Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) impose des exigences de cybersécurité à tout produit comportant des éléments numériques vendu dans l’Union. Depuis le 11 septembre 2026, l’obligation de signaler une vulnérabilité activement exploitée dans un délai de 24 heures s’applique déjà — y compris aux produits déjà commercialisés. L’application intégrale, avec marquage CE et déclaration de conformité, interviendra le 11 décembre 2027.
Le point que la plupart des importateurs n’ont pas vu venir tient en une phrase : si vous commercialisez un objet connecté sous votre propre marque, le règlement vous considère comme le fabricant. Vous héritez alors de la totalité des obligations — y compris les 24 heures de signalement et cinq ans de support logiciel — pour un produit dont le firmware a été écrit dans une usine du Guangdong.
Vous cherchez un agent de sourcing ?
Mkgmix vous aide à trouver, développer, contrôler et importer des produits innovants répondant à vos attentes en matière de coûts, qualité et délais.
Vous cherchez un agent de sourcing ?
Mkgmix vous aide à trouver, développer, contrôler et importer des produits innovants répondant à vos attentes en matière de coûts, qualité et délais.
Quels produits sont concernés ?
Le périmètre est très large : tout produit comportant des éléments numériques connecté, directement ou indirectement, à un réseau ou à un autre appareil. Caméras IP, serrures connectées, routeurs, montres et bracelets, prises intelligentes, jouets connectés, capteurs, électroménager Wi-Fi, équipements industriels, mais aussi les logiciels embarqués et applications associées — soit une bonne partie des catégories déjà identifiées comme les plus risquées à importer.
Le règlement classe ces produits par criticité, ce qui détermine la procédure d’évaluation de conformité.
| Catégorie | Exemples | Évaluation de conformité |
|---|---|---|
| Par défaut | Tout produit dans le périmètre non listé aux annexes III et IV | Contrôle interne par le fabricant possible |
| Important — classe I | Routeurs et modems, commutateurs, produits VPN, systèmes d’exploitation, et produits domotiques à fonction de sécurité : serrures connectées, caméras de surveillance, systèmes d’alarme | Auto-évaluation uniquement si les normes harmonisées sont pleinement appliquées ; sinon, tiers |
| Important — classe II | Pare-feu, systèmes de détection et prévention d’intrusion, hyperviseurs, microprocesseurs et microcontrôleurs inviolables | Évaluation par un organisme tiers obligatoire |
| Critique | Boîtiers de sécurité matériels, passerelles de compteurs intelligents, cartes à puce et éléments sécurisés (dont SIM et eSIM) | Certificat européen pouvant être exigé |
Attention à une nuance utile en négociation : un composant de classe I intégré dans un produit — un modem cellulaire placé dans un capteur, par exemple — ne suffit pas à faire basculer l’ensemble du produit en catégorie « important ».
Le calendrier officiel
Les dates figurent à l’article 71 du règlement. Plusieurs publications francophones annoncent une application intégrale en septembre 2027 : c’est inexact.
| Date | Ce qui s’applique |
|---|---|
| 10 décembre 2024 | Entrée en vigueur du règlement |
| 11 juin 2026 | Chapitre IV : notification des organismes d’évaluation de la conformité |
| 11 septembre 2026 | Article 14 : obligations de signalement, applicables aussi aux produits déjà sur le marché |
| 11 décembre 2027 | Application intégrale : exigences essentielles, documentation technique, déclaration UE de conformité, marquage CE |
Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences de conception qu’en cas de modification substantielle — mais l’obligation de signalement de l’article 14 leur est applicable dès maintenant. Autrement dit : un objet connecté que vous vendez depuis 2024 est déjà dans le champ.
Importateur ou fabricant ? Le basculement qui change tout
Le règlement distingue deux situations, et l’écart d’obligations entre les deux est considérable.
