CRA : les obligations incombant aux fabricants

Le règlement (UE) 2024/2847 relatif à la cyber-résilience (CRA) (1) marque un tournant historique pour l’écosystème numérique européen [16, 57]. Pour la première fois, l’Union européenne impose des exigences de cybersécurité horizontales obligatoires pour tous les « Produits Comportant des Éléments Numériques » (PCEN)
Il fait peser sur le fabricant l’essentiel des obligations du dispositif. L’article 13 du CRA, entièrement consacré aux obligations des fabricants, dresse une liste dense de vingt-cinq paragraphes. Plutôt que de la parcourir dans son ordre numéroté, il est utile de la restituer selon la logique opérationnelle qu’elle recouvre : de la conception du produit jusqu’à sa fin de vie.

Le fabricant, notion fonctionnelle et non statutaire du CRA

Le CRA définit le fabricant comme toute personne physique ou morale qui conçoit, développe ou fait développer un produit comportant des éléments numériques et le commercialise sous son propre nom ou sa marque, à titre onéreux ou gratuit (art. 3, point 13).
Cependant, le législateur européen a posé un principe fort de responsabilisation de la chaîne : le risque de requalification. En effet, la qualification de fabriquant n’est pas réservée aux éditeurs de logiciels ou aux industriels : un importateur, un distributeur ou toute entreprise qui met un produit sur le marché sous son propre nom, ou qui lui apporte une modification substantielle, est réputé fabricant et se voit appliquer l’intégralité des articles 13 et 14 (art. 21 et 22). La première étape d’une mise en conformité consiste donc à vérifier, produit par produit, si l’entreprise endosse ce rôle.

1e étape du CRA : cartographier et documenter les risques (Security by Design)

Avant toute mise sur le marché, le fabricant doit procèder à une évaluation des risques de cybersécurité du produit, prenant en compte son utilisation prévue et son utilisation raisonnablement prévisible (art. 13, § 2 et 3).
Cette évaluation n’est pas un exercice ponctuel : elle est documentée et mise à jour pendant toute la période d’assistance, et détermine la manière dont les exigences essentielles de l’annexe I, partie I, s’appliquent concrètement au produit. Elle est intégrée à la documentation technique prévue à l’article 31 ; lorsqu’une exigence n’est pas applicable, le fabricant en justifie l’écart (art. 13, § 4).

2e étape du CRA : sécuriser les composants tiers

Le fabricant fait preuve de diligence raisonnable lorsqu’il intègre des composants obtenus auprès de tiers, y compris des composants open source non commercialisés (art. 13, § 5). Lorsqu’une vulnérabilité est identifiée dans un composant intégré, l’obligation est double :
• la signaler à l’entité qui en assure la maintenance,
• et partager, le cas échéant, le correctif développé (art. 13, § 6).
Ces échanges, ainsi que toute information pertinente reçue de tiers, sont documentés de manière systématique et proportionnée à l’ampleur du risque (art. 13, § 7).

3e étape du CRA : organiser la gestion des vulnérabilités dans la durée

C’est l’un des apports structurants du CRA : le fabricant garantit une gestion efficace des vulnérabilités pendant toute une période d’assistance qu’il détermine lui-même, en fonction de la durée d’utilisation attendue du produit – avec un plancher impératif de cinq ans, sauf si le produit est destiné à un usage plus bref (art. 13, § 8).
Il tient des politiques de divulgation coordonnée des vulnérabilités et assure la disponibilité des mises à jour de sécurité pendant dix ans au minimum après leur émission, ou pour le reste de la période d’assistance si celle-ci est plus longue (art. 13, § 9).
Le fabricant qui met sur le marché des versions logicielles substantiellement modifiées peut concentrer sa conformité sur la dernière version, à condition d’en garantir l’accès gratuit aux utilisateurs des versions antérieures (art. 13, § 10).

4e étape du CRA : évaluer la conformité et apposer le marquage CE

Avant la mise sur le marché, le fabricant établit la documentation technique (art. 31) et met en œuvre la procédure d’évaluation de la conformité adaptée à la catégorie du produit – contrôle interne, examen UE de type ou assurance qualité, selon que le produit relève de la catégorie par défaut, des produits importants ou des produits critiques (art. 32).
Cette évaluation débouche sur l’établissement de la déclaration UE de conformité (art. 28) et l’apposition du marquage CE (art. 13, § 12) (2). Le fabricant conserve documentation technique et déclaration de conformité pendant dix ans après la mise sur le marché, ou pendant la période d’assistance si celle-ci excède cette durée (art. 13, § 13).
Il veille également, dans la durée, à ce que les produits fabriqués en série restent conformes malgré les évolutions du processus de production ou des normes applicables (art. 13, § 14).

