Quelles sont les missions de votre Avocat Cyber Resilience Act ?
Avocat Cyber Resilience Act, Maître Jonathan POUGET accompagne les fabricants, éditeurs de logiciels, importateurs, distributeurs et entreprises commercialisant des produits comportant des éléments numériques dans la préparation de leur conformité au règlement européen sur la cyberrésilience. Le CRA est entré en vigueur le 10 décembre 2024. Les obligations de déclaration prévues à l’article 14 s’appliquent depuis le 11 septembre 2026 et les principales obligations seront pleinement applicables à compter du 11 décembre 2027.
La conformité CRA doit être intégrée au cycle de vie du produit : conception, développement, tests, documentation, mise sur le marché, suivi des vulnérabilités, mises à jour de sécurité et gestion des incidents. Elle ne doit pas être confondue avec la protection juridique des logiciels et programmes, qui concerne principalement la propriété intellectuelle.
I. Avocat Cyber Resilience Act : déterminer si le produit entre dans le champ du CRA
Le règlement vise les produits comportant des éléments numériques, notion qui couvre des logiciels et matériels ainsi que certaines solutions de traitement de données à distance nécessaires au fonctionnement du produit. La première étape consiste à qualifier le produit, ses composants, son mode de commercialisation et les fonctionnalités numériques qui lui sont associées.
Cette analyse permet également d’identifier d’éventuelles exclusions ou règles sectorielles spécifiques. Un même groupe peut commercialiser plusieurs produits soumis à des régimes différents ; la conformité doit donc être organisée produit par produit et non uniquement au niveau global de l’entreprise.
II. Identifier le rôle de fabricant, importateur ou distributeur
Les obligations diffèrent selon la place occupée dans la chaîne de commercialisation. Le fabricant supporte les obligations principales de conception, évaluation, documentation et suivi. L’importateur et le distributeur doivent notamment vérifier certains éléments de conformité avant de mettre le produit à disposition sur le marché.
Les contrats de distribution et de fabrication doivent refléter ces responsabilités. Il est utile de prévoir les échanges d’informations nécessaires, la remontée des vulnérabilités, la coopération en cas de mesure corrective et la répartition des coûts liés à une non-conformité.
III. Intégrer la cybersécurité dès la conception du produit
Le CRA impose une logique de sécurité par conception et tout au long du cycle de vie. L’entreprise doit être en mesure d’identifier les risques raisonnablement prévisibles, de mettre en œuvre des mesures de sécurité adaptées et de documenter les choix effectués. Les exigences juridiques doivent donc être traduites en spécifications techniques et intégrées aux processus de développement.
Le cabinet peut intervenir sur la documentation juridique et la gouvernance du processus : répartition des responsabilités entre équipes, critères de validation, conservation des preuves, clauses avec les sous-traitants et vérification des engagements pris envers les clients.
IV. Avocat Cyber Resilience Act : organiser la gestion des vulnérabilités
La mise sur le marché ne met pas fin aux obligations du fabricant. L’entreprise doit disposer d’un processus permettant de recevoir, analyser et traiter les vulnérabilités affectant ses produits. Les remontées peuvent provenir de clients, chercheurs en sécurité, prestataires, autorités ou équipes internes.
Une politique de gestion des vulnérabilités doit fixer les responsabilités, les critères de criticité, les délais de traitement, les modalités de correction, les communications avec les utilisateurs et la conservation de la documentation. Les contrats avec les développeurs et prestataires externes doivent imposer une coopération suffisante pour respecter ces obligations.
V. Avocat Cyber Resilience Act : déclarer les vulnérabilités exploitées et les incidents graves
Depuis le 11 septembre 2026, les fabricants sont soumis aux obligations de déclaration du CRA concernant les vulnérabilités activement exploitées et certains incidents graves ayant une incidence sur la sécurité du produit. La Commission indique notamment qu’une alerte précoce doit intervenir dans les vingt-quatre heures, puis qu’une notification plus complète doit suivre dans les délais prévus par le règlement.
La procédure interne doit donc permettre une qualification très rapide de l’événement. Les équipes juridiques et techniques doivent disposer d’un canal d’escalade commun afin de ne pas perdre de temps à déterminer, après coup, qui détient les informations nécessaires.
VI. Préparer la documentation technique et la conformité avant mise sur le marché
Le CRA implique la préparation d’une documentation permettant de démontrer que les exigences essentielles de cybersécurité ont été prises en compte. Selon la catégorie du produit, l’évaluation de conformité peut suivre des modalités différentes. L’entreprise doit anticiper ces exigences suffisamment tôt pour éviter qu’un produit techniquement achevé ne puisse être commercialisé faute de dossier conforme.
Les mentions, instructions de sécurité, informations destinées aux utilisateurs et procédures internes doivent être cohérentes entre elles. Une promesse commerciale trop large sur la sécurité peut aussi augmenter le risque contractuel en cas d’incident.
VII. Sécuriser les composants et logiciels tiers
La plupart des produits numériques reposent sur des bibliothèques, composants open source, API, services cloud ou modules développés par des tiers. Le fabricant doit comprendre ces dépendances et organiser leur suivi. Les contrats de développement et de fourniture doivent permettre d’obtenir les informations nécessaires sur les vulnérabilités et les mises à jour.
La conformité ne consiste pas à transférer contractuellement toute la responsabilité vers un sous-traitant. Le fabricant doit conserver une vision d’ensemble du produit mis sur le marché et être capable de réagir lorsqu’un composant critique devient vulnérable.
