Cyber Resilience Act : ce que la loi demande au fabricant

Si vous vendez dans l’Union un produit qui se connecte à un appareil ou à un réseau, le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience (règlement (UE) 2024/2847), fait de vous le premier responsable de sa sécurité. Vous devez concevoir le produit de façon sûre, corriger ses failles pendant au moins cinq ans, signaler celles qui sont exploitées et monter un dossier avant d’apposer le marquage CE. Les signalements s’appliquent depuis le 11 septembre 2026 ; tout le reste s’applique à partir du 11 décembre 2027 (article 71).

Êtes-vous « fabricant » au sens du CRA ?

Le règlement vise les produits comportant des éléments numériques dont l’usage prévu comprend une connexion directe ou indirecte à un appareil ou à un réseau (article 2, paragraphe 1). Cela couvre le matériel, le logiciel, et les services à distance qui font fonctionner le produit, comme l’application cloud qui pilote une caméra.

Le fabricant est celui qui développe ou fait développer le produit et le vend sous son propre nom ou sa propre marque, qu’il soit payant ou gratuit (article 3). Si vous faites fabriquer en Chine un thermostat qui porte votre logo, le fabricant, c’est vous.

Certains produits sortent du champ parce qu’une autre loi européenne les couvre déjà : dispositifs médicaux (règlements 2017/745 et 2017/746), véhicules (règlement 2019/2144), produits aéronautiques certifiés et équipements marins (article 2, paragraphes 2 à 4).

Le cœur du texte : 22 exigences essentielles

L’annexe I contient deux parties. La partie I porte sur le produit : un point général (1), puis treize points de (2)(a) à (2)(m). Le produit doit par exemple être mis sur le marché sans vulnérabilité exploitable connue (point a), avoir une configuration sûre par défaut (point b), recevoir des mises à jour de sécurité (point c) et chiffrer les données qui doivent rester confidentielles (point e).

La partie II porte sur votre façon de gérer les failles, en huit points. Le premier vous demande une nomenclature des logiciels, aussi appelée SBOM : la liste lisible par machine des composants de votre produit, au moins les dépendances de premier niveau. Les autres points vous demandent de corriger sans retard, de tester régulièrement, de publier les failles corrigées, d’avoir une politique de divulgation coordonnée, de donner une adresse de contact, de distribuer les mises à jour de façon sûre et gratuitement.

Au total : 1 + 13 + 8 = 22 points. Notre guide sur la documentation technique explique comment les prouver.

Ce que l’article 13 ajoute

L’article 13 liste vos devoirs de fabricant. Voici ceux qui pèsent le plus sur une petite équipe :

Obligation	Référence
Faire une évaluation des risques, la tenir à jour et la mettre dans le dossier	Art. 13, paragraphes 2 à 4
Vérifier les composants achetés ou open source avant de les intégrer	Art. 13(5)
Signaler une faille trouvée dans un composant à celui qui le maintient	Art. 13(6)
Gérer les failles pendant une période de support d’au moins cinq ans	Art. 13(8)
Garder chaque mise à jour de sécurité disponible 10 ans, ou jusqu’à la fin du support si c’est plus long	Art. 13(9)
Conserver le dossier et la déclaration 10 ans, ou pendant le support si c’est plus long	Art. 13(13)
Mettre un numéro de type, de lot ou de série sur le produit	Art. 13(15)
Indiquer votre nom et vos coordonnées	Art. 13(16)
Désigner un point de contact unique pour les signalements de failles	Art. 13(17)
Fournir la notice de l’annexe II	Art. 13(18)
Afficher à l’achat la date de fin du support, au moins le mois et l’année	Art. 13(19)

La durée de support a son propre guide, car c’est souvent la décision la plus lourde en coûts.

Avant la mise sur le marché

L’article 13, paragraphe 12, fixe l’ordre :

1. Vous rédigez la documentation technique (article 31 et annexe VII).
2. Vous suivez la procédure d’évaluation de la conformité qui correspond à la classe du produit (article 32). Pour la plupart des produits, c’est un contrôle interne, le module A. Certains produits « importants » ou « critiques » passent par un organisme notifié ; voyez les classes de produits.
3. Vous signez la déclaration UE de conformité (article 28 et annexe V).
4. Vous apposez le marquage CE (article 30).

Le marquage CE est la partie que tout le monde connaît. Il arrive en dernier, une fois que le dossier tient debout.

Après la mise sur le marché

Le travail continue tant que dure le support. Une faille activement exploitée ou un incident grave doit être signalé au CSIRT coordinateur et à l’ENISA en 24 heures, puis 72 heures, puis un rapport final (article 14) ; le détail est dans notre guide du signalement. Vous devez aussi informer les utilisateurs touchés (article 14, paragraphe 8).

Si vous découvrez que le produit ne respecte plus l’annexe I, vous corrigez, retirez ou rappelez le produit sans attendre (article 13, paragraphe 21). Et si votre entreprise ferme, vous prévenez l’autorité de surveillance du marché et, si possible, vos utilisateurs avant la fermeture (article 13, paragraphe 23).

Les produits déjà vendus avant le 11 décembre 2027 n’ont à respecter le règlement que s’ils subissent une modification substantielle après cette date. Le signalement de l’article 14, lui, s’applique à tous (article 69).

Ce que fait Proofsheet

Proofsheet est une application web. Vous envoyez le fichier que vous livrez : le firmware de l’appareil, l’application mobile ou le logiciel de bureau. En quelques minutes, l’application en tire la liste des composants et de leurs versions, au format CycloneDX 1.5 et SPDX 2.3, et la compare à la base NVD des failles connues. Le rapport généré place ces preuves sur les 22 points de l’annexe I, chacun marqué « prouvé », « partiel » ou « ouvert ». Aucun humain n’examine votre fichier. Le point (2)(a), « aucune vulnérabilité exploitable connue », n’est jamais plus que partiel : un fichier ne suffit pas à le prouver.

Ce que l’application ne fait pas : signer votre déclaration, choisir votre procédure ou décider de votre durée de support. Le rapport est une preuve technique, pas un certificat juridique. Le fichier envoyé est supprimé sous 24 heures.

Voir un exemple de rapport, ou lisez le calendrier du CRA pour savoir ce qui s’applique déjà.