Cyber Resilience Act : ce qui change pour les objets connectés

Par Aurélie, M2M Network.

Publié le 21 octobre 2026. Textes vérifiés à cette date sur EUR-Lex et sur les sites de l’ANSSI, de l’ANFR et de la Commission européenne.

En bref : le Cyber Resilience Act (règlement (UE) 2024/2847) impose des exigences de cybersécurité aux objets connectés et aux logiciels mis sur le marché de l’Union européenne, de leur conception jusqu’à la fin de leur période de support. Depuis le 11 septembre 2026, les fabricants doivent déjà signaler sous 24 heures toute vulnérabilité activement exploitée dans leurs produits ; à partir du 11 décembre 2027, un produit concerné ne pourra plus être mis sur le marché sans respecter les exigences essentielles et porter le marquage CE à ce titre. Les routeurs et les modems cellulaires figurent parmi les « produits importants » de classe I, les cartes SIM et les eUICC dans la catégorie des « produits critiques ».

Cet article résume les textes ; il ne remplace ni leur lecture ni l’avis d’un juriste, et les questions se posent en France à l’ANFR et à l’ANSSI. Pour les bonnes pratiques générales, voir notre guide pour sécuriser les appareils connectés.

Ce qu’est le Cyber Resilience Act

Le règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024, appelé « règlement sur la cyberrésilience » ou Cyber Resilience Act (CRA), a été publié au Journal officiel de l’Union européenne (JOUE) le 20 novembre 2024 et est entré en vigueur vingt jours plus tard, le 10 décembre 2024. C’est un règlement : il s’applique directement en France, sans loi de transposition.

Il vise les « produits comportant des éléments numériques », logiciels ou matériels, dont l’utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau (article 2). Un capteur cellulaire, un routeur 4G, une passerelle radio, un transmetteur d’alarme ou le logiciel de supervision vendu avec eux entrent dans ce champ.

Sont exclus notamment les dispositifs médicaux (règlements (UE) 2017/745 et 2017/746), les véhicules relevant du règlement (UE) 2019/2144, les produits certifiés au titre de l’aviation civile, les équipements marins et les produits développés exclusivement pour la sécurité nationale ou la défense.

Calendrier : les dates d’application du CRA

DateCe qui s’appliqueArticle
10 décembre 2024Entrée en vigueur du règlementArticle 71, paragraphe 1
11 juin 2026Chapitre IV (articles 35 à 51) : notification des organismes d’évaluation de la conformitéArticle 71, paragraphe 2
11 septembre 2026Article 14 : signalement des vulnérabilités activement exploitées et des incidents graves, y compris pour les produits déjà sur le marchéArticles 71 et 69, paragraphe 3
11 décembre 2027Application de l’ensemble du règlement : exigences essentielles, documentation, déclaration UE de conformité, marquage CEArticle 71, paragraphe 2
11 juin 2028Fin de validité des attestations d’examen UE de type délivrées pour la cybersécurité au titre d’autres législations, sauf expiration antérieureArticle 69, paragraphe 1

Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences du règlement que s’ils font l’objet, après cette date, d’une « modification substantielle » (article 69, paragraphe 2). L’obligation de signalement de l’article 14 s’applique en revanche aux produits mis sur le marché avant cette date, selon le rectificatif français publié le 2 juillet 2025 : un objet déjà déployé n’échappe pas au signalement.

Cyber Resilience Act et IoT : quels produits, quelles catégories

Le CRA distingue trois niveaux. Les annexes III et IV listent des catégories sensibles, dont le règlement d’exécution (UE) 2025/2392 de la Commission du 28 novembre 2025 donne la description technique ; tout autre produit du champ est un produit « par défaut ». C’est la fonctionnalité de base du produit qui décide de sa catégorie.

CatégorieExemples cités par les textesÉvaluation de la conformité
Produit par défautTout produit du champ qui ne figure pas aux annexes III et IVContrôle interne par le fabricant (module A) possible (article 32, paragraphe 1)
Important, classe I (annexe III)Routeurs, modems destinés à la connexion à l’internet (dont les modems cellulaires selon le règlement 2025/2392), commutateurs, produits VPN, systèmes d’exploitation, produits domestiques intelligents dotés de fonctionnalités de sécurité (serrures, caméras de sécurité, systèmes d’alarme)Module A seulement si des normes harmonisées, spécifications communes ou schémas de certification sont appliqués en totalité ; sinon examen UE de type (modules B et C) ou assurance qualité complète (module H) (article 32, paragraphe 2)
Important, classe II (annexe III)Pare-feu, systèmes de détection et de prévention des intrusions, hyperviseurs, microprocesseurs et microcontrôleurs résistants aux manipulationsTiers obligatoire : modules B et C, module H ou certification européenne (article 32, paragraphe 3)
Critique (annexe IV)Dispositifs matériels avec boîtier de sécurité, passerelles de compteurs intelligents, cartes à puce et éléments sécurisés, dont les UICC remplaçables et les eUICC selon le règlement 2025/2392Certificat européen si un acte délégué l’impose (article 8) ; à défaut, procédures de l’article 32, paragraphe 3

