un outil pour industrialiser la conformité, gagner en efficacité et valoriser leur impact.
Vous êtes concerné(e) par le Cyber Resilience Act ? Demandez votre démo et découvrez comment Tenacy simplifie votre gestion de la conformité.
Le Cyber Resilience Act : en résumé
Le CRA marque un tournant majeur pour la cybersécurité en Europe. Le règlement :
- Crée un cadre commun pour les produits numériques
- Impose des obligations fortes aux fabricants et éditeurs
- Impacte directement les utilisateurs et les RSSI
- Renforce la responsabilité sur tout le cycle de vie
- Fait du reporting et de la traçabilité des piliers de la conformité
Dans un paysage réglementaire toujours plus dense, la capacité à centraliser, automatiser et reporter devient un avantage stratégique. C’est précisément ce que Tenacy permet : transformer la réglementation en un pilotage maîtrisé, lisible et durable.