Vous êtes importateur
C’est le cas si vous revendez un produit sous la marque du fabricant chinois, sans modification. Vos obligations sont alors des obligations de vérification. Avant la mise en vente, contrôlez la présence :
- du marquage CE et de la déclaration UE de conformité ;
- du nom et de l’adresse du fabricant et de l’importateur ;
- de la date de fin de support (mois et année) ;
- d’un point de contact unique pour le signalement des vulnérabilités ;
- des instructions de sécurité à l’utilisateur ;
- pour les produits importants ou critiques, de la procédure suivie et de l’organisme notifié.
Vous devez également informer le fabricant — et les autorités de surveillance du marché — si le produit présente un risque de cybersécurité significatif. Cette logique de vérification documentaire est exactement celle que nous décrivions pour le GPSR.
Vous devenez fabricant
Dès lors que vous commercialisez le produit sous votre propre nom ou votre propre marque, ou que vous y apportez une modification substantielle, le règlement vous traite comme le fabricant. C’est le modèle dominant du sourcing asiatique : faire produire en OEM ou ODM et apposer sa marque. Dans ce cas, toutes les obligations ci-dessous vous incombent.
Les obligations de fabricant que vous héritez
Cinq ans de support, dix ans de disponibilité des correctifs
C’est l’obligation la plus structurante, et la plus difficile à tenir avec un fournisseur asiatique :
- Le support doit être assuré pendant au moins cinq ans, ou pendant la durée d’utilisation attendue du produit si elle est plus courte.
- Chaque mise à jour de sécurité doit rester disponible au moins dix ans après sa publication, ou jusqu’à la fin du support si c’est plus long.
Posez-vous la question franchement : votre usine de Shenzhen s’engagera-t-elle contractuellement à produire des correctifs firmware pendant cinq ans ? À maintenir une équipe capable de le faire ? À vous livrer le code source ou un dépôt séquestre si elle disparaît ? Sans réponse écrite, c’est vous qui êtes en défaut — pas elle. Comme pour le contrat NNN, seul l’écrit crée l’obligation côté usine.
Signaler en 24 heures
L’obligation de l’article 14 pèse sur le fabricant. Les délais courent à partir du moment où vous avez connaissance du fait.
| Délai | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| 24 heures | Alerte précoce | Alerte précoce, en indiquant si un acte malveillant est suspecté |
| 72 heures | Notification : nature de la faille, évaluation initiale, mesures correctives prises et actions possibles pour les utilisateurs | Notification détaillée |
| Rapport final | Au plus tard 14 jours après la disponibilité d’une mesure corrective | Un mois après la notification à 72 heures |
Les signalements transitent par la plateforme unique de l’ENISA et par le CSIRT coordinateur — l’ANSSI pour une entreprise établie en France. Un point pratique à retenir : le compte à rebours des 72 heures démarre à la soumission de l’alerte précoce, pas au moment de la prise de connaissance. Conservez votre propre horodatage.
Une « vulnérabilité activement exploitée » suppose des preuves fiables qu’un acteur malveillant l’a exploitée. Une faille découverte et corrigée avant toute exploitation relève du traitement ordinaire des vulnérabilités, pas de ce canal d’urgence.
Vous cherchez un agent de sourcing ?
Mkgmix vous aide à trouver, développer, contrôler et importer des produits innovants répondant à vos attentes en matière de coûts, qualité et délais.
Vous cherchez un agent de sourcing ?
Mkgmix vous aide à trouver, développer, contrôler et importer des produits innovants répondant à vos attentes en matière de coûts, qualité et délais.
Les sanctions
| Manquement | Plafond (le montant le plus élevé s’applique) |
|---|---|
| Exigences essentielles de cybersécurité, articles 13 et 14 | 15 M€ ou 2,5 % du chiffre d’affaires annuel mondial |
| Autres obligations, dont celles des importateurs et distributeurs, déclaration de conformité, marquage CE | 10 M€ ou 2 % du chiffre d’affaires |
| Informations inexactes ou trompeuses fournies aux autorités | 5 M€ ou 1 % du chiffre d’affaires |
Une tolérance existe : les micro et petites entreprises ne sont pas sanctionnées au seul motif d’un dépassement du délai de 24 heures pour l’alerte précoce. Au-delà des amendes, l’autorité de surveillance peut aller jusqu’au retrait du produit du marché.