Deux précisions utiles pour l’IoT. D’abord, intégrer un composant de classe I, par exemple un module modem cellulaire, dans un capteur ne fait pas, à lui seul, du capteur un produit important (article 7, paragraphe 1). Ensuite, la description des modems couvre explicitement les modems cellulaires, et celle des routeurs inclut les routeurs avec ou sans modem : un routeur 4G ou 5G vendu comme tel relève de la classe I.

Les obligations des fabricants

Le fabricant, au sens du CRA, est celui qui conçoit ou fait fabriquer le produit et le commercialise sous son nom ou sa marque, à titre onéreux ou gratuit. Ses obligations principales figurent à l’article 13 et à l’annexe I :

  1. Analyser les risques de cybersécurité du produit et en tenir compte de la conception à la maintenance ; cette analyse fait partie de la documentation technique (article 13, paragraphes 2 à 4).
  2. Respecter les exigences de conception (annexe I, partie I) : aucune vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité (automatiques par défaut quand c’est pertinent, mais désactivables), contrôle des accès, chiffrement des données au repos ou en transit, résistance au déni de service, surface d’attaque réduite et effacement sécurisé des données.
  3. Gérer les vulnérabilités (annexe I, partie II) : nomenclature des logiciels (SBOM) dans un format lisible par machine couvrant au moins les dépendances de premier niveau, correction sans retard, tests réguliers, politique de divulgation coordonnée et correctifs gratuits, sauf accord contraire pour un produit sur mesure destiné à un professionnel.
  4. Assurer le support : la période d’assistance dure au moins cinq ans, ou la durée d’utilisation prévue si elle est plus courte (article 13, paragraphe 8). Chaque mise à jour de sécurité reste disponible dix ans après sa publication ou jusqu’à la fin de la période d’assistance, la durée la plus longue étant retenue (paragraphe 9). La date de fin de support, au moins le mois et l’année, doit être indiquée au moment de l’achat (paragraphe 19).
  5. Être joignable : un point de contact unique pour signaler les vulnérabilités (paragraphe 17) et des instructions de sécurité (annexe II), y compris pour l’intégrateur.
  6. Documenter et marquer : documentation technique et déclaration UE de conformité conservées dix ans ou pendant la période d’assistance si elle est plus longue, puis marquage CE (paragraphes 12 et 13).

Signalement : 24 heures, 72 heures, 14 jours

Depuis le 11 septembre 2026, l’article 14 oblige le fabricant à notifier toute vulnérabilité activement exploitée, c’est-à-dire une vulnérabilité dont il existe des preuves fiables qu’un acteur malveillant l’a exploitée, ainsi que tout incident grave ayant des répercussions sur la sécurité du produit. Les délais sont fixés par le texte :

ÉtapeVulnérabilité activement exploitéeIncident grave
Alerte précoce24 heures après en avoir eu connaissance24 heures après en avoir eu connaissance
Notification72 heures72 heures
Rapport final14 jours après la mise à disposition d’une mesure corrective ou d’atténuationUn mois après la notification

La notification passe par la plateforme unique de signalement mise en place et administrée par l’ENISA (article 16) et s’adresse simultanément à l’ENISA et au CSIRT coordinateur de l’État membre où se trouve l’établissement principal du fabricant. En France, l’ANSSI intervient comme CSIRT national et comme autorité notifiante au titre du CRA. Le fabricant doit aussi informer les utilisateurs touchés et leur indiquer les mesures à prendre (article 14, paragraphe 8).

Sanctions et contrôle en France

L’article 64 fixe les plafonds des amendes administratives : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial pour le non-respect des exigences essentielles et des articles 13 et 14 ; jusqu’à 10 millions d’euros ou 2 % pour d’autres obligations, notamment celles des importateurs et des distributeurs, la déclaration de conformité et le marquage CE ; jusqu’à 5 millions d’euros ou 1 % pour des informations inexactes ou trompeuses fournies aux autorités, le montant le plus élevé étant chaque fois retenu. Les micro et petites entreprises ne sont pas passibles d’amende pour le seul dépassement du délai de 24 heures de l’alerte précoce (article 64, paragraphe 10, dans sa version rectifiée).

