Depuis le 11 septembre 2026, le Cyber Resilience Act européen impose aux fabricants une première obligation : signaler en 24 heures toute vulnérabilité activement exploitée dans un produit connecté vendu dans l'Union, y compris dans les produits déjà sur le marché. Si vous concevez un objet connecté, en Suisse ou ailleurs, et que vous le vendez dans l'UE, le Cyber Resilience Act vous concerne comme fabricant : le signalement s'applique déjà, et le reste des exigences arrive le 11 décembre 2027, c'est-à-dire pendant le développement de vos prochains produits.
L'essentiel
- Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), vise les produits matériels et logiciels qui se connectent, directement ou indirectement, à un appareil ou à un réseau.
- Depuis le 11 septembre 2026 : alerte précoce en 24 heures, notification en 72 heures et rapport final pour toute vulnérabilité activement exploitée ou tout incident grave, via la plateforme unique de l'ENISA.
- Au 11 décembre 2027 : exigences essentielles de cybersécurité, gestion des vulnérabilités pendant au moins cinq ans, documentation technique et marquage CE.
- Un fabricant suisse qui vend dans l'UE y est soumis comme un fabricant européen. La Suisse prépare de son côté une loi qui « se basera » sur le CRA.
- Cet article résume le texte officiel ; ce n'est pas un avis juridique.
Ce qui se passe : le Cyber Resilience Act et les fabricants
Un règlement en trois étapes
Le règlement a été signé le 23 octobre 2024 et publié au Journal officiel le 20 novembre 2024. Son article 71 fixe trois dates. Le chapitre sur les organismes notifiés s'applique depuis le 11 juin 2026. L'article 14, celui des obligations de signalement, s'applique depuis le 11 septembre 2026. Tout le reste s'appliquera à partir du 11 décembre 2027.
Le champ est large : tout produit comportant des éléments numériques dont l'usage prévu ou raisonnablement prévisible inclut une connexion de données à un appareil ou à un réseau (article 2). Un capteur Wi-Fi, une machine pilotée par une application, un module Bluetooth, un logiciel vendu seul. Certains secteurs ont leur propre règlement et en sont exclus, comme les dispositifs médicaux ou les véhicules.
Ce qui s'applique déjà : le signalement
Dès qu'un fabricant apprend qu'une vulnérabilité de son produit est activement exploitée, l'article 14 lui impose trois envois : une alerte précoce dans les 24 heures, une notification dans les 72 heures avec la nature de la faille et les mesures prises, puis un rapport final au plus tard 14 jours après la mise à disposition d'un correctif. Pour un incident grave touchant la sécurité du produit, le rapport final est dû dans le mois qui suit la notification. Le fabricant doit aussi informer les utilisateurs concernés et leur indiquer les mesures qu'ils peuvent prendre.
Ces signalements passent par une plateforme unique, ouverte par l'ENISA, l'agence européenne de cybersécurité, le jour même de l'entrée en application. Ils sont adressés en même temps au centre national de réponse désigné comme coordinateur et à l'ENISA. Point important : selon l'article 69, cette obligation vaut aussi pour les produits mis sur le marché avant le 11 décembre 2027. Le stock déjà vendu est concerné.
Ce qui viendra en décembre 2027
À partir du 11 décembre 2027, un produit ne pourra être mis sur le marché que s'il respecte les exigences essentielles de l'annexe I : pas de vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité possibles, protection des données et des accès, surface d'attaque limitée. Le fabricant devra documenter une évaluation des risques, tenir une nomenclature des logiciels (SBOM) qui couvre au moins les dépendances principales, publier une adresse pour signaler les failles et gérer les vulnérabilités pendant une période d'assistance d'au moins cinq ans, sauf si le produit est prévu pour une durée d'utilisation plus courte. Chaque mise à jour de sécurité devra rester disponible au moins dix ans. Les produits conformes portent le marquage CE.
Les sanctions sont fixées par les États membres, dans les plafonds de l'article 64 : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements aux exigences essentielles et aux articles 13 et 14.
Ce que ça change pour vous
Le CRA ne regarde pas où se trouve votre bureau d'études. Il s'applique aux produits mis à disposition sur le marché de l'Union. Le « fabricant », au sens du règlement, est celui qui conçoit ou fait concevoir un produit et le commercialise sous son nom ou sa marque. Le texte prévoit même la marche à suivre pour un fabricant sans établissement dans l'UE : il signale auprès de l'État membre de son mandataire, à défaut de son importateur, de son distributeur, ou de celui où se trouvent le plus d'utilisateurs.
Pour une PME suisse qui fabrique un objet connecté, trois conséquences concrètes :
- Dès maintenant, il faut quelqu'un capable de reconnaître une faille exploitée et de la déclarer en 24 heures. Une boîte mail générique lue une fois par semaine ne suffit pas.
- Vos importateurs et distributeurs européens vont vous demander des preuves : l'article 19 interdit à un importateur de mettre sur le marché un produit dont le fabricant n'a pas fait l'évaluation de conformité ni établi la documentation technique.
- Vos produits en développement seront vendus après décembre 2027. Les choix faits aujourd'hui sur le prototype (composants, micrologiciel, mode de mise à jour) décident de la conformité de demain.
