Cyber Resilience Act : votre logiciel ou produit connecté est-il concerné ?

NIS2 régule des entreprises ; le Cyber Resilience Act régule des produits. C’est un changement de logique : pour la première fois, la cybersécurité devient une condition d’accès au marché européen, au même titre que la sécurité électrique d’un appareil. La question n’est donc plus « mon entreprise est-elle assez grosse ? » mais « ce que je vends comporte-t-il du numérique ? ». Voici comment trancher, cas limites compris.

La règle générale

Le CRA (règlement UE 2024/2847) couvre les « produits comportant des éléments numériques » mis sur le marché de l’Union : logiciels et matériels, ainsi que leurs composants, dès lors qu’ils peuvent être connectés directement ou indirectement à un appareil ou à un réseau. Le spectre est volontairement large :

• Les logiciels commercialisés — en licence, en abonnement, embarqués dans un matériel, vendus en marketplace.
• Les objets et équipements connectés — IoT grand public, capteurs industriels, équipements réseau, électronique embarquée.
• Les composants — bibliothèques, modules, firmwares intégrés dans les produits d’autres fabricants.

Et le texte ne s’arrête pas aux fabricants : importateurs et distributeurs doivent vérifier la conformité de ce qu’ils mettent sur le marché — la logique habituelle du marquage CE.

Les cas limites qui reviennent tout le temps

• « Je vends du SaaS, pas un logiciel. » La frontière est subtile : les services purement cloud relèvent plutôt de NIS2, mais les « solutions de traitement de données à distance » intégrées au fonctionnement d’un produit entrent dans le CRA. Un SaaS avec agent installé, application mobile ou boîtier local a un pied dans chaque texte — c’est typiquement un cas à trancher par écrit.
• « Mon logiciel est développé sur mesure pour un client. » Le développement sur mesure fourni dans le cadre d’une activité commerciale est couvert — contrairement à une idée répandue. Les clauses de vos contrats de développement vont devoir l’intégrer.
• « C’est de l’open source. » L’open source développé ou fourni hors activité commerciale est exclu. Mais monétiser un produit bâti sur de l’open source — support payant, version entreprise, distribution intégrée — vous ramène dans le périmètre, avec vos dépendances dans votre nomenclature (SBOM).
• « Mon secteur est déjà réglementé. » Dispositifs médicaux, automobile, aéronautique, certains équipements marins : ces produits relèvent de leurs textes sectoriels, pas du CRA. Vérifiez l’exclusion précise plutôt que de la supposer.
• « Je ne vends qu’en France. » La France est dans le marché de l’Union : aucune échappatoire par la géographie.

Produits « importants » et « critiques » : le niveau au-dessus

Le règlement classe certaines catégories — gestionnaires de mots de passe, pare-feux, VPN, hyperviseurs, systèmes de gestion d’identité, compteurs intelligents… — comme « importantes » ou « critiques », avec une évaluation de conformité renforcée, parfois par un organisme tiers. Si votre produit touche à la sécurité ou à l’identité, vérifiez ces listes en priorité : elles changent le coût et le calendrier de votre mise en conformité.

Une fois le périmètre tranché, les obligations et leur calendrier sont détaillés dans CRA : obligations et échéances. Pour trancher votre cas : notre diagnostic CRA — et si votre entreprise est aussi dans le périmètre de NIS2, les deux textes se préparent ensemble, voir notre accompagnement NIS2.