Cyber Resilience Act : obligations, échéances et ce qui change pour l'assurance cyber

Fiche réglementaire · à jour au 1er novembre 2026 · par cybercoverinsurance

Le règlement (UE) 2024/2847, le Cyber Resilience Act (CRA), fixe des exigences de cybersécurité pour les produits comportant des éléments numériques vendus en Europe : matériel et logiciel, du routeur à l'application, du capteur industriel au logiciel de gestion (Hogan Lovells). NIS2 et DORA visent ceux qui utilisent la technologie ; le CRA vise ceux qui la fabriquent.

Pour ceux qui assument le risque, le CRA compte parce qu'il déplace la sécurité en amont de la chaîne d'approvisionnement. Un fabricant de logiciels ou d'objets connectés devra démontrer qu'il a conçu des produits sûrs et qu'il en corrige les vulnérabilités pendant des années. À partir du 9 décembre 2026, avec la nouvelle directive sur les produits défectueux, un produit qui ne respecte pas les exigences du CRA sera aussi plus facile à considérer comme défectueux.

Dans le texte, « article » désigne une règle contraignante ; « considérant » désigne les paragraphes introductifs qui expliquent comment la lire.

Qui est concerné

Le CRA s'applique aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques, c'est-à-dire du matériel et des logiciels qui se connectent, directement ou indirectement, à un appareil ou à un réseau. Sont exclus les produits déjà couverts par des règles sectorielles, comme les dispositifs médicaux, les véhicules et les aéronefs, ainsi que les services purement en ligne (SaaS), qui peuvent relever de NIS2.

Les principales obligations pèsent sur le fabricant, y compris lorsqu'il est établi hors de l'Union. Le logiciel libre développé en dehors d'une activité commerciale n'est pas couvert ; les organisations qui soutiennent durablement des projets open source utilisés commercialement (« gestionnaires de logiciels libres ») ont des obligations allégées.

Les principales obligations

Signalement des vulnérabilités et des incidents (depuis le 11 septembre 2026)

Depuis le 11 septembre 2026, le fabricant doit signaler toute vulnérabilité activement exploitée et tout incident grave affectant la sécurité du produit (article 14) (Commission européenne) :

• alerte précoce dans les 24 heures suivant la prise de connaissance ;
• notification dans les 72 heures ;
• rapport final dans les 14 jours suivant la mise à disposition d'un correctif, pour les vulnérabilités, ou dans un délai d'un mois après la notification, pour les incidents graves.

Les signalements passent par la plateforme unique de l'ENISA, opérationnelle depuis le 11 septembre 2026, qui les transmet au CSIRT national compétent (ENISA). L'obligation vaut aussi pour les produits mis sur le marché avant 2027, et le fabricant doit informer les utilisateurs concernés (Hogan Lovells).

Exigences de sécurité (à partir du 11 décembre 2027)

À partir du 11 décembre 2027, les produits mis sur le marché doivent respecter des exigences essentielles de sécurité dès la conception : aucune vulnérabilité exploitable connue au moment de la vente, configuration sécurisée par défaut, mises à jour de sécurité pendant toute la période d'assistance et gestion des vulnérabilités avec une nomenclature logicielle. Le produit conforme porte le marquage CE. Certaines catégories de produits importants ou critiques nécessitent une évaluation de la conformité par un organisme tiers.

Période d'assistance

Le fabricant doit indiquer pendant combien de temps il fournira des mises à jour de sécurité. La période doit refléter l'usage attendu du produit et est en règle générale d'au moins cinq ans.

Les sanctions

L'article 64 prévoit trois niveaux : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial pour la violation des exigences essentielles et des obligations de signalement ; jusqu'à 10 millions ou 2 % pour les autres obligations ; jusqu'à 5 millions ou 1 % pour des informations inexactes fournies aux autorités. Les autorités de surveillance du marché peuvent aussi ordonner le retrait ou le rappel du produit.

Les échéances

• 10 décembre 2024 : entrée en vigueur ;
• 11 juin 2026 : règles relatives aux organismes d'évaluation de la conformité ;
• 11 septembre 2026 : signalement des vulnérabilités exploitées et des incidents graves ;
• 11 décembre 2027 : application complète, y compris les exigences essentielles et les obligations des gestionnaires de logiciels libres.

Ce qui change pour la police cyber

Chaîne d'approvisionnement. Le CRA est le premier texte qui oblige les fournisseurs de technologie à corriger les vulnérabilités et à les signaler dans les 24 heures. Pour un portefeuille cyber, il réduira avec le temps le risque lié aux composants non mis à jour, mais seulement pour les produits neufs : le parc installé restera exposé pendant des années.

Responsabilité du fabricant. Un fabricant de logiciels ou d'appareils qui ne respecte pas le CRA s'expose à des amendes, des retraits du marché et, avec la directive sur les produits défectueux, à des actions en réparation plus faciles à gagner pour les victimes. Le risque se déplace vers la tech E&O et la RC produits, et les frais de rappel d'un produit non sécurisé ne sont pas couverts par toutes les polices.

Notification. L'alerte précoce de 24 heures s'ajoute à celle de NIS2 et, dans le secteur financier, aux 4 heures de DORA. Un fabricant qui est aussi une entité NIS2 peut avoir deux signalements distincts pour le même événement. Le service de réponse à incident de la police doit savoir gérer les deux.

Informations pour la souscription. Le CRA produit des documents utiles : nomenclature logicielle, politique de gestion des vulnérabilités, période d'assistance déclarée, historique des signalements. Pour les assurés qui utilisent la technologie de tiers, savoir si leurs principaux fournisseurs respectent le CRA aide à évaluer le cumul sur la chaîne d'approvisionnement.

Impact pour les assureursMoyen

Le CRA rend obligatoires la sécurité des produits numériques et le signalement rapide des vulnérabilités, mais les exigences ne s'appliquent qu'aux produits vendus à partir de décembre 2027 et l'effet sur les sinistres sera progressif.

Sources

• Commission européenne, obligations de signalement du CRA
• ENISA, lancement de la plateforme unique de signalement
• Hogan Lovells, les obligations de signalement du CRA s'appliquent