5e étape du CRA : assurer la traçabilité et l’information des utilisateurs

Le fabricant identifie ses produits par un numéro de type, de lot ou de série (art. 13, § 15) et indique ses coordonnées sur le produit, son emballage ou la documentation qui l’accompagne (art. 13, § 16).
Il désigne un point de contact unique, clairement identifiable, permettant aux utilisateurs de signaler des vulnérabilités par un canal de leur choix (art. 13, § 17).
Les informations et instructions destinées à l’utilisateur, énumérées à l’annexe II, accompagnent le produit dans une langue compréhensible et restent accessibles pendant dix ans ou pendant la période d’assistance (art. 13, § 18).
Enfin, la date de fin de la période d’assistance est précisée dès l’achat, de manière claire et accessible (art. 13, § 19).

6e étape du CRA : réagir en cas de non-conformité

Dès la mise sur le marché et jusqu’à la fin de la période d’assistance, le fabricant qui constate ou a des raisons de croire que son produit n’est plus conforme prend immédiatement les mesures correctives nécessaires, pouvant aller jusqu’au retrait ou au rappel (art. 13, § 21).
Il coopère avec les autorités de surveillance du marché sur requête motivée (art. 13, § 22) et, en cas de cessation d’activité, informe préalablement ces autorités ainsi que, dans la mesure du possible, les utilisateurs de ses produits (art. 13, § 23).
Pour la France, l’autorité de surveillance du marché désignée est l’ANFR (3).

7e étape du CRA : signaler les vulnérabilités activement exploitées et les incidents graves

Applicable dès le 11 septembre 2026, soit près de quinze mois avant l’application générale du règlement (art. 71, § 2), l’article 14 du CRA institue un dispositif de signalement autonome. Le fabricant notifie toute vulnérabilité activement exploitée dont il a connaissance sur la Plateforme Unique de Signalement (SRP, Single Reporting Platform) gérée par l’ENISA, (art. 14, § 1, et art. 16). Les notifications déposées par un fabricant français sur la SRP sont simultanément transmises au CERT-FR (le CSIRT national de l’ANSSI).
Cette notification s’effectue en trois temps :
• une alerte précoce sous 24 heures, dès la prise de connaissance de l’incident grave ou de la vulnérabilité activement exploitée ;
• une notification détaillée sous 72 heures précisant la nature de la vulnérabilité et les mesures correctives déjà prises,
• puis un rapport final dans les 14 jours suivant la mise à disposition d’un correctif (art. 14, § 2).

Le même calendrier s’applique aux incidents graves ayant des répercussions sur la sécurité du produit, le rapport final devant alors intervenir dans le délai d’un mois suivant la notification (art. 14, § 3 et 4).
Un incident est qualifié de grave lorsqu’il compromet la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles, ou lorsqu’il conduit à l’introduction ou à l’exécution d’un code malveillant (art. 14, § 5). Le fabricant informe par ailleurs les utilisateurs concernés de la vulnérabilité ou de l’incident, ainsi que des mesures correctives disponibles (art. 14, § 8). Ce signalement obligatoire, à la différence du signalement volontaire prévu à l’article 15, n’emporte pas, par lui-même, d’aggravation de la responsabilité du fabricant (art. 17, § 4).
Un aménagement est prévu : par dérogation, les amendes administratives ne s’appliquent pas aux fabricants considérés comme des micro ou petites entreprises en cas de non-respect du délai d’alerte précoce de 24 heures (art. 64 § 10).

Les sanctions

Le non-respect des exigences essentielles de cybersécurité ou des obligations des articles 13 et 14 expose à une amende administrative pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (art. 64, § 2).
Les manquements aux obligations connexes (documentation, procédures d’évaluation, marquage) sont sanctionnés à hauteur de 10 millions d’euros ou 2 % du chiffre d’affaires (art. 64, § 3).
En France, l’autorité de surveillance du marché est l’ANFR. Elle dispose d’importants pouvoirs de contrôle (inspections, opérations « coup de balai », droit d’accès aux données et aux codes sources sur requête motivée). L’ANSSI intervient en soutien technique de l’ANFR pour les contrôles les plus pointus et gère la notification des OEC (Organismes d’Évaluation de la Conformité).
Par ailleurs, le non-respect des règles du CRA pourrait engager la responsabilité du fabricant en cas de faille de sécurité dommageable, notamment au titre du régime de responsabilité du fait des produits défectueux ou de la responsabilité contractuelle.

Conclusion

L’article 13 du CRA ne se lit pas comme une simple liste d’obligations juxtaposées, mais comme un parcours de conformité continu, de la conception du produit à sa fin de vie. Les fabricants ont intérêt à structurer dès à présent leurs processus internes (évaluation des risques, gestion des vulnérabilités, documentation technique, traçabilité) pour anticiper l’application progressive du règlement, qui débute avec les obligations de signalement dès le 11 septembre 2026.

Notes de bas de page :

(1) Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques (règlement sur la cyberrésilience).
(2) Article « Évolution de la conformité et du marquage CE à l’ère du CRA », Lexing du 16-03-2026.
(3) Article « CRA : une-gouvernance nationale articulée entre Anssi et ANFR », Lexing 20-04-2026.

---