Cyber Resilience Act : ce qu'une PME doit signaler en 24 heures - Blog Alpha Digital

Le 11 septembre 2026, une obligation européenne entre en application pour toute entreprise qui vend un produit numérique sous son propre nom : un logiciel, une application mobile, un objet connecté. Dès qu’une faille de ce produit est exploitée par des attaquants, vous avez 24 heures pour donner l’alerte, 72 heures pour la détailler, et vous devez prévenir vos clients. L’amende peut atteindre 15 millions d’euros. La plupart des PME ne sont pas concernées, et le tri se fait en trois questions. Celles qui le sont l’apprennent souvent trop tard, parce que le texte les désigne comme fabricant même quand elles n’ont pas écrit une ligne du produit.

Ce qui commence le 11 septembre, et ce qui attend décembre 2027

Le texte s’appelle le règlement européen sur la cyberrésilience, plus connu sous son nom anglais de Cyber Resilience Act. Il a été adopté le 23 octobre 2024 et il ne s’appliquera dans son ensemble que le 11 décembre 2027. Une seule de ses obligations démarre plus tôt : celle de signaler, écrite à son article 14, applicable à partir du 11 septembre 2026. C’est l’article 71 du règlement qui fixe ces trois dates.

Date	Ce qui s’applique	Ce que vous avez à faire
11 juin 2026	Mise en place des organismes chargés de vérifier la conformité des produits	Rien, cette étape concerne les États et ces organismes
11 septembre 2026	Signaler une faille exploitée ou un incident grave sur votre produit	Savoir qui alerte, sous quel délai, et avec quelles informations
11 décembre 2027	Tout le reste : niveau de sécurité exigé, documentation, marquage CE	Le chantier de fond, à préparer sur les quinze mois qui suivent

La confusion la plus fréquente consiste à retenir la date de 2027 et à repousser le sujet. Elle vaut pour le chantier de fond, pas pour l’alerte.

Vos produits déjà vendus sont concernés, pas seulement les prochains

C’est le point qui surprend le plus. Le règlement prévoit que les produits mis sur le marché avant le 11 décembre 2027 échappent à ses exigences, sauf modification importante. Mais son article 69 ajoute une exception explicite : l’obligation de signaler s’applique à tous les produits déjà mis sur le marché avant cette date.

Autrement dit, le logiciel que vous vendez depuis quatre ans et que vous n’aviez pas prévu de retoucher entre dans le dispositif le 11 septembre 2026, comme les autres. Il n’y a pas de clause qui protège l’existant.

Le test en trois questions pour savoir si vous êtes concerné

Le règlement vise les produits comportant des éléments numériques mis à disposition sur le marché de l’Union. Trois questions suffisent à trancher la plupart des cas.

Un, ce que vous vendez est-il un produit ? Un logiciel qu’on installe, une application qu’on télécharge, un appareil connecté. Un site internet qui ne fait fonctionner aucun produit n’entre pas dans le champ.

Deux, est-il mis à disposition sur le marché ? Le règlement définit cette mise à disposition comme la fourniture d’un produit destiné à être distribué ou utilisé dans l’Union dans le cadre d’une activité commerciale, à titre payant ou gratuit. Un outil que vous avez fait construire pour votre usage interne et que vous ne fournissez à personne d’autre reste en dehors.

Trois, le vendez-vous sous votre nom ou sous votre marque ? C’est ce critère qui désigne le fabricant, et c’est celui qu’on lit le plus mal. Voir la section suivante.

Votre situation	Concerné par l’obligation de signaler
Vous vendez un logiciel ou une application sous votre marque	Oui, même si un prestataire l’a développé
Vous vendez un appareil connecté sous votre marque	Oui
Vous proposez un outil accessible uniquement en ligne, sans produit derrière	Non au titre de ce règlement, mais un autre texte s’applique aux services en ligne
Vous avez fait construire un outil pour vos équipes, sans le vendre	Non, il n’est pas mis à disposition sur le marché
Vous utilisez des logiciels achetés à d’autres	Non, l’obligation pèse sur ceux qui les vendent

Le quatrième cas est de loin le plus courant chez les dirigeants qui nous appellent. Faire développer un outil pour ses propres équipes, c’est le sujet de notre page sur le logiciel sur mesure, et cette obligation ne s’y applique pas. Elle apparaît le jour où vous décidez de revendre cet outil à vos confrères, ce qui arrive plus souvent qu’on ne le croit.