En France, l’Agence nationale des fréquences (ANFR) est l’autorité de surveillance du marché pour les produits numériques au titre du CRA : elle analyse les produits du marché et sera habilitée à prendre des mesures allant jusqu’au retrait du marché. Les normes harmonisées du CRA, qui donneront la présomption de conformité, sont préparées dans le cadre de la demande de normalisation M/606 de la Commission, qui porte sur 41 normes horizontales et verticales.

Intégrateur, revendeur : ce qu’il faut vérifier

Le rôle se détermine produit par produit. Un revendeur qui livre un produit sans le modifier est un distributeur (article 20). Celui qui met sur le marché un produit portant la marque d’une entreprise établie hors de l’Union est un importateur (article 19). Un importateur ou un distributeur devient fabricant s’il vend le produit sous son propre nom ou s’il y apporte une modification substantielle, définie comme une modification qui affecte la conformité aux exigences essentielles ou change l’utilisation prévue (articles 21 et 22). Un intégrateur qui assemble un routeur, un automate et un logiciel et vend l’ensemble sous sa marque est le fabricant de cet ensemble.

Avant de revendre ou d’intégrer un produit, la liste de contrôle découle des articles 13, 19 et 20 :

  1. le marquage CE et la déclaration UE de conformité, complète ou simplifiée avec l’adresse internet du texte complet (obligatoires au titre du CRA à partir du 11 décembre 2027) ;
  2. le nom et l’adresse du fabricant et, le cas échéant, de l’importateur, sur le produit, l’emballage ou un document joint ;
  3. la date de fin de la période d’assistance, au moins le mois et l’année ;
  4. le point de contact unique pour signaler une vulnérabilité ;
  5. les instructions de sécurité (mise en service, mises à jour, mise hors service) ;
  6. pour un produit important ou critique, la procédure suivie et l’organisme notifié éventuel.

Un distributeur ou un importateur qui découvre une vulnérabilité en informe le fabricant sans retard injustifié, et les autorités de surveillance du marché si le produit présente un risque de cybersécurité important (articles 19 et 20). Pour l’accès distant aux équipements installés, la télémaintenance 4G des automates détaille une architecture sans port ouvert sur l’internet.

CRA, directive RED et NIS2 : comment les textes s’articulent

Depuis le 1er août 2025, les équipements radio connectés à l’internet doivent déjà respecter les exigences de cybersécurité de la directive RED, rendues applicables par le règlement délégué (UE) 2022/30. Le règlement délégué (UE) 2026/339 du 16 février 2026, publié au JOUE le 29 avril 2026, abroge ce régime avec effet au 11 décembre 2027, date à laquelle le CRA prend le relais, ses exigences reprenant tous les éléments des points d), e) et f) de l’article 3, paragraphe 3, de la directive RED. Les équipements mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 restent contrôlables au titre de la directive RED.

Le CRA vise les produits ; la directive NIS2 vise les organisations qui les exploitent dans les secteurs critiques ; la date de fin de support imposée par le CRA aidera ces exploitants à choisir leurs équipements. Côté réseau, les principes de la sécurité M2M restent valables : authentification, chiffrement des flux et cloisonnement.

Ce que propose M2M Network

M2M Network fournit la connectivité des objets : cartes SIM M2M sur le réseau Orange, SFR ou Bouygues Telecom au choix, cartes SIM IoT multi-opérateurs, en SIM physique ou en eSIM, avec les options 5G, IP fixe publique dédiée et APN privé. L’APN privé permet de relier les objets à un serveur hébergé en France par Guardis, sur une infrastructure certifiée ISO 27001 et HDS, sans passer par l’Internet public ; l’IP fixe sert aux accès entrants, à filtrer. La conformité du produit reste l’affaire du fabricant. Les forfaits se commandent sur la boutique ; un projet de parc se cadre via la page contact.

À lire aussi

Questions fréquentes

Le Cyber Resilience Act s’applique-t-il aux objets déjà installés ?

Pour les exigences de conception, non : un produit mis sur le marché avant le 11 décembre 2027 n’y est soumis que s’il subit ensuite une modification substantielle. L’obligation de signalement de l’article 14 s’applique en revanche depuis le 11 septembre 2026 à tous les produits du champ, y compris ceux mis sur le marché avant le 11 décembre 2027.

Un routeur 4G est-il un produit important au sens du CRA ?

Oui. Les routeurs et les modems destinés à la connexion à l’internet figurent en classe I de l’annexe III, et le règlement d’exécution (UE) 2025/2392 cite les modems cellulaires et les routeurs avec ou sans modem. Le fabricant ne peut s’auto-évaluer que s’il applique en totalité des normes harmonisées, des spécifications communes ou une certification ; sinon un organisme notifié intervient.

Combien de temps un fabricant doit-il fