Qu'est-ce que le CRA et qui est concerné
Le Cyber Resilience Act (règlement UE 2024/2847, publié au Journal officiel de l'Union européenne le 23 octobre 2024) impose des exigences de sécurité aux produits comportant des éléments numériques mis sur le marché européen. Il couvre les logiciels, les applications web, les firmwares et les composants connectés. Les agences qui développent et livrent des produits numériques à leurs clients, les éditeurs de logiciels SaaS, les prestataires qui maintiennent des plateformes en production : tous entrent dans le périmètre dès lors que leurs produits sont commercialisés ou cédés à titre onéreux à des entités établies dans l'UE.
Ce que le CRA impose concrètement aux agences et développeurs
- **Notification des vulnérabilités activement exploitées en 24 h** — signalement à l'ENISA dès la découverte d'une exploitation active, avant même qu'un correctif soit disponible.
- **Rapport d'incident dans les 72 h** — compte rendu plus détaillé à l'ENISA dans les trois jours suivant la notification initiale.
- **Gestion active des vulnérabilités sur toute la durée de vie** — inventaire des composants (SBOM), suivi des CVE et application des correctifs dans des délais définis.
- **Documentation de sécurité livrée avec le produit** — guide de configuration sécurisée, journal des mises à jour, procédure de signalement pour les utilisateurs finaux.
- **Conception sécurisée par défaut** — le produit doit démarrer dans un état sécurisé, sans authentifiants par défaut non modifiés.
- **Processus de divulgation coordonnée** — mécanisme documenté permettant à des tiers de signaler des vulnérabilités.
L'échéance du 11 septembre 2026 : la notification des vulnérabilités
Le 11 septembre 2026 est la date d'application des obligations de signalement (article 14 du règlement). Ce n'est pas la date d'entrée en vigueur du règlement entier — celui-ci s'applique progressivement depuis le 11 décembre 2024 — mais c'est la première échéance opérationnelle qui touche directement les équipes techniques. À partir de cette date, une vulnérabilité connue comme activement exploitée doit déclencher un signalement à l'ENISA dans les 24 heures, qu'un correctif soit disponible ou non. La guidance de la Commission européenne publiée le 27 juillet 2026 précise les canaux de notification et le contenu attendu du rapport initial.
Se préparer avant le 11 septembre 2026
Recenser les produits numériques dans le périmètre
Dressez la liste des logiciels, SaaS et composants que vous développez et livrez à des clients dans l'UE. Excluez les services purs et les produits open source sans soutien commercial, qui bénéficient d'une exemption partielle.
Établir un SBOM (Software Bill of Materials)
Inventoriez les composants tiers (bibliothèques, frameworks, dépendances) intégrés dans chaque produit. Un SBOM structuré (formats SPDX ou CycloneDX) est la base du suivi des CVE. Intégrez sa génération dans votre pipeline CI/CD.
Mettre en place une veille CVE et une procédure d'escalade
Abonnez-vous aux flux de vulnérabilités pertinents (NVD, CERT-EU, éditeurs de vos dépendances). Définissez un circuit de décision interne : qui valide la notification ENISA, qui rédige le rapport, quel canal utiliser.
Préparer les modèles de notification
La notification initiale sous 24 h doit contenir : identification du produit, description de la vulnérabilité, preuve d'exploitation active, mesures d'atténuation disponibles. Préparez un modèle validé juridiquement pour ne pas rédiger dans l'urgence.
Ouvrir un canal de divulgation pour les tiers
Publiez une politique de divulgation coordonnée (security.txt à la racine de votre-domaine.com, page dédiée) avec une adresse de contact et un engagement de délai de traitement.
Mettre à jour les contrats et la documentation livrée
Vérifiez que vos contrats de maintenance identifient les obligations CRA et définissent le partage de responsabilité. La documentation technique livrée doit inclure le guide de configuration sécurisée.
CRA et NIS2 : deux textes distincts
Le CRA porte sur la sécurité des produits numériques (logiciels, composants, firmwares mis sur le marché) ; NIS2 (directive UE 2022/2555) porte sur la résilience des entités (opérateurs de services essentiels, fournisseurs critiques). Un même acteur peut être soumis aux deux — mais les obligations, les autorités compétentes et les délais de notification diffèrent. Ne transposez pas les mesures de l'une dans l'autre sans vérifier l'applicabilité.
Ce que ça change pour votre infrastructure
Mettre en conformité un produit numérique n'est pas seulement un exercice documentaire. La détection rapide d'une exploitation active suppose une capacité de monitoring des comportements anormaux, des alertes sur les CVE des composants en production et un accès aux logs applicatifs suffisamment détaillé. Une infrastructure hébergée sur des serveurs que vous contrôlez — avec accès root, logs complets et liberté de déploiement des outils de surveillance — est structurellement mieux positionnée qu'une infrastructure mutualisée. L'hébergement sur VPS ou serveur dédié facilite aussi la collecte et la conservation des preuves requises dans le rapport des 72 h.
