Le Cyber Resilience Act (CRA) poursuit son d\u00e9ploiement et franchit une \u00e9tape importante. Depuis le 11 septembre 2026, les \u00e9diteurs de logiciels et les entreprises commercialisant des produits num\u00e9riques concern\u00e9s par le r\u00e8glement doivent signaler certaines vuln\u00e9rabilit\u00e9s exploit\u00e9es et certains incidents de s\u00e9curit\u00e9 graves.<\/p>\n\n\n\n
Derri\u00e8re cette nouvelle \u00e9ch\u00e9ance r\u00e9glementaire se dessine un enjeu plus large : mieux prot\u00e9ger<\/strong> les produits num\u00e9riques, renforcer la confiance<\/strong> de leurs utilisateurs et encourager les entreprises \u00e0 inscrire <\/strong>la cybers\u00e9curit\u00e9 dans la dur\u00e9e<\/strong>.<\/p>\n\n\n\n Adopt\u00e9 en 2024, le Cyber Resilience Act a pour ambition de renforcer la s\u00e9curit\u00e9 des produits comportant des \u00e9l\u00e9ments num\u00e9riques, qu’il s’agisse de logiciels, d’applications ou d’\u00e9quipements connect\u00e9s.<\/p>\n\n\n\n L’id\u00e9e est simple : faire de la cybers\u00e9curit\u00e9 une pr\u00e9occupation \u00e0 part enti\u00e8re, d\u00e8s la conception d’un produit et tout au long de son cycle de vie.<\/strong><\/p>\n\n\n\n Le r\u00e8glement s’adresse notamment aux \u00e9diteurs de logiciels et aux entreprises qui d\u00e9veloppent ou commercialisent des produits num\u00e9riques sous leur propre nom ou marque, lorsqu’ils r\u00e9pondent \u00e0 la d\u00e9finition de \u00ab fabricant \u00bb au sens du texte europ\u00e9en. Si la majorit\u00e9 des exigences du CRA entrera en application le 11 d\u00e9cembre 2027, certaines obligations sont d’ores et d\u00e9j\u00e0 effectives.<\/p>\n\n\n\n Depuis le 11 septembre 2026<\/strong>, les entreprises concern\u00e9es doivent en effet signaler les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es ainsi que les incidents graves ayant un impact sur la s\u00e9curit\u00e9 de leurs produits. Cette premi\u00e8re \u00e9ch\u00e9ance donne une dimension tr\u00e8s concr\u00e8te au r\u00e8glement et invite les acteurs du num\u00e9rique \u00e0 faire \u00e9voluer leurs pratiques.<\/p>\n\n\n\n L’un des premiers changements concerne le signalement<\/strong> des failles de s\u00e9curit\u00e9 et des incidents. Lorsqu’un \u00e9diteur ou un fournisseur de solution num\u00e9rique concern\u00e9 d\u00e9couvre une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e affectant son produit, ou prend connaissance d’un incident grave ayant un impact sur sa s\u00e9curit\u00e9, il doit d\u00e9sormais r\u00e9agir dans des d\u00e9lais pr\u00e9cis :<\/p>\n\n\n\n Ces d\u00e9clarations passent par une plateforme europ\u00e9enne unique de signalement mise en place par l’ENISA, l’Agence de l’Union europ\u00e9enne pour la cybers\u00e9curit\u00e9.<\/p>\n\n\n\n Rassurons-nous toutefois sur un point : il ne s’agit pas de d\u00e9clarer chaque faille identifi\u00e9e dans un logiciel. Les obligations portent sur les vuln\u00e9rabilit\u00e9s faisant l’objet d’une exploitation active<\/strong>, ainsi que sur les incidents r\u00e9pondant aux crit\u00e8res de gravit\u00e9 pr\u00e9vus par le r\u00e8glement. Autre \u00e9l\u00e9ment \u00e0 garder \u00e0 l’esprit : ces dispositions concernent \u00e9galement les produits num\u00e9riques d\u00e9j\u00e0 pr\u00e9sents sur le march\u00e9 europ\u00e9en, d\u00e8s lors qu’ils entrent dans le champ du CRA.<\/p>\n\n\n\n Pour les \u00e9diteurs de logiciels et les entreprises qui d\u00e9veloppent des solutions num\u00e9riques, ces nouvelles obligations vont au-del\u00e0 d’une simple formalit\u00e9 administrative. Elles supposent de pouvoir d\u00e9tecter rapidement un incident, en comprendre les cons\u00e9quences et disposer des bonnes informations pour agir dans les d\u00e9lais impartis.<\/p>\n\n\n\n Car identifier une faille est une chose. Savoir pr\u00e9cis\u00e9ment quels produits sont concern\u00e9s, quelles versions sont affect\u00e9es et quels composants sont en cause en est une autre. Cela implique de bien conna\u00eetre son environnement logiciel : les versions d\u00e9ploy\u00e9es, les composants utilis\u00e9s, les d\u00e9pendances techniques ou encore les modalit\u00e9s de suivi et de mise \u00e0 jour. Bien conna\u00eetre son patrimoine logiciel <\/strong>devient ainsi un v\u00e9ritable atout pour r\u00e9agir efficacement<\/strong>, limiter les risques<\/strong> et aborder plus sereinement les nouvelles exigences r\u00e9glementaires.