VIII. Traiter les logiciels open source et les modèles de distribution spécifiques
Le CRA prévoit un régime particulier pour certaines activités liées aux logiciels libres et open source. La qualification dépend du contexte de mise à disposition et du rôle économique de l’acteur. Une entreprise qui intègre un composant open source dans un produit commercial doit toutefois analyser ses propres responsabilités au titre du produit final.
L’audit doit également tenir compte des licences open source, des obligations de redistribution et de la propriété intellectuelle afin d’éviter que la mise en conformité cyber ne soit traitée indépendamment des droits sur le code.
IX. Articuler le CRA avec NIS2, le RGPD et les contrats clients
Le CRA concerne principalement la cybersécurité du produit. NIS2 vise la cybersécurité de certaines entités et de leurs systèmes d’information. Le RGPD reste applicable lorsque les vulnérabilités ou incidents affectent des données personnelles. Une même attaque peut donc déclencher plusieurs analyses juridiques.
Les contrats clients doivent également être examinés : engagements de sécurité, maintenance, support, délais de correction, responsabilité, disponibilité et obligations d’information. Les clauses contractuelles ne doivent pas empêcher l’entreprise de respecter ses obligations réglementaires.
X. Avocat Cyber Resilience Act : audit CRA et préparation à l’application complète en 2027
Une mission de préparation peut comprendre la cartographie des produits, la qualification des rôles, l’analyse des composants, l’audit des procédures de développement, la gestion des vulnérabilités, la revue des contrats et la préparation d’une procédure de notification. L’objectif est de traiter en priorité les obligations déjà applicables et de planifier les chantiers nécessaires avant le 11 décembre 2027.
Maître Jonathan POUGET peut intervenir auprès des éditeurs et fabricants pour traduire les exigences du CRA en documentation contractuelle et procédures opérationnelles compatibles avec leur organisation technique.
À lire aussi : actualité sur le Cyber Resilience Act
Le cabinet a publié une analyse dédiée aux nouvelles obligations de signalement du Cyber Resilience Act en 2026, qui complète la présente page par un point d’actualité sur l’entrée en application des obligations de déclaration.
XI. Préparer les contrats de développement et de sous-traitance
Un fabricant dépend souvent de développeurs externes, intégrateurs ou fournisseurs de composants. Les contrats doivent organiser la transmission des informations de sécurité, la correction des vulnérabilités, l’accès au code ou à la documentation lorsque cela est nécessaire, ainsi que les obligations de coopération après la livraison. Une prestation terminée ne doit pas laisser le fabricant sans capacité de réaction pendant la durée de support du produit.
Les clauses doivent également traiter les droits de propriété intellectuelle, les licences des composants, la confidentialité et la possibilité de réaliser des audits ou tests. La cohérence entre sécurité et propriété intellectuelle est essentielle lorsqu’un correctif suppose l’accès à un code développé par un tiers.
XII. Définir une politique de mises à jour de sécurité
Le fabricant doit définir comment les correctifs sont développés, validés et distribués. Les utilisateurs doivent disposer d’informations suffisamment claires pour appliquer les mises à jour nécessaires. Le contrat ou la documentation produit doit également préciser la durée de support lorsque cette information est juridiquement requise ou commercialement déterminante.
Une politique trop vague expose l’entreprise à des attentes contradictoires. Une politique trop restrictive peut, au contraire, être incompatible avec les exigences de sécurité. Le cabinet peut aider à articuler les engagements commerciaux, la documentation utilisateur et les processus internes de maintenance.
XIII. Préparer les mesures correctives et rappels de produits
Lorsqu’une vulnérabilité importante est découverte, la réponse peut dépasser la simple mise à jour logicielle. Selon le produit et le risque, l’entreprise peut devoir informer les utilisateurs, désactiver une fonctionnalité, diffuser un correctif urgent ou prendre d’autres mesures correctives. La procédure doit prévoir qui décide, qui communique et comment les preuves sont conservées.
Les contrats de distribution doivent permettre au fabricant d’obtenir la coopération nécessaire des revendeurs et importateurs. La communication externe doit rester cohérente avec les notifications réglementaires et ne pas minimiser un risque identifié.
XIV. Checklist de préparation au Cyber Resilience Act
- cartographier les produits et composants numériques ;
- identifier les rôles de fabricant, importateur et distributeur ;
- intégrer la sécurité dans le processus de développement ;
- formaliser la gestion des vulnérabilités ;
- préparer la procédure de notification applicable depuis septembre 2026 ;
- auditer les contrats de développement et de distribution ;
- préparer la documentation de conformité et les informations utilisateurs ;
- planifier les travaux restant à achever avant décembre 2027.
FAQ – Cyber Resilience Act
Le CRA est-il déjà applicable ?
Le règlement est entré en vigueur en 2024. Certaines obligations, notamment de déclaration, s’appliquent depuis septembre 2026. L’application complète est prévue pour décembre 2027.
Le CRA concerne-t-il les logiciels ?
Oui, de nombreux logiciels peuvent être qualifiés de produits comportant des éléments numériques, sous réserve de l’analyse du produit et des éventuelles exclusions.
CRA et NIS2 sont-ils identiques ?
Non. Le CRA porte principalement sur la sécurité des produits numériques, tandis que NIS2 encadre la cybersécurité de certaines organisations.
Conclusion : intégrer la conformité CRA au cycle de vie du produit
Le Cyber Resilience Act impose de penser la cybersécurité avant, pendant et après la mise sur le marché. Votre Avocat Cyber Resilience Act accompagne les entreprises pour qualifier leurs produits, revoir leurs contrats, organiser la gestion des vulnérabilités et préparer les obligations de notification et de conformité.
Avocat Cyber Resilience Act
Contacter le cabinet
0607625574
