Le CRA dans une PME : les vraies obligations et les vrais allègements

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, s’applique à votre produit quelle que soit la taille de votre entreprise. Une PME de 8 personnes doit respecter les mêmes 22 exigences essentielles qu’un grand groupe. Les allègements portent sur la forme et les sanctions : un dossier technique simplifié, pas d’amende pour l’alerte de 24 heures manquée, des frais d’évaluation réduits et des aides des États.

Êtes-vous une micro ou une petite entreprise ?

Le CRA reprend la définition européenne des PME (article 3, qui renvoie à la recommandation 2003/361/CE) :

Catégorie	Effectif	Chiffre d’affaires ou total du bilan annuel
Microentreprise	moins de 10 personnes	au plus 2 millions d’euros
Petite entreprise	moins de 50 personnes	au plus 10 millions d’euros
Moyenne entreprise	moins de 250 personnes	chiffre d’affaires au plus 50 millions d’euros, ou bilan au plus 43 millions d’euros

Attention : la plupart des allègements du CRA visent les micro et petites entreprises seulement, pas les moyennes. Et si votre société appartient à un groupe, il faut compter les effectifs et les chiffres des entreprises liées, selon les règles de la recommandation.

Ce qui ne change pas

Rien ne vous dispense des obligations de fond. Une petite entreprise doit, comme les autres :

• respecter l’annexe I, parties I et II ;
• faire et documenter son évaluation des risques (article 13, paragraphes 2 à 4) ;
• tenir une période de support d’au moins cinq ans (article 13, paragraphe 8) ;
• signaler les failles activement exploitées et les incidents graves (article 14) ;
• établir la déclaration UE de conformité et apposer le marquage CE.

Les allègements réels

Allègement	Pour qui	Source
Documentation technique dans un format simplifié, que les organismes notifiés doivent accepter	Micro et petites entreprises	Art. 33(5)
Pas d’amende administrative pour le délai de 24 heures de l’alerte précoce manqué	Micro et petites entreprises	Art. 64(10)(a)
Frais d’évaluation de la conformité réduits en fonction de leurs besoins	Micro, petites et moyennes entreprises, y compris les jeunes pousses	Art. 32(6)
Taille prise en compte pour fixer le montant d’une amende	Micro, petites et moyennes entreprises	Art. 64(5)(c)
Sensibilisation, formation, canal de contact dédié, soutien aux essais	Micro et petites entreprises, selon ce que chaque État organise	Art. 33(1)
Orientations de la Commission	Micro, petites et moyennes entreprises	Art. 33(3) et art. 26

Le formulaire simplifié de l’article 33, paragraphe 5, doit être défini par la Commission par acte d’exécution. Il allège la présentation, pas le contenu : les huit rubriques de l’annexe VII restent à couvrir. Notre guide sur la documentation technique les passe en revue.

Pour l’alerte de 24 heures, lisez bien la nuance. L’exception porte sur l’amende, pas sur l’obligation. La notification à 72 heures, le rapport final et l’information des utilisateurs restent dus et peuvent être sanctionnés. Voyez le guide du signalement.

Les aides possibles

L’article 33 demande aux États d’organiser, le cas échéant, des actions de sensibilisation et un canal de contact pour les micro et petites entreprises, et permet des « sas réglementaires » : des environnements d’essai encadrés par l’autorité de surveillance du marché (article 33, paragraphe 2). La Commission doit aussi faire connaître les financements européens disponibles (article 33, paragraphe 4).

En France, la Direction générale des entreprises dit informer les entreprises, notamment les PME, sur les exigences du CRA, en lien avec l’ANSSI et l’ANFR. La Commission européenne publie une foire aux questions sur la mise en œuvre du CRA.

Le vrai problème d’une petite équipe

Dans une entreprise de 5 à 50 personnes, la personne qui s’occupe du CRA est souvent aussi celle qui développe le firmware et répond aux clients. Le texte ne manque pas de clarté ; c’est le temps qui manque. Deux tâches mangent le plus d’heures :

1. Savoir ce qu’il y a dans chaque produit. Le SDK de la puce, la pile Wi-Fi, le Linux du sous-traitant. Sans liste des composants et des versions, vous ne pouvez ni évaluer les risques ni réagir à une faille.
2. Écrire le dossier. L’annexe VII demande huit rubriques, et sans norme harmonisée publiée, vous décrivez vous-même votre réponse à chacune des 22 exigences.

Par où commencer cette semaine

• Faites la liste de vos produits encore vendus ou encore en service, et de leurs versions de firmware.
• Vérifiez la classe de chacun avec notre test de classe de produit. Si un produit tombe en classe II ou critique, prévoyez un organisme notifié.
• Désignez une personne et un suppléant pour le signalement, et créez leur accès à la plateforme de l’ENISA.
• Choisissez votre durée de support et notez pourquoi.

Ce que fait Proofsheet

Proofsheet est une application web pensée pour une équipe sans service sécurité. Vous envoyez le fichier que vous livrez, sans rendez-vous ni appel, et l’application génère un rapport en français clair, en quelques minutes. L’aperçu gratuit montre les trois principaux risques. Pour 99 €, vous obtenez la liste complète des composants (CycloneDX 1.5 et SPDX 2.3) et le rapport de risque pour une version. Pour 249 €, le dossier ajoute l’index de l’annexe VII, la fiche de durée de support, le guide de l’article 14, la liste de contrôle de la déclaration et les modèles de politique.

Watchdog (abonnement logiciel à 79 € par mois) et l’offre Agency (299 € par mois, pour les équipes qui suivent jusqu’à dix produits) ouvrent bientôt. Le fichier envoyé est supprimé sous 24 heures. C’est une preuve technique, pas un certificat juridique.

Voir les tarifs, ou lisez les obligations des fabricants et les sanctions.