Côté suisse, le Conseil fédéral a chargé le DDPS le 25 septembre 2026 de préparer d'ici juin 2027 un projet de loi fédérale sur la cybersécurité, avec des exigences contraignantes pour les fabricants, importateurs et commerçants de produits techniques. Il précise qu'elle « se basera » sur le CRA. Préparer le CRA, c'est donc aussi anticiper la future règle suisse.
Ce que j'en ai appris
Je conçois et je fabrique des prototypes et des préséries : du premier modèle fonctionnel à la petite série, je valide la forme, la mécanique et les matériaux avant que le client n'engage une production. Le CRA ajoute une quatrième chose à valider, et elle se décide aussi sur l'établi : comment le produit sera mis à jour, et qui répondra quand une faille sera découverte.
Dans le Lab, j'ai intégré la carte électronique, les capteurs et l'écran d'un sécheur de filament du commerce dans le système multicolore de mon imprimante : c'est le projet CFS + Space Pi. J'ai réutilisé l'électronique du fabricant telle quelle. Pour un montage personnel dans mon atelier, la question ne se pose pas : il n'est pas mis sur le marché. Mais si j'en faisais un produit vendu, cette carte deviendrait un composant tiers, et l'article 13 demande au fabricant une diligence sur ce type de composant : savoir d'où il vient, qui le maintient, s'il peut être corrigé. C'est une question à poser au moment de choisir la carte, pas après la présérie.
Chez moi, j'ai monté une infrastructure domotique open source qui pilote plus de trente appareils connectés. Je les ai placés sur un réseau isolé, séparé du réseau de la maison et des serveurs, et les automatismes tournent sans connexion internet. Je l'ai fait parce que je ne pouvais pas savoir comment ces appareils étaient mis à jour. Le CRA déplace cette charge : ce n'est plus à l'utilisateur de se protéger d'un objet mal conçu, c'est au fabricant de le livrer sécurisé par défaut et de le maintenir.
Que faire concrètement
1. Faire l'inventaire de vos produits connectés
Listez les produits vendus dans l'UE qui ont une connexion de données : Wi-Fi, Bluetooth, USB, application, service en ligne. Pour chacun, notez qui est le fabricant au sens du CRA, par quels importateurs et distributeurs il passe, et dans quels pays il est vendu.
2. Être prêt à signaler en 24 heures
Désignez une personne responsable et un suppléant, publiez une adresse de contact pour les signalements de failles, inscrivez-vous sur la plateforme unique de l'ENISA et identifiez le centre national compétent. Préparez un modèle d'alerte et un moyen d'informer vos utilisateurs.
3. Mettre la sécurité dans le cahier des charges du prototype
Évaluation des risques écrite dès la conception, liste des composants et des logiciels tiers, mot de passe unique ou configuration sécurisée par défaut, mécanisme de mise à jour éprouvé sur le prototype, durée d'assistance décidée et chiffrée dans votre prix de revient.
4. Parler à vos partenaires européens
Demandez à vos importateurs et distributeurs ce qu'ils attendront de vous en décembre 2027, et voyez si un mandataire dans l'UE est utile. Mieux vaut le savoir avant de signer la prochaine commande.
5. Faire valider par un spécialiste
Le classement de votre produit (catégorie par défaut, produit important ou critique) détermine la procédure de conformité. Faites-le confirmer par un juriste ou un organisme spécialisé.
Questions fréquentes
Mon prototype est-il soumis au Cyber Resilience Act ?
Le règlement vise les produits mis à disposition sur le marché. Un prototype peut être présenté dans un salon s'il porte un signe visible indiquant qu'il n'est pas conforme et qu'il ne sera pas vendu en l'état (article 4). Mais c'est sur le prototype que se décident les choix qui feront la conformité du produit.
Mon produit est vendu depuis des années : suis-je concerné ?
Pour le signalement, oui : il s'applique aussi aux produits mis sur le marché avant le 11 décembre 2027. Les autres exigences ne s'appliquent à ces produits que s'ils subissent une modification substantielle après cette date (article 69).
Mon entreprise est suisse : le CRA me concerne-t-il vraiment ?
Oui, dès que votre produit est vendu dans l'UE, directement ou par un importateur. Le règlement prévoit explicitement le cas des fabricants sans établissement dans l'Union. Et la future loi suisse doit s'en inspirer.
Pour aller plus loin
Vous développez un objet connecté et vous voulez intégrer ces exigences dès le prototype ? Voyez mon offre ingénierie et fabrication, ou, pour cadrer le projet en amont, stratégie et accompagnement. Le plus simple : un appel de 20 minutes.
Sources
- Règlement (UE) 2024/2847 du 23 octobre 2024 (règlement sur la cyberrésilience), articles 2, 3, 4, 13, 14, 19, 64, 69, 71 et annexe I, Journal officiel de l'Union européenne, 20 novembre 2024.
- Cyber Resilience Act, Commission européenne, page mise à jour le 7 septembre 2026.
- Obligations de signalement du CRA, Commission européenne, 11 septembre 2026.
- The CRA Single Reporting Platform is launched, ENISA, 11 septembre 2026 (en anglais).
- Le Conseil fédéral veut créer une loi sur la cybersécurité, Conseil fédéral, 25 septembre 2026.
- Le Conseil fédéral souhaite renforcer la cyberrésilience des produits numériques, Office fédéral de la cybersécurité, 20 août 2025.
Photo : Nicolas Thomas / Unsplash (source).
Tags : Cyber Resilience Act, objets connectés, prototypage, cybersécurité, fabricants, marquage CE