Le Guide de la Commission européenne concernant la loi sur la cyber-résilience ont été publiées : ce que les entreprises doivent savoir

Après des années de débats législatifs et un calendrier de mise en œuvre par étapes, la loi sur la cyber-résilience (règlement (UE) 2024/2847, ci-après «CRA») est pleinement en vigueur depuis décembre 2024. La CRA introduit des exigences horizontales et contraignantes en matière de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l’UE. Cela marque un tournant historique dans la manière dont les opérateurs économiques (fabricants, importateurs, distributeurs…) doivent aborder la cybersécurité tout au long du cycle de vie du produit. Les obligations de déclaration s’appliqueront à compter du 11 septembre 2026, et les principales obligations s’appliqueront à compter du 11 décembre 2027.

Afin d’aider les opérateurs économiques et les autorités de surveillance du marché à s’y retrouver dans ce cadre complexe et de favoriser une mise en œuvre dans les délais, la Commission européenne a publié le 27 juillet 2026 un guide dédié, apportant des précisions sur les concepts clés, les délimitations du champ d’application et les obligations de conformité (ci-après dénommé «Guide»). Ce Guide n'est pas contraignant pour les opérateurs économiques ou les autres acteurs soumis au CRA. Il expose néanmoins l’interprétation du CRA par la Commission dans le but de faciliter la mise en conformité et de contribuer à la mise en œuvre effective du règlement.

Cet article résume les points essentiels à retenir de ces lignes directrices.

Le CRA s'applique aux produits comportant des éléments numériques mis à disposition sur le marché européen.

Un «produit comportant des éléments numériques» est défini au sens large comme un logiciel ou un matériel informatique et ses solutions de traitement de données à distance, y compris les composants mis sur le marché séparément, et relève du champ d'application du CRA lorsque sa finalité prévue ou son utilisation raisonnablement prévisible inclut une connexion directe ou indirecte à un appareil ou à un réseau.

Le Guide clarifie plusieurs limites pratiques :

• Les logiciels qui s’exécutent sur l’appareil d’un utilisateur, y compris les extensions de navigateur et les applications web installées localement, constituent un « produit comportant des éléments numériques ». Les logiciels fonctionnant exclusivement à distance, tels que la plupart des sites web et des applications web, ne relèvent généralement pas du champ d’application, sauf s’ils prennent en charge un produit relevant de ce champ d’application via un traitement de données à distance.

• Un logiciel autonome est considéré comme « mis sur le marché » dès que sa phase de fabrication est achevée et qu’il est fourni pour la première fois en vue de sa distribution ou de son utilisation dans l’UE dans le cadre d’une activité commerciale. Toutes les copies de cette même version sont considérées comme mises sur le marché simultanément, quelle que soit la date à laquelle les utilisateurs individuels les obtiennent.

• Les versions ultérieures du logiciel ne donnent lieu à une nouvelle mise sur le marché que si elles constituent une « modification substantielle ». Les mises à jour de routine qui n’atteignent pas ce seuil ne modifient pas la date de mise sur le marché initiale.

• Lorsqu’un matériel est conçu pour fonctionner conjointement avec un logiciel spécifique du même fabricant afin de remplir sa fonction prévue, le matériel et le logiciel forment ensemble un produit unique comportant des éléments numériques, même si le logiciel est obtenu par un canal distinct, tel qu’une boutique d’applications.

• L’exigence de « connexion de données » prévue par la CRA n’est pas déclenchée par la simple présence de composants électroniques : une véritable « connexion de données » nécessite que des informations codées numériquement soient délibérément générées par un émetteur et puissent être décodées par un récepteur. Les signaux utilisés uniquement pour déclencher ou alimenter une fonction, sans transmettre d’informations codées, ne relèvent pas du champ d’application de la CRA. En d’autres termes, si le produit est capable d’envoyer, de recevoir ou d’échanger des données avec un autre appareil ou un réseau, il relève du champ d’application de la CRA.

