Le Cyber Resilience Act (CRA) introduit de nouvelles exigences de cybersécurité pour les produits comportant des éléments numériques commercialisés dans l’Union européenne. Mais toutes les entreprises sont-elles concernées ? Les logiciels SaaS sont-ils inclus ? Les distributeurs ont-ils des obligations ?
Le champ d’application du règlement suscite encore de nombreuses interrogations. Pourtant, le texte européen repose sur une logique simple : ce sont avant tout les produits mis sur le marché et les acteurs qui les commercialisent qui déterminent l’application du CRA, et non la taille ou le secteur d’activité de l’entreprise.
Le CRA concerne avant tout les produits comportant des éléments numériques
Contrairement à des réglementations comme NIS2, qui s’appliquent à certaines organisations en fonction de leur activité, le Cyber Resilience Act cible les produits comportant des éléments numériques.
Le règlement définit ces produits comme des matériels ou logiciels, y compris leurs composants et, dans certains cas, leurs solutions de traitement de données à distance, dont l’usage prévu comprend une connexion directe ou indirecte à un appareil ou à un réseau. Cela englobe aussi bien des objets connectés que des logiciels commercialisés ou des équipements industriels communicants.
Autrement dit, une entreprise n’est pas concernée parce qu’elle appartient à un secteur donné, mais parce qu’elle met sur le marché un produit entrant dans le champ d’application du règlement.
Quels acteurs sont concernés ?
Le CRA définit plusieurs catégories d’opérateurs économiques, chacune ayant des responsabilités spécifiques.
Les fabricants
Le fabricant est l’acteur principal du règlement. Il conçoit ou fait concevoir un produit et le commercialise sous son propre nom ou sa propre marque.
C’est lui qui doit s’assurer que le produit répond aux exigences essentielles de cybersécurité, réaliser une analyse des risques, constituer la documentation technique, assurer la gestion des vulnérabilités et maintenir la conformité pendant toute la période de support.
Les éditeurs de logiciels
Les éditeurs sont concernés dès lors qu’ils mettent sur le marché un logiciel répondant à la définition d’un produit comportant des éléments numériques.
Le CRA ne distingue pas les produits matériels des logiciels. Les logiciels commercialisés peuvent donc relever du règlement au même titre que les équipements connectés.
Les importateurs
Les importateurs doivent vérifier que les produits provenant de pays tiers respectent les exigences du règlement avant leur mise sur le marché européen. Ils jouent un rôle de contrôle et peuvent voir leur responsabilité engagée si des produits non conformes sont commercialisés.
Les distributeurs
Les distributeurs ne sont pas responsables de la conception du produit, mais ils doivent agir avec diligence. Ils doivent notamment s’assurer que les produits portent les marquages requis et qu’ils sont accompagnés de la documentation prévue par le règlement avant leur mise à disposition sur le marché.
Quels produits sont concernés ?
Le CRA couvre une large variété de produits comportant des éléments numériques, notamment :
- les logiciels commercialisés ;
- les applications ;
- les objets connectés ;
- les équipements réseau ;
- les équipements industriels connectés ;
- les composants logiciels ou matériels commercialisés séparément.
Le règlement couvre également certaines solutions de traitement de données à distance lorsqu’elles sont nécessaires au fonctionnement d’un produit. Cette précision est importante pour comprendre le périmètre réel du texte.
Certains produits sont exclus
Tous les produits numériques ne relèvent pas du CRA.
Le règlement prévoit des exclusions pour certaines catégories déjà couvertes par une législation européenne spécifique, notamment certains dispositifs médicaux, les produits aéronautiques ou encore certains véhicules. L’objectif est d’éviter des obligations réglementaires redondantes lorsque des exigences de cybersécurité existent déjà dans un autre cadre juridique.
Les logiciels SaaS sont-ils concernés ?
C’est l’une des questions les plus fréquentes.
Il n’existe pas de réponse unique. La Commission européenne précise que le critère déterminant n’est pas le modèle économique, mais le fait que le logiciel ou la solution de traitement de données à distance fasse partie d’un produit comportant des éléments numériques mis sur le marché.
Une solution SaaS purement autonome ne relève donc pas systématiquement du CRA, tandis qu’une solution de traitement à distance indispensable au fonctionnement d’un produit connecté peut entrer dans son champ d’application. Chaque situation doit être analysée au regard des définitions du règlement.
Comment savoir si votre entreprise est concernée ?
Une première analyse peut s’appuyer sur quatre questions :
- Votre produit comporte-t-il des éléments numériques ?
- Est-il mis à disposition sur le marché de l’Union européenne ?
- Votre entreprise agit-elle en tant que fabricant, éditeur, importateur ou distributeur ?
- Le produit est-il déjà couvert par une réglementation européenne sectorielle spécifique ?
Si la réponse est positive aux trois premières questions et qu’aucune exclusion ne s’applique, il est probable que le Cyber Resilience Act vous concerne. Une analyse plus approfondie permettra ensuite d’identifier les exigences applicables.
Comment Hoctave accompagne les entreprises
Identifier le périmètre d’application du CRA constitue souvent la première difficulté rencontrée par les entreprises. Une fois cette étape franchie, il faut organiser les analyses de risques, centraliser les exigences réglementaires, documenter les preuves de conformité et suivre les actions tout au long du cycle de vie des produits.
Hoctave accompagne cette démarche en proposant une plateforme permettant de structurer les exigences du Cyber Resilience Act, de piloter les actions de conformité et de garantir la traçabilité des preuves dans un environnement unique.
FAQ
Une PME est-elle concernée par le Cyber Resilience Act ?
Oui. Le CRA ne dépend pas de la taille de l’entreprise mais du produit mis sur le marché et du rôle joué par l’opérateur économique.
Les logiciels sont-ils concernés ?
Oui, lorsqu’ils répondent à la définition d’un produit comportant des éléments numériques prévue par le règlement.
Les distributeurs ont-ils des obligations ?
Oui. Ils doivent notamment vérifier que les produits respectent certaines exigences avant leur mise à disposition sur le marché européen.
Les entreprises hors Union européenne sont-elles concernées ?
Oui, dès lors que leurs produits sont mis à disposition sur le marché de l’Union européenne, directement ou par l’intermédiaire d’un importateur ou d’un mandataire.
Les logiciels open source sont-ils concernés ?
Le CRA prévoit un régime spécifique. Les logiciels libres et open source non commercialisés ne relèvent généralement pas du règlement, tandis que les logiciels open source mis à disposition dans le cadre d’une activité commerciale peuvent entrer dans son champ d’application.
