L’ANSSI et le Cyber Resilience Act : qui fait quoi en France

En France, trois acteurs publics se partagent l’application du Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience. L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, reçoit vos signalements par son CSIRT, le CERT-FR, et notifie les organismes d’évaluation de la conformité. L’ANFR, l’Agence nationale des fréquences, surveille le marché avec l’appui technique de l’ANSSI. La DGE, la Direction générale des entreprises, informe les entreprises.

Cette répartition vient d’une page de la DGE publiée le 12 mars 2026 et mise à jour le 22 septembre 2026, et de la page CRA de l’ANFR. Nous ne décrivons ici que ce que ces sources écrivent.

Ce que le règlement demande à chaque État

Le CRA est un règlement européen : il s’applique tel quel en France, sans loi de transposition. Il laisse pourtant chaque État désigner ses propres autorités :

Rôle	Ce que dit le règlement	En France
CSIRT désigné comme coordinateur	Reçoit les signalements des fabricants dont l’établissement principal est dans le pays (article 14, paragraphe 7)	Le CERT-FR, CSIRT de l’ANSSI
Autorité notifiante	Évalue, désigne, notifie et contrôle les organismes d’évaluation de la conformité (article 36)	L’ANSSI
Autorité de surveillance du marché	Contrôle les produits mis sur le marché (article 52)	L’ANFR, avec l’appui technique de l’ANSSI

La DGE précise aussi que des mesures sont prévues pour adapter le droit français à ce cadre européen.

L’ANSSI et le CERT-FR : vos signalements

Depuis le 11 septembre 2026, vous devez signaler toute faille activement exploitée dans votre produit et tout incident grave qui touche sa sécurité : alerte précoce en 24 heures, notification en 72 heures, puis rapport final (article 14). Le détail est dans notre guide du signalement.

Vous n’écrivez pas directement au CERT-FR. Vous passez par la plateforme unique de signalement de l’ENISA, l’agence européenne de cybersécurité (article 16). La notification part vers le point d’entrée du CSIRT coordinateur de l’État où se trouve votre établissement principal, et l’ENISA la reçoit en même temps (article 14, paragraphe 7). Selon la DGE, pour la France, c’est le CERT-FR qui reçoit, analyse et coordonne le traitement des failles et incidents signalés.

Votre établissement principal est l’État où se prennent surtout les décisions de cybersécurité sur vos produits. Si on ne peut pas le déterminer, c’est l’État où vous avez le plus de salariés dans l’Union. Une PME basée à Lyon qui conçoit ses produits en France signale donc au CERT-FR, même si elle vend surtout en Allemagne.

L’ANSSI, autorité notifiante : les organismes notifiés

Certains produits importants ou critiques doivent passer par un organisme notifié, un auditeur agréé, avant le marquage CE. Voyez les classes de produits pour savoir si c’est votre cas.

Selon la DGE, l’ANSSI est l’autorité notifiante pour le CRA : elle évalue, contrôle et notifie les organismes d’évaluation de la conformité qui veulent travailler dans ce cadre. Les règles qui encadrent cette notification s’appliquent depuis le 11 juin 2026 (article 71, paragraphe 2). Le règlement demande aussi aux États de s’efforcer d’avoir assez d’organismes notifiés d’ici le 11 décembre 2026, pour éviter les goulets d’étranglement (article 35, paragraphe 2).

Pour un fabricant, la conséquence est pratique : quand ils seront notifiés, ces organismes apparaîtront dans la base NANDO de la Commission européenne, qui liste les organismes notifiés de l’Union.

L’ANFR : la surveillance du marché

L’ANFR se présente comme l’autorité de surveillance du marché pour les produits numériques. Sur sa page consacrée au CRA, elle liste ses missions :

• analyser le marché pour vérifier la conformité des produits ;
• examiner les produits sur le plan technique et documentaire, pour décider des essais à faire ;
• mener des contrôles après des signalements de l’ANSSI, en particulier quand un fabricant ne corrige pas dans les délais une faille activement exploitée ;
• prendre des mesures correctives ou restrictives si besoin.

Le troisième point relie directement les deux mondes. Un signalement au CERT-FR suivi d’une absence de correctif peut mener à un contrôle de l’ANFR. Les sanctions possibles sont décrites dans notre guide des sanctions.

C’est aussi l’ANFR qui peut vous demander votre documentation technique ou votre SBOM, sur requête motivée (article 13, paragraphe 22, et annexe VII, point 8).

La DGE : l’information des entreprises

La DGE indique qu’elle informe et sensibilise les entreprises, notamment les PME, sur les exigences du CRA, en lien avec l’ANSSI et l’ANFR. Elle renvoie aussi vers la foire aux questions de la Commission européenne sur la mise en œuvre du CRA.

Où lire les sources officielles

• Le texte du règlement (UE) 2024/2847 sur EUR-Lex
• Le site de l’ANSSI, qui publie une foire aux questions sur le CRA
• La FAQ de la Commission européenne sur la mise en œuvre du CRA, en anglais
• L’annonce de l’ENISA sur l’ouverture de la plateforme unique de signalement, en anglais

Ces rôles peuvent encore évoluer avec la loi française d’adaptation. Vérifiez sur ces pages avant une démarche importante.

Ce que fait Proofsheet

Proofsheet est une application web. Elle n’est liée ni à l’ANSSI, ni à l’ANFR, ni à aucune autorité, et elle n’envoie rien en votre nom. À partir de votre fichier, elle génère ce que ces autorités peuvent vous demander : la liste des composants (SBOM en CycloneDX 1.5 et SPDX 2.3), les failles connues trouvées dans la base NVD, et l’état des 22 points de l’annexe I. Le dossier à 249 € inclut un guide du signalement de l’article 14.

Avec Watchdog, un abonnement logiciel à 79 € par mois (bientôt disponible), le kit 24 heures génère des brouillons de l’alerte précoce, de la notification à 72 heures, du rapport final et du message aux utilisateurs. C’est vous qui les envoyez sur la plateforme de l’ENISA, vers le CERT-FR. C’est une preuve technique, pas un certificat juridique.

Découvrez Watchdog, ou lisez le calendrier du CRA.