Le Guide précise que les logiciels libres ne sont généralement soumis aux obligations des fabricants que lorsqu'ils sont mis à disposition dans le cadre d'une activité commerciale. Le simple fait de publier ou de partager du code open source ne constitue pas, en soi, une mise sur le marché de logiciels. Les contributeurs individuels ne sont généralement pas tenus de se conformer à la CRA. Les personnes morales soutenant des logiciels libres à vocation non commerciale peuvent être considérées comme des gestionnaires de logiciels libres et n’être soumises qu’aux obligations limitées prévues à l’article 24 applicables à ces gestionnaires. Les fabricants qui intègrent des logiciels libres tiers dans des produits commerciaux restent pleinement responsables du respect de la CRA, y compris en matière de gestion des vulnérabilités et d’exigences de diligence raisonnable.

Les fabricants doivent définir une période de support qui reflète la durée de vie prévue du produit et veiller à ce que les vulnérabilités soient corrigées tout au long de cette période. La durée minimale de cinq ans imposée par la CRA n’est qu’une mesure de protection, et non une règle par défaut. Les produits ayant une durée de vie plus longue nécessitent un support plus long. Chaque version logicielle ayant subi des modifications substantielles doit disposer de sa propre période de support, sauf si ces modifications n’affectent pas les facteurs déterminant la durée de vie prévue du produit. Les fabricants peuvent limiter la correction des vulnérabilités à la dernière version si les utilisateurs peuvent effectuer la mise à jour gratuitement, sans avoir à supporter de coûts supplémentaires tels que l’achat obligatoire de matériel.

En vertu de la CRA, les produits classés comme « importants » ou « critiques » sont soumis à des exigences plus strictes en matière d'évaluation de la conformité. La classification repose sur la fonctionnalité principale du produit, c'est-à-dire les caractéristiques essentielles à l’usage auquel il est destiné, plutôt que sur des caractéristiques accessoires ou des composants intégrés. Les fabricants ne peuvent pas contourner ces exigences plus strictes en présentant de manière trompeuse les capacités d’un produit. Si certains produits « importants » à faible risque (classe I) peuvent faire l’objet d’une auto-évaluation, les produits « importants » à risque plus élevé (classe II) et les produits « critiques » nécessitent généralement une évaluation de conformité réalisée par un organisme tiers indépendant.

Le Guide établit une distinction entre l’évaluation des risques de cybersécurité du produit lui-même et l’obligation de diligence raisonnable relative aux composants tiers intégrés. Il souligne que les risques résiduels en matière de cybersécurité ne peuvent être justifiés uniquement par des considérations de coût ou d’ordre commercial, ni par la propension au risque du fabricant, et ne peuvent être transférés aux utilisateurs ou à des tiers. Le Guide autorise également les fabricants à s'appuyer sur une seule évaluation des risques, un seul dossier technique, une seule évaluation de la conformité et une seule déclaration de conformité pour les familles de produits partageant la même architecture, la même conception en matière de sécurité et le même profil de risque, à condition que les différences entre les variantes n'affectent pas leurs caractéristiques de cybersécurité.

Le Guide précise que les produits conçus avant l’entrée en vigueur du CRA, le 11 décembre 2027, ne doivent pas nécessairement faire l’objet d’une refonte. Les fabricants doivent néanmoins procéder à une évaluation des risques liés à la cybersécurité et peuvent s’appuyer sur les mesures de sécurité existantes lorsque celles-ci permettent de couvrir de manière adéquate les risques identifiés. Ils restent toutefois soumis à toutes les autres obligations prévues par le CRA, notamment l’évaluation de la conformité, l’établissement d’une déclaration de conformité de l’UE et l’apposition du marquage CE avant la mise sur le marché du produit.

Les obligations de déclaration prenant effet le 11 septembre 2026 et la mise en conformité totale étant exigée au plus tard le 11 décembre 2027, les entreprises doivent agir dès maintenant : identifier les produits relevant du champ d'application de la CRA, déterminer leur classification en matière de risques et combler les lacunes éventuelles dans les évaluations des risques et la documentation existantes.