Un angle mort réglementaire

L’Europe a longtemps réglementé la cybersécurité par secteur : le MDR pour les dispositifs médicaux, DORA pour la finance, NIS 2 pour les opérateurs de services essentiels. À côté, l’ISO 27001 reste une démarche volontaire, qui certifie une organisation, pas un produit.

Résultat : un immense entre-deux. Une caméra IP, un capteur industriel, un ERP métier, une application mobile B2B, un firmware d’automate pouvaient être mis sur le marché européen sans la moindre exigence de sécurité, sans engagement de mise à jour, et sans que quiconque soit clairement responsable de corriger une faille découverte trois ans plus tard.

C’est précisément cet espace que le CRA vient couvrir.

Les incidents qui ont fait basculer le débat

Quatre affaires ont servi de déclencheur, et elles racontent toutes la même histoire.

  • Mirai (2016) : un botnet constitué de caméras et d’enregistreurs vidéo grand public, compromis en masse parce qu’ils sortaient d’usine avec des mots de passe par défaut jamais changés.
  • WannaCry (2017) : une faille connue et corrigée, mais des dizaines de milliers de machines jamais mises à jour, faute de processus ou de support.
  • SolarWinds (2020) : le poison injecté directement dans une mise à jour légitime, distribuée à des milliers de clients qui avaient tout fait correctement.
  • Log4Shell (2021) : une bibliothèque open source gratuite, maintenue par quelques bénévoles, présente dans des millions d’applications — dont la plupart des éditeurs ignoraient qu’ils l’embarquaient.

Le point commun est brutal : dans chaque cas, la vulnérabilité n’était pas chez la victime. Elle était dans un produit qu’elle avait acheté, intégré ou installé de bonne foi. Et personne, juridiquement, n’était tenu de la corriger.

La Commission européenne a tiré la conclusion en 2022 : puisque le marché ne récompense pas spontanément la sécurité — un produit sûr coûte plus cher à fabriquer et ne se vend pas mieux —, il faut en faire une condition d’accès au marché. Le texte est entré en vigueur le 10 décembre 2024.

Le principe : horizontal, et non plus sectoriel

Le CRA s’applique à tout produit comportant des éléments numériques vendu dans l’Union : logiciel, matériel, firmware, application mobile, objet connecté, et jusqu’aux composants intégrés dans le produit d’un autre. Les secteurs déjà couverts par un régime équivalent (dispositifs médicaux, aviation, automobile) en sont exclus, précisément parce qu’ils étaient déjà encadrés.

Autrement dit : si vous vendez du numérique en Europe et que rien ne vous couvrait jusqu’ici, le CRA est votre texte.

Pourquoi ce calendrier, et pourquoi maintenant

Parce que le coût d’une attaque s’est effondré. La cybercriminalité s’est industrialisée : location de rançongiciels clés en main, revente d’accès aux réseaux d’entreprise, plateformes de phishing en abonnement. L’agence européenne ENISA recense des dizaines de variantes de rançongiciels actives simultanément, le phishing comme premier vecteur d’intrusion, et une exploitation des failles publiées en quelques jours seulement.

L’IA générative accélère encore le mouvement : rédaction de messages d’hameçonnage sans faute et personnalisés, clonage vocal, tri automatique des cibles. Début 2025, la grande majorité des campagnes d’ingénierie sociale observées étaient déjà assistées par IA.

La conséquence est directe pour les PME et ETI : l’argument « nous sommes trop petits pour intéresser quelqu’un » ne tient plus. Le ciblage ne coûte quasiment plus rien, donc plus personne n’est trop petit.

Ce que le règlement demande, en clair

Cinq obligations, et elles sont plus opérationnelles que juridiques :

  • Sécurité dès la conception : pas de mots de passe par défaut, chiffrement des données sensibles, surface d’attaque minimale, configuration sûre par défaut.
  • Un inventaire des composants (SBOM) : savoir exactement quelles briques logicielles vous embarquez — le vrai enseignement de Log4Shell.
  • Des mises à jour de sécurité gratuites pendant toute la période de support, fixée à cinq ans minimum par défaut.
  • Un processus de gestion des vulnérabilités : un point de contact identifié, une procédure de signalement, un délai de correction.
  • La documentation technique, la déclaration UE de conformité et le marquage CE, désormais étendu au volet cybersécurité.

Les deux dates à retenir

11 septembre 2026 — obligation de notifier à l’ENISA toute vulnérabilité activement exploitée ou tout incident grave : alerte sous 24 heures, rapport sous 72 heures, rapport final sous 14 jours. Attention : cette échéance concerne aussi les produits déjà vendus.

11 décembre 2027 — application complète : exigences de conception, documentation, marquage CE. Les produits mis sur le marché avant cette date n’y sont pas soumis rétroactivement, sauf modification substantielle ultérieure.

En cas de manquement aux exigences essentielles, les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel. La Commission a publié en juillet 2026 un guide non contraignant, riche en exemples concrets et en arbres de décision, explicitement pensé pour les petites structures.

De la contrainte à l’argument commercial

Le plus intéressant du CRA, c’est qu’il codifie ce que vos clients vous demanderont de toute façon dans deux ans. Un SBOM à jour, un engagement de support daté, un canal de signalement des failles : ce sont déjà des critères d’achat dans les appels d’offres. Ceux qui s’y mettent maintenant les transformeront en différenciateur ; les autres les subiront comme un audit.

Le point de départ le plus utile n’est pas juridique. C’est une question simple, à poser en interne dès cette semaine : qui, chez nous, détecte qu’une de nos failles est activement exploitée — et qui appuie sur le bouton dans les 24 heures ?

Une solution pour atteindre ces objectifs sans se ruiner

C’est la situation de la plupart des PME et ETI que nous rencontrons : l’obligation est comprise, mais personne en interne n’a le temps, les ressources ou l’expertise pour la porter.

C’est pour elles que nous avons construit Probenta : une plateforme SaaS qui tient votre SBOM à jour, trace vos vulnérabilités et leur remédiation, et déclenche le circuit de notification 24 h / 72 h / 14 jours ; complétée par un accompagnement pour constituer le dossier technique attendu au marquage CE.

En France, la surveillance du marché relève de l’ANFR et les signalements transitent par le CERT-FR. Mais le CRA est un règlement européen : ce que vous mettez en place une fois vaut pour les 27 États membres.