Si votre activité passe par un service accessible en ligne plutôt que par un produit, c’est la directive européenne sur la cybersécurité qui vous concerne, celle dont nous avons parlé dans NIS2 et les TPE concernées par ricochet.

Vous n’avez pas écrit le logiciel, vous êtes quand même le fabricant

Le règlement définit le fabricant comme la personne qui développe ou fabrique un produit numérique, ou qui le fait concevoir, développer ou fabriquer, et qui le commercialise sous son propre nom ou sa propre marque, à titre payant ou gratuit.

Les mots qui comptent sont « ou qui le fait concevoir ». Une PME qui commande un logiciel à une agence, puis le vend sous son propre nom, est le fabricant au sens du texte. L’agence, elle, ne l’est pas : elle n’a rien mis sur le marché sous sa marque.

La conséquence est simple et elle ne se négocie pas dans un contrat de prestation : l’obligation de signaler est la vôtre. Ce qui se négocie, en revanche, c’est la capacité de votre prestataire à vous prévenir vite et à vous fournir les éléments dont vous aurez besoin pour remplir votre déclaration en 24 heures. Si votre contrat de maintenance actuel ne dit rien de ce délai, c’est la première clause à ajouter.

Les trois délais à tenir, et à qui vous parlez

L’article 14 impose une déclaration en trois temps, valable aussi bien pour une faille activement exploitée que pour un incident grave touchant la sécurité du produit.

Étape	Délai à partir du moment où vous en avez connaissance	Contenu attendu
Alerte précoce	24 heures	Le signalement, et les pays où votre produit est diffusé si vous les connaissez
Notification complète	72 heures	La nature de la faille ou de l’incident, ce que vous avez déjà corrigé, ce que vos clients peuvent faire de leur côté
Rapport final	14 jours après la mise à disposition du correctif	La description de la faille, sa gravité, ses conséquences, et le correctif publié

Le point de départ n’est pas la découverte de la faille par un tiers : c’est le moment où vous en prenez connaissance. Un signalement reçu vendredi soir sur une adresse que personne ne relève le week-end fait courir le délai quand même.

La déclaration se fait sur une plateforme unique européenne, gérée par l’agence européenne chargée de la cybersécurité, dont la mise en ligne est annoncée pour le 11 septembre 2026. Elle demande une inscription préalable. En France, c’est le CERT-FR, au sein de l’agence nationale de la sécurité des systèmes d’information, qui reçoit et coordonne le traitement.

À ces trois délais s’ajoute une quatrième obligation, souvent oubliée parce qu’elle ne s’adresse pas à l’administration : vous devez informer les utilisateurs du produit touché, et leur indiquer les mesures qu’ils peuvent prendre.

Ce que vous risquez, et ce que la taille de votre entreprise change

Le manquement aux obligations de signalement est passible d’une amende administrative pouvant aller jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé des deux étant retenu. Pour une PME, c’est donc le plafond de 15 millions qui fait référence.

Le règlement demande aussi de tenir compte, pour fixer le montant, de la taille de l’entreprise et en particulier du fait qu’il s’agit d’une microentreprise, d’une petite ou d’une moyenne entreprise. C’est une circonstance prise en compte, pas une exemption : rien dans le texte ne dispense une petite structure de déclarer.

En France, la surveillance du marché est assurée par l’agence nationale des fréquences, avec l’appui technique de l’agence nationale de la sécurité des systèmes d’information.

Les quatre décisions à prendre avant le 11 septembre

Aucune de ces quatre décisions n’est un chantier informatique. Ce sont des décisions d’organisation, et elles se prennent en une réunion.

Dites qui décide. Une personne nommée, joignable, qui a le droit de déclarer sans attendre une validation. Vingt-quatre heures ne laissent pas le temps d’un circuit de décision.
Ouvrez une adresse de signalement et faites-la relever. Une adresse du type sécurité arobase votre-domaine, publiée sur votre site, relevée tous les jours ouvrés. C’est par là que les chercheurs en sécurité et vos clients vous préviendront.
Inscrivez-vous sur la plateforme européenne dès son ouverture. Créer un compte pendant une crise, à trois heures du matin, n’est pas un plan.
Ajoutez le délai à votre contrat de maintenance. Votre prestataire doit s’engager à vous alerter dans un délai compatible avec les 24 heures, et à fournir les éléments techniques de la déclaration.