<\/p>\n\n\n\n Au-del\u00e0 des obligations de signalement, le Cyber Resilience Act invite \u00e0 porter un regard plus global sur la vie des produits num\u00e9riques. La cybers\u00e9curit\u00e9 ne se joue pas uniquement au moment de leur conception ou de leur commercialisation. Elle se construit aussi dans le temps, au fil des \u00e9volutions technologiques, des mises \u00e0 jour et des nouvelles vuln\u00e9rabilit\u00e9s qui peuvent appara\u00eetre.<\/p>\n\n\n\n Cette r\u00e9alit\u00e9 soul\u00e8ve une question importante : comment assurer la continuit\u00e9 d’exploitation d’une solution logicielle strat\u00e9gique lorsque celle-ci d\u00e9pend d’un \u00e9diteur ou d’un prestataire externe ?<\/strong><\/p>\n\n\n\n Une entreprise peut en effet s’appuyer quotidiennement sur un logiciel essentiel \u00e0 son activit\u00e9 sans pour autant disposer de toutes les ressources n\u00e9cessaires pour intervenir dessus. Que se passe-t-il alors si l’\u00e9diteur rencontre des difficult\u00e9s, si le support technique s’interrompt ou si certaines comp\u00e9tences deviennent indisponibles ? Dans ces situations, la capacit\u00e9 \u00e0 faire \u00e9voluer une solution, \u00e0 corriger une vuln\u00e9rabilit\u00e9 ou simplement \u00e0 en assurer la continuit\u00e9 peut \u00eatre fragilis\u00e9e.<\/p>\n\n\n\n Anticiper<\/strong> ces risques passe aussi par une meilleure connaissance<\/strong> et une ma\u00eetrise renforc\u00e9e<\/strong> de ses actifs logiciels. Conserver une documentation technique \u00e0 jour, identifier les composants critiques, mieux conna\u00eetre ses d\u00e9pendances et anticiper les conditions de r\u00e9versibilit\u00e9 sont autant de bonnes pratiques pour gagner en autonomie<\/strong> et en s\u00e9r\u00e9nit\u00e9<\/strong>.<\/p>\n\n\n\n L\u2019escrow agreement<\/strong> (ou entiercement logiciel) s’inscrit pleinement dans cette d\u00e9marche. Sans constituer \u00e0 lui seul une r\u00e9ponse aux obligations du Cyber Resilience Act, il contribue \u00e0 pr\u00e9parer<\/strong> certaines situations de d\u00e9faillance d’un fournisseur et \u00e0 pr\u00e9server<\/strong>, dans les conditions contractuelles pr\u00e9vues, les moyens n\u00e9cessaires \u00e0 la continuit\u00e9 d’exploitation<\/strong> de solutions logicielles essentielles. L’enjeu est finalement de ne pas attendre qu’une difficult\u00e9 survienne pour se poser la question de la continuit\u00e9.<\/p>\n\n\n\n Si septembre 2026 marque une premi\u00e8re \u00e9tape, le Cyber Resilience Act pr\u00e9voit une autre date importante : le 11 d\u00e9cembre 2027<\/strong>, \u00e0 partir de laquelle ses principales exigences deviendront applicables. Celles-ci porteront notamment sur la s\u00e9curit\u00e9 d\u00e8s la conception, la gestion des vuln\u00e9rabilit\u00e9s, la documentation technique, l’\u00e9valuation de conformit\u00e9 et le marquage CE des produits concern\u00e9s.<\/p>\n\n\n\n Pour les \u00e9diteurs et les entreprises commercialisant des solutions num\u00e9riques, il est donc pr\u00e9f\u00e9rable d’anticiper d\u00e8s aujourd’hui plut\u00f4t que d’attendre cette prochaine \u00e9ch\u00e9ance. Cela peut passer par une meilleure organisation des processus de d\u00e9veloppement, un suivi renforc\u00e9 des composants logiciels ou encore une r\u00e9flexion sur les d\u00e9pendances technologiques et les risques associ\u00e9s.<\/p>\n\n\n\n Si la d\u00e9marche peut sembler exigeante, elle repr\u00e9sente aussi une occasion de prendre du recul sur ses pratiques et de renforcer progressivement la fiabilit\u00e9 de ses solutions. Car au-del\u00e0 de la conformit\u00e9 r\u00e9glementaire, c’est bien la confiance des clients, des partenaires et des utilisateurs qui est en jeu<\/strong>.<\/p>\n\n\n\nLe Cyber Resilience Act entre dans sa phase op\u00e9rationnelle<\/strong><\/h4>\n\n\n\n
Des vuln\u00e9rabilit\u00e9s \u00e0 signaler dans des d\u00e9lais stricts<\/strong><\/h4>\n\n\n\n
\n
Une responsabilit\u00e9 qui s’inscrit d\u00e9sormais dans le quotidien des \u00e9diteurs<\/strong><\/h4>\n\n\n\n
Cette visibilit\u00e9 est d’autant plus importante que les logiciels s’appuient aujourd’hui sur des \u00e9cosyst\u00e8mes technologiques de plus en plus riches, int\u00e9grant parfois de nombreuses solutions tierces ou des composants open source.<\/p>\n\n\n\nS\u00e9curit\u00e9 et continuit\u00e9 num\u00e9rique : deux enjeux qui se rejoignent<\/strong><\/h4>\n\n\n\n
D\u00e9cembre 2027 : une \u00e9ch\u00e9ance \u00e0 pr\u00e9parer d\u00e8s maintenant<\/strong><\/h4>\n\n\n\n
POUR ALLER PLUS LOIN<\/strong><\/h5>\n\n\n\n