Le Cyber Resilience Act (CRA) est une réglementation européenne qui vise à renforcer la cybersécurité des produits numériques vendus au sein de l'Union européenne. Son objectif est de garantir que les logiciels, objets connectés et autres produits intégrant des composants numériques soient conçus avec un niveau de sécurité suffisant dès leur mise sur le marché et tout au long de leur cycle de vie.
Jusqu'à présent, la sécurité d'un produit dépendait largement du choix de son fabricant. Avec le CRA, la cybersécurité devient une obligation légale. Les fabricants doivent désormais intégrer la sécurité dès la phase de conception (Security by Design), corriger rapidement les vulnérabilités découvertes et fournir des mises à jour de sécurité pendant plusieurs années après la commercialisation de leurs produits.
Cyber Resilience Act : pourquoi les PMEs industrielles doivent s’y préparer
Le règlement s'applique à une large gamme de produits : logiciels, équipements réseau, systèmes industriels, objets connectés (IoT), appareils électroniques, solutions cloud et bien d'autres technologies utilisées quotidiennement par les entreprises comme par les particuliers.
Le CRA impose également aux fabricants de documenter les risques de cybersécurité, de gérer les vulnérabilités de manière continue et de signaler les failles activement exploitées aux autorités compétentes dans des délais définis. Les importateurs et distributeurs ont eux aussi des responsabilités afin de garantir que seuls des produits conformes soient commercialisés sur le marché européen.
Le Cyber Resilience Act ne doit pas être confondu avec la directive NIS2. Alors que NIS2 impose des obligations de cybersécurité aux organisations qui exploitent des services essentiels ou importants, le CRA s'adresse principalement aux fabricants et fournisseurs de produits numériques.
Pour les entreprises, cette réglementation représente une avancée majeure. En imposant des exigences de sécurité communes à l'ensemble du marché européen, le CRA contribue à réduire le nombre de vulnérabilités présentes dans les produits numériques et renforce la confiance des utilisateurs. Les entreprises qui développent ou commercialisent des produits concernés ont donc tout intérêt à anticiper ces nouvelles obligations afin de garantir leur conformité et de limiter les risques de cybersécurité.