Appareils connectés : le Cyber Resilience Act demeure mal connu des PME européennes

À dix-huit mois de son entrée en vigueur, seuls 66 % des entreprises connaissent l’existence du règlement européen et 54 % ne maîtrisent pas ses procédures de conformité.

L’Agence de l’Union européenne pour la cybersécurité (Enisa) a publié, le 24 juin 2026, les résultats d’une enquête évaluant le niveau de maîtrise du Cyber Resilience Act (CRA) par les PME européennes. Ce règlement européen imposera, à partir de décembre 2027, des obligations de cybersécurité aux fabricants, importateurs et distributeurs d’appareils électroniques connectés à Internet.

Pour évaluer le niveau de préparation des PME, l’Enisa a interrogé 194 entreprises entre février et mars 2026, dont 11 en France. Seuls 66 % des répondants déclarent avoir entendu parler du CRA. Ce taux atteint 94 % pour les moyennes entreprises et 74 % pour les petites, mais tombe à 62 % pour les microentreprises.

La compréhension opérationnelle du texte demeure encore plus faible que son niveau de notoriété. 54 % des PME interrogées reconnaissent avoir une compréhension limitée, voire inexistante, des procédures de conformité prévues par le CRA. Les exigences concernant la documentation technique posent les mêmes difficultés : 42 % des entreprises déclarent ne pas les maîtriser.