Le Cyber Resilience Act, un défi pour les PME
Le Cyber Resilience Act (CRA) est en vigueur depuis décembre 2024 et confronte les petites et moyennes entreprises à de nouveaux défis. À partir de septembre 2026, les premières obligations de notification s'appliqueront, mais le soutien public aux PME reste limité. Des fédérations comme TeleTrusT critiquent déjà le fait que l'aide prévue reste très en deçà des besoins réels.
Contrairement à d'autres réglementations telles que NIS 2, le CRA ne prévoit aucune exemption liée à la taille. Tous les fabricants, importateurs et distributeurs de produits comportant des éléments numériques – des logiciels au matériel en passant par les objets connectés – doivent mettre en œuvre des mesures de cybersécurité complètes. La direction engage à cet égard sa responsabilité personnelle en cas de problème.
Un soutien public insuffisant
L'avant-projet de loi allemande d'application du CRA illustre l'ampleur du problème : l'État prévoit seulement 1,28 million d'euros par an pour l'accompagnement. À titre de comparaison, la loi NIS 2 prévoyait quatre fois plus rien que pour les formations dans l'administration fédérale. Ce déficit d'accompagnement montre bien que les PME devront prendre la mise en œuvre en main elles-mêmes.
La fenêtre réglementaire se referme déjà : les entreprises n'ont plus que quelques mois avant l'entrée en vigueur des premières obligations contraignantes. Qui ne sera pas prêt d'ici septembre 2026 s'expose à des conséquences considérables.
Cinq étapes vers la conformité au CRA
Étape 1 : déterminer si l'on est concerné
Tout produit pouvant se connecter directement ou indirectement à un appareil ou à un réseau relève du CRA. Cela vaut aussi bien pour les objets connectés que pour les produits purement logiciels, qu'une connexion soit ou non effectivement établie. Ne sont pas concernées les solutions SaaS et les composants open source. Les entreprises doivent d'abord réaliser un inventaire complet de leurs produits.
Étape 2 : mettre en place des processus de notification
À partir du 11 septembre 2026, les vulnérabilités activement exploitées et les incidents de sécurité graves devront être notifiés. Le calendrier est serré :
- Première notification dans les 24 heures
- Notification de suivi dans les 72 heures
- Rapport final au plus tard 14 jours après la disponibilité d'une mesure corrective
Les entreprises qui ne disposent pas encore de processus internes de gestion des vulnérabilités et de réponse aux incidents doivent les établir dès maintenant – non comme un projet informatique, mais comme un sujet d'exploitation.
Étape 3 : ancrer la sécurité dès la conception
Le CRA exige que la sécurité fasse partie du développement produit dès le départ. Les lacunes les plus importantes apparaissent là où des décisions d'architecture relatives à l'authentification, au contrôle des flux de données et au cloisonnement des locataires sont prises sans perspective explicite de sécurité. Les PME n'ont pas à viser un processus parfait, mais doivent développer une approche démontrable et documentée.
Étape 4 : inventorier la chaîne d'approvisionnement et les dépendances open source
De nombreux produits résultent aujourd'hui d'une combinaison de développements propres, de bibliothèques open source, de services cloud et de composants tiers. Le CRA vise précisément ces risques : les fabricants sont également responsables des composants tiers intégrés. Une nomenclature logicielle (SBOM) – un inventaire structuré de tous les composants logiciels utilisés – est l'outil central pour créer de la transparence et rester capable d'agir en cas de problème.
Étape 5 : recourir aux dispositifs de financement
Avec le programme SECURE, l'UE met à disposition 16,5 millions d'euros au total en soutien financier direct aux PME qui fabriquent, développent ou distribuent des produits comportant des éléments numériques. Sont notamment éligibles les analyses de risques, les tests d'intrusion et les évaluations de sécurité. Peuvent déposer une demande les entreprises de moins de 250 salariés et jusqu'à 50 millions d'euros de chiffre d'affaires annuel.
Voir la réglementation comme un avantage concurrentiel
Les exigences du CRA ouvrent aussi des perspectives stratégiques. Qui est conforme au CRA devient un partenaire privilégié dans des chaînes d'approvisionnement où les donneurs d'ordre devront à l'avenir exiger des standards de sécurité démontrables. À l'inverse, tous ceux qui ne pourront pas livrer risquent de perdre des commandes.
Ari Albertini, CEO de FTAPI, souligne : « Les nouvelles réglementations contraignent les entreprises à penser la cybersécurité de manière stratégique. C'est le moment où se décide qui sera encore perçu, dans les prochaines années, comme un partenaire technologique fiable. Les PME qui agissent maintenant s'achètent une avance que les autres ne pourront plus combler. »
Perspectives : la fin d'une ère de cybersécurité volontaire
Le CRA marque la fin d'une ère où la cybersécurité était exclusivement l'affaire de spécialistes. Le BSI a déjà pris la direction du groupe européen de surveillance du marché AdCo CRA, mission dont Anna Schwendicke est responsable. Les entreprises qui considèrent la sécurité comme une évidence opérationnelle et stratégique ne protègent pas seulement leurs produits : elles assurent aussi leur capacité à durer sur un marché européen régulé.
Le temps des mesures volontaires touche à sa fin. Les PME doivent agir maintenant pour être prêtes au CRA d'ici septembre 2026. Attendre, c'est risquer non seulement des problèmes de conformité, mais aussi la perte d'importantes opportunités de marché dans une économie numérique de plus en plus soucieuse de sécurité.
