Sanctions du CRA : les amendes et ce qui pèse davantage

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, prévoit des amendes administratives jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond vise les manquements aux exigences essentielles et aux obligations des articles 13 et 14. Deux autres plafonds, plus bas, couvrent le reste (article 64).

Ce sont des plafonds. L’autorité fixe le montant au cas par cas.

Les trois plafonds

Manquement	Plafond	Source
Exigences essentielles de l’annexe I, obligations du fabricant (article 13) et signalement (article 14)	15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial de l’exercice précédent	Art. 64(2)
Autres obligations listées : mandataires, importateurs et distributeurs (articles 18 à 23), déclaration UE de conformité (article 28), marquage CE (article 30, paragraphes 1 à 4), documentation technique (article 31, paragraphes 1 à 4), procédure d’évaluation (article 32, paragraphes 1 à 3), formulaire simplifié des PME (article 33, paragraphe 5), et certaines obligations des organismes notifiés	10 millions d’euros ou 2 %	Art. 64(3)
Informations inexactes, incomplètes ou trompeuses données à un organisme notifié ou à une autorité de surveillance du marché qui les demande	5 millions d’euros ou 1 %	Art. 64(4)

Dans chaque cas, c’est le montant le plus élevé des deux qui sert de plafond. Pour une entreprise de 20 personnes avec 3 millions d’euros de chiffre d’affaires, 2,5 % font 75 000 euros : le plafond reste donc 15 millions d’euros. Le pourcentage ne joue que pour les grands groupes.

Comment l’autorité fixe le montant

L’article 64, paragraphe 5, lui demande de regarder chaque cas. Elle tient compte notamment :

• de la nature, de la gravité et de la durée du manquement, et de ses conséquences ;
• des amendes déjà infligées pour un manquement semblable, en France ou ailleurs ;
• de la taille de l’entreprise, en particulier s’il s’agit d’une microentreprise, d’une PME ou d’une jeune pousse, et de sa part de marché.

Les sanctions doivent être « effectives, proportionnées et dissuasives » (article 64, paragraphe 1). Chaque État membre fixe son régime et en informe la Commission.

L’amende n’est pas le seul risque

Pour une petite marque, l’amende est rarement le coût le plus lourd. L’autorité de surveillance du marché peut imposer d’autres mesures, et l’amende peut s’y ajouter (article 64, paragraphe 9). En France, selon la Direction générale des entreprises, cela peut aller jusqu’à :

• la mise en conformité du produit ;
• la restriction ou l’interdiction de sa mise sur le marché européen ;
• son retrait ou son rappel.

Retirer un produit des rayons ou rappeler un stock déjà vendu peut coûter plus cher qu’une amende. Et l’article 13, paragraphe 21, vous oblige de toute façon à corriger, retirer ou rappeler vous-même un produit dont vous savez qu’il ne respecte plus l’annexe I.

Qui contrôle, en France

Chaque État désigne une ou plusieurs autorités de surveillance du marché (article 52, paragraphe 2). Pour la France, la Direction générale des entreprises indique que la surveillance du marché revient à l’ANFR, l’Agence nationale des fréquences, avec l’appui technique de l’ANSSI. L’ANFR précise qu’elle peut mener des contrôles après un signalement de l’ANSSI, notamment quand un fabricant ne corrige pas à temps une faille activement exploitée. Les détails sont sur notre page consacrée à l’ANSSI.

Les autorités qui infligent une amende en informent celles des autres États membres (article 64, paragraphe 6). Une sanction en France se sait donc à Berlin.

Les exceptions

Le règlement prévoit deux cas où ces amendes administratives ne s’appliquent pas (article 64, paragraphe 10) :

• Les microentreprises et petites entreprises qui manquent le délai de 24 heures de l’alerte précoce, pour une faille activement exploitée ou un incident grave. Les autres délais, et toutes les autres obligations, restent soumis aux amendes.
• Les intendants de logiciels ouverts, c’est-à-dire les organisations, autres que le fabricant, qui soutiennent de façon continue un logiciel libre destiné à des activités commerciales. Pour elles, l’exception couvre tout manquement au règlement.

Une microentreprise compte moins de 10 personnes et au plus 2 millions d’euros de chiffre d’affaires ou de bilan ; une petite entreprise, moins de 50 personnes et au plus 10 millions d’euros (recommandation 2003/361/CE, à laquelle renvoie l’article 3). Notre guide CRA et PME détaille ce qui change pour vous.

Ce qui fait baisser le risque

Le meilleur argument face à une autorité est un dossier qui montre que vous avez fait le travail : une évaluation des risques datée, une liste des composants par version, un suivi des failles, et des signalements envoyés à temps. L’article 64, paragraphe 5, retient la gravité et la durée du manquement. Un défaut corrigé vite et documenté ne pèse pas comme une faille connue et ignorée pendant un an.

Ce que fait Proofsheet

Proofsheet est une application web qui génère des preuves datées sur votre produit. Vous envoyez votre firmware ou votre application, et le rapport liste les composants et leurs versions, les failles connues trouvées dans la base NVD, celles qui figurent sur la liste des failles exploitées de la CISA, et l’état de chacun des 22 points de l’annexe I : « prouvé », « partiel » ou « ouvert ». Le fichier est supprimé sous 24 heures.

Le rapport ne dit pas si vous seriez sanctionné, ni de combien, et il ne dit jamais que votre produit est conforme. C’est une preuve technique, pas un certificat juridique.

Générer un rapport gratuit, ou lisez le signalement et le calendrier.