Cyber Resilience Act : votre logiciel ou produit connecté est-il concerné ?

NIS2 régule des entreprises ; le Cyber Resilience Act régule des produits. C’est un changement de logique : pour la première fois, la cybersécurité devient une condition d’accès au marché européen, au même titre que la sécurité électrique d’un appareil. La question n’est donc plus « mon entreprise est-elle assez grosse ? » mais « ce que je vends comporte-t-il du numérique ? ». Voici comment trancher, cas limites compris.

La règle générale

Le CRA (règlement UE 2024/2847) couvre les « produits comportant des éléments numériques » mis sur le marché de l’Union : logiciels et matériels, ainsi que leurs composants, dès lors qu’ils peuvent être connectés directement ou indirectement à un appareil ou à un réseau. Le spectre est volontairement large :

• Les logiciels commercialisés : en licence, en abonnement, embarqués dans un matériel, vendus en marketplace.
• Les objets et équipements connectés : IoT grand public, capteurs industriels, équipements réseau, électronique embarquée.
• Les composants : bibliothèques, modules, firmwares intégrés dans les produits d’autres fabricants.

Et le texte ne s’arrête pas aux fabricants : importateurs et distributeurs doivent vérifier la conformité de ce qu’ils mettent sur le marché, la logique habituelle du marquage CE.

Les cas limites qui reviennent tout le temps

• « Je vends du SaaS, pas un logiciel. » La frontière est subtile : les services purement cloud relèvent plutôt de NIS2, mais les « solutions de traitement de données à distance » intégrées au fonctionnement d’un produit entrent dans le CRA. Un SaaS avec agent installé, application mobile ou boîtier local a un pied dans chaque texte : c’est typiquement un cas à trancher par écrit.
• « Mon logiciel est développé sur mesure pour un client. » Le développement sur mesure fourni dans le cadre d’une activité commerciale est couvert, contrairement à une idée répandue. Les clauses de vos contrats de développement vont devoir l’intégrer.
• « C’est de l’open source. » L’open source développé ou fourni hors activité commerciale est exclu. Mais monétiser un produit bâti sur de l’open source (support payant, version entreprise, distribution intégrée) vous ramène dans le périmètre, avec vos dépendances dans votre nomenclature (SBOM).
• « Mon secteur est déjà réglementé. » Dispositifs médicaux, automobile, aéronautique, certains équipements marins : ces produits relèvent de leurs textes sectoriels, pas du CRA. Vérifiez l’exclusion précise plutôt que de la supposer.
• « Je ne vends qu’en France. » La France est dans le marché de l’Union : aucune échappatoire par la géographie.

Produits « importants » et « critiques » : le niveau au-dessus

Le règlement classe certaines catégories (gestionnaires de mots de passe, pare-feux, VPN, hyperviseurs, systèmes de gestion d’identité, compteurs intelligents…) comme « importantes » ou « critiques », avec une évaluation de conformité renforcée, parfois par un organisme tiers. Si votre produit touche à la sécurité ou à l’identité, vérifiez ces listes en priorité : elles changent le coût et le calendrier de votre mise en conformité.

Une fois le périmètre tranché, les obligations et leur calendrier sont détaillés dans CRA : obligations et échéances. Pour trancher votre cas : notre diagnostic CRA, et si votre entreprise est aussi dans le périmètre de NIS2, les deux textes se préparent ensemble, voir notre accompagnement NIS2.