Comment savoir si votre logiciel est concerné par le Cyber Resilience Act ?

Le Cyber Resilience Act (CRA) est bien plus qu'une nouvelle réglementation européenne ; c'est un changement de paradigme pour la cybersécurité des produits numériques. Face aux échéances de septembre 2026 (reporting) et décembre 2027 (obligations), la première étape, et souvent la plus déroutante, est de déterminer si votre logiciel est concerné. Cet article vous guide pour y voir clair.

Qu'est-ce qu'un "produit avec éléments numériques" selon le CRA ?

Le cœur de l'applicabilité du CRA réside dans la définition de "produit avec éléments numériques". Concrètement, il s'agit de tout produit, qu'il soit matériel ou logiciel, qui peut se connecter directement ou indirectement à un réseau ou à un autre appareil. La capacité de connectivité est le critère fondamental.

Votre logiciel entre-t-il dans cette catégorie ?

Pensez au-delà des objets connectés évidents. Sont visés : les systèmes d'exploitation, les applications mobiles, les plateformes SaaS, les logiciels d'analyse de données, les logiciels embarqués, les gestionnaires de bases de données, les navigateurs web, et même certains logiciels de développement. Si votre logiciel interagit avec un écosystème numérique, il est potentiellement concerné. En tant que créateur de logiciel (éditeur SaaS, développeur solo, PME tech, fabricant), vous êtes considéré comme "fabricant" si vous développez, produisez, modifiez substantiellement ou commercialisez un tel produit sous votre nom ou marque, y compris l'intégration de composants open source si vous les modifiez et les distribuez.

Les exemptions à connaître

Certaines catégories de logiciels sont explicitement exclues ou déjà couvertes par d'autres réglementations sectorielles :

Les logiciels open source fournis gratuitement et sans contrepartie financière, sauf si une entité commerciale les intègre dans son propre produit.

Les dispositifs médicaux, produits d'aviation, automobiles, etc., qui relèvent de réglementations spécifiques.

Les services qui ne contiennent pas de "produit avec éléments numériques" (ex: un service de conseil pur).

Catégorisation : Essentiel ou Critique ?

Si votre logiciel est concerné, le CRA le classe ensuite en différentes catégories (Classe I pour les produits critiques, Classe II pour les produits très critiques, ou "non critique"). Cette classification détermine le niveau d'exigences et les procédures d'évaluation de la conformité.

**Produits critiques (Classe I)** : Souvent des logiciels d'entreprise à large usage comme les systèmes d'exploitation spécifiques, les gestionnaires de bases de données, les logiciels de gestion d'identité (IAM), les systèmes de gestion de la relation client (CRM), les logiciels ERP, les compilateurs, débogueurs et outils de développement (IDE).

**Produits très critiques (Classe II)** : Ceux qui présentent un risque systémique élevé, comme les systèmes d'exploitation généraux, les gestionnaires de réseau, les pares-feux, les hyperviseurs. L'annexe III du règlement fournit une liste détaillée des catégories et il est crucial de s'y référer pour positionner précisément votre produit.

Les implications concrètes si votre logiciel est sous le coup du CRA

Si votre logiciel est concerné, les obligations sont significatives et impactent l'ensemble de votre cycle de vie produit :

Réalisation d'une évaluation de conformité, incluant une analyse des risques de cybersécurité.

Établissement d'une documentation technique et d'une déclaration de conformité UE.

Mise en place de processus robustes pour la gestion des vulnérabilités, incluant des mises à jour régulières pendant la durée de vie supportée du produit.

Obligation de rapporter les incidents de cybersécurité significatifs à l'ENISA dans les 24 heures suivant leur détection.

Le non-respect de ces obligations peut entraîner des sanctions sévères, allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.

Prochaines étapes : S'auto-évaluer et agir

La première démarche est de réaliser un inventaire exhaustif de tous vos produits logiciels et de les passer au crible des définitions et listes du CRA. N'attendez pas les dernières échéances : anticipez pour ne pas subir. Des outils comme CRAcheck sont conçus pour vous accompagner dans cette phase d'auto-évaluation. En connectant vos dépôts, vous pouvez obtenir une SBOM automatique et un score de conformité préliminaire, facilitant ainsi l'identification des produits concernés et les premières démarches pour vous aligner avec les exigences du Cyber Resilience Act. C'est un support précieux pour structurer votre approche sans pour autant constituer une certification.