La fin de l'ère de la cybersécurité "rustine"

Le Cyber Resilience Act (CRA) ne se contente pas d'ajouter une couche de protection ; il change radicalement la stratégie offensive des fabricants. Jusqu'ici, la sécurité était souvent traitée comme un ajout tardif, une sorte de correction de dernière minute après le coup de sifflet final. Désormais, l'Europe impose que la défense soit intégrée dès la conception du produit. Ce règlement, qui entrera en application de manière progressive entre juin 2026 et décembre 2027, établit un cadre où chaque acteur - fabricant, importateur ou distributeur - doit garantir une intégrité technique sans faille.

Une hiérarchie de risques structurée comme un championnat

Le CRA ne traite pas tous les produits de la même manière. La réglementation segmente le marché en quatre catégories distinctes, selon l'exposition au risque, un peu comme on classerait des joueurs par niveau de dangerosité sur un terrain.

• La catégorie « par défaut » : Elle englobe la majorité des produits numériques (smartphones, ordinateurs, brosses à dents électriques) qui n'entrent pas dans les catégories supérieures.
• Les produits importants de classe I : On y retrouve 19 types de produits, incluant des gestionnaires de mots de passe ou des systèmes d'exploitation.
• Les produits importants de classe II : Cette catégorie cible des infrastructures plus critiques comme les pare-feux (firewalls), les IDS/IPS ou les hyperviseurs.
• Les produits critiques : Le sommet de la pyramide, comprenant des éléments comme les cartes à puce ou les passerelles pour compteurs intelligents.

Pour ces dernières catégories, l'auto-déclaration ne suffit plus. La stratégie de défense doit être validée par un tiers indépendant, garantissant que le produit n'est pas une faille béante avant sa mise sur le marché.

L'ANSSI et le COFRAC : les arbitres de la conformité

Dans ce dispositif, l'autorité nationale joue un rôle de premier plan. Pour les produits critiques (classe II), la certification nécessite l'aval d'un organisme évaluateur notifié. En France, la procédure est strictement encadrée : un organisme doit d'abord obtenir une accréditation auprès du COFRAC avant de pouvoir être notifié par l'ANSSI.

L'ANSSI endosse ici le rôle de superviseur central qui évalue, notifie et contrôle ces futurs évaluateurs. Les exigences pour ces organismes sont de haut niveau : ils doivent respecter la norme ISO/IEC 17065 pour la certification de produits et être soumis à un audit de surveillance au moins tous les vingt-quatre mois. Un organisme peut toutefois bénéficier d'une voie transitoire en obtenant la recevabilité opérationnelle du COFRAC, lui permettant de réaliser jusqu'à vingt-cinq évaluations avant d'obtenir son accréditation définitive.

Gestion des vulnérabilités et surveillance de marché

La défense ne s'arrête pas à la vente. Le CRA impose un suivi de vie rigoureux du produit. Dès le 11 septembre 2026, les fabricants devront impérativement signaler leurs vulnérabilités activement exploitées ainsi que les incidents graves via la Single Reporting Platform (SRP) gérée par l'ENISA. En France, c'est le CERT-FR de l'ANSSI qui agira comme CSIRT coordinateur pour centraliser ces signalements et coordonner les remédiations.

A côté de cette gestion technique des failles, un dispositif de surveillance de marché est mis en place. L'Agence nationale des fréquences (ANFR) assurera la surveillance en France, avec le soutien technique de l'ANSSI, pour s'assurer que les produits circulant sur le territoire respectent effectivement les standards de conception prévus.

Des sanctions qui ne pardonnent pas

Ne pas jouer le jeu du CRA n'est pas une simple erreur de parcours, c'est un risque financier majeur. Le cadre réglementaire prévoit des sanctions extrêmement lourdes pour les entreprises qui ne respecteraient pas leurs obligations. L'ANFR est habilitée à imposer des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial du fabricant, sans oublier la possibilité de retrait pur et simple du produit du marché européen.

Le passage au CRA transforme la cybersécurité d'une contrainte technique en un impératif de conformité stratégique. Pour les acteurs du numérique, l'enjeu est clair : intégrer une defense-in-depth dès le premier coup de crayon, sous peine de voir leur entrée sur le marché européen stoppée net par les autorités.