Si vous ne savez pas quels produits de votre catalogue entrent dans le champ, c’est exactement ce que fait notre diagnostic des outils : dresser la liste de ce que vous vendez, de ce que vous utilisez, et dire ce qui relève de quoi. Pour un périmètre plus large, la page conseil et audit décrit la version longue.

Ce que ça change pour votre décision

Si vous ne vendez aucun produit numérique sous votre marque, ce texte ne vous demande rien, ni le 11 septembre ni en décembre 2027. Classez-le et passez à autre chose.

Si vous en vendez un, même vieux, même petit, même gratuit, la question à trancher cette semaine n’est pas technique. C’est de savoir qui, dans votre entreprise, décroche et déclare quand l’alerte tombe un samedi.

Sources et références

Règlement (UE) 2024/2847 du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques, articles 2, 3, 14, 64, 69 et 71, ainsi que le considérant 12. Consulté le 27 août 2026.
Cyber Resilience Act (CRA) : ce qui change pour les entreprises et comment s’y préparer, Direction générale des Entreprises, publié le 12 mars 2026.
Questions fréquentes sur le CRA, Agence nationale de la sécurité des systèmes d’information. Consultée le 27 août 2026.
Cyber Resilience Act, cadre réglementaire, Agence nationale de la sécurité des systèmes d’information.

Questions fréquentes

Mon logiciel est vendu depuis des années, suis-je vraiment concerné ?

Oui. L’article 69 du règlement écarte les produits déjà mis sur le marché de la plupart des exigences, mais il prévoit une exception expresse pour l’obligation de signaler, qui s’applique à tous les produits relevant du règlement, y compris ceux vendus avant le 11 décembre 2027. L’ancienneté du produit ne change rien au 11 septembre 2026.

C’est mon prestataire qui a développé le produit, ce n’est pas à lui de déclarer ?

Non. Le règlement désigne comme fabricant celui qui fait concevoir ou développer le produit et le commercialise sous son propre nom ou sa propre marque. Si votre nom est sur le produit, l’obligation est la vôtre. Vous pouvez en revanche exiger contractuellement de votre prestataire qu’il vous alerte et vous fournisse les informations dans un délai compatible avec les 24 heures.

Je propose un outil accessible en ligne, pas un logiciel à installer. Suis-je visé ?

Pas par ce règlement, dans la plupart des cas. Son considérant 12 précise que les sites internet qui ne font fonctionner aucun produit, et les services en ligne qui ne sont pas conçus sous la responsabilité du fabricant d’un produit, restent hors de son champ. Ces services relèvent de la directive européenne sur la cybersécurité. Attention toutefois si votre application mobile a besoin d’un service que vous fournissez pour fonctionner : dans ce cas, ce service fait partie du produit.

Que se passe-t-il si je découvre la faille un vendredi soir ?

Le délai de 24 heures court à partir du moment où vous prenez connaissance de la faille exploitée, sans distinction de jour ni d’heure. C’est la raison pour laquelle le règlement pousse à désigner une personne joignable et autorisée à déclarer seule, plutôt qu’à s’en remettre à un circuit de validation.

Faut-il déclarer toutes les failles de mon produit ?

Non. L’obligation vise les failles activement exploitées, c’est-à-dire celles dont vous savez qu’un attaquant s’en sert, et les incidents graves affectant la sécurité du produit. Le règlement qualifie un incident de grave lorsqu’il porte atteinte à la disponibilité, à l’authenticité, à l’intégrité ou à la confidentialité de données ou de fonctions sensibles, ou lorsqu’il permet l’introduction ou l’exécution d’un code malveillant. Une faille corrigée avant toute exploitation connue ne déclenche pas cette déclaration.

Quelles sont les amendes prévues ?

Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le règlement demande de tenir compte de la taille de l’entreprise pour fixer le montant, ce qui atténue le risque pour une petite structure sans la dispenser de l’obligation.