Ce que cela change dans votre sourcing d’objets connectés
- Trancher la question de la marque avant de commander. Vendre sous la marque de l’usine vous laisse dans un rôle de vérificateur ; apposer la vôtre vous transforme en fabricant. L’arbitrage marketing a désormais une conséquence réglementaire directe.
- Contractualiser le support logiciel sur cinq ans : fréquence des mises à jour, délai de correction d’une faille critique, canal de remontée, et séquestre du code source ou des outils de build en cas de défaillance du fournisseur. À intégrer au cahier des charges, pas à la commande.
- Exiger une nomenclature logicielle (SBOM) : la liste des composants et bibliothèques tierces embarqués. Sans elle, vous ne pouvez pas savoir qu’une faille publiée concerne votre produit.
- Mettre en place le point de contact unique de divulgation et la procédure interne de signalement 24 h / 72 h / 14 jours. Elle doit exister avant le premier incident, pas après.
- Vérifier la documentation à la source. Un certificat de conformité chinois ne vaut pas déclaration UE : voir comment lire un COC chinois et nos prestations de tests de conformité et certifications.
- Intégrer la capacité logicielle au choix du fournisseur. Une usine excellente en mécanique peut être incapable de maintenir un firmware. Ce critère s’évalue à l’audit d’usine, au même titre que la capacité de production.
Questions fréquentes
Le Cyber Resilience Act s’applique-t-il déjà ?
Partiellement. Les obligations de signalement de l’article 14 s’appliquent depuis le 11 septembre 2026, y compris aux produits déjà commercialisés. L’application intégrale — exigences essentielles, documentation technique, déclaration UE de conformité et marquage CE — intervient le 11 décembre 2027.
Un importateur qui vend sous sa propre marque est-il considéré comme fabricant ?
Oui. Dès lors qu’un produit est commercialisé sous le nom ou la marque de l’importateur, ou qu’il fait l’objet d’une modification substantielle, le règlement lui applique l’ensemble des obligations du fabricant : exigences essentielles, documentation, marquage CE, support logiciel et signalement sous 24 heures.
Quelle est la durée minimale de support imposée ?
Au moins cinq ans, ou la durée d’utilisation attendue du produit si elle est plus courte. Chaque mise à jour de sécurité doit par ailleurs rester disponible pendant au moins dix ans après sa publication, ou jusqu’à la fin de la période de support si celle-ci est plus longue.
Quels sont les délais de signalement d’une faille exploitée ?
Une alerte précoce sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective. Pour un incident grave, le rapport final intervient un mois après la notification à 72 heures. Les signalements passent par la plateforme unique de l’ENISA et le CSIRT compétent.
Mon fournisseur chinois est-il soumis au CRA ?
Non, pas directement : le règlement s’impose aux opérateurs qui mettent le produit sur le marché de l’Union. L’usine détient les capacités techniques — firmware, correctifs, nomenclature logicielle — mais aucune obligation européenne de les fournir. Cette obligation doit être créée par le contrat d’achat.
Ce qu’il faut retenir
Le CRA prolonge une logique devenue systématique dans le droit européen des produits : la responsabilité suit la marque, pas l’usine. C’est déjà le cas avec le GPSR pour la sécurité physique, avec le passeport numérique de produit pour la traçabilité, et maintenant avec le CRA pour la cybersécurité.
La différence, ici, c’est la durée. Les autres réglementations portent sur un produit au moment où il est mis sur le marché. Le CRA vous engage pendant cinq ans après la vente, avec une obligation de réaction en 24 heures. Un importateur qui vend sous sa marque un objet connecté sans accord de maintenance logicielle avec son usine vend un engagement qu’il n’est pas en mesure de tenir.
Chez MKGMIX, l’importation d’électronique et le sourcing électronique font partie de nos spécialités. Nous évaluons la capacité réelle des usines à soutenir un produit dans la durée — pas seulement à le fabriquer. Parlons de vos produits connectés.