Adoption du Cyber Resilience Act : nouvelles obligations pour la sécurité des produits numériques

Le 10 octobre, le Conseil de l’UE a adopté le Cyber Resilience Act (CRA), un règlement qui impose des exigences de cybersécurité pour tous les produits numériques, qu'ils soient fabriqués dans l'Union européenne ou en dehors. Ce texte concerne un large éventail de dispositifs : des objets connectés comme les réfrigérateurs intelligents et les montres connectées, jusqu'aux logiciels commerciaux tels que les jeux en ligne ou les applications mobiles.

En complément des directives NIS2 et DORA, le CRA vise à intégrer la cybersécurité dès la conception des produits, tout en imposant des mises à jour automatiques pour garantir leur sécurité sur la durée. Les entreprises doivent notamment informer les consommateurs sur la durée de disponibilité des mises à jour, facilitant ainsi une prise de décision éclairée lors de l’achat. Le CRA instaure aussi des exigences spécifiques pour les produits jugés plus sensibles, tels que les pare-feu, qui devront se soumettre à des certifications tierces.

Le règlement s’applique à tous les fabricants et distributeurs, qu’ils soient basés dans l’UE ou non, dès lors qu’ils souhaitent commercialiser leurs produits sur le marché européen. Les sanctions en cas de non-conformité pourront atteindre jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial.

La mise en œuvre se fera progressivement, avec des premières obligations dès l’été 2026. Pour plus de détails sur ce texte, rendez-vous sur le site officiel de l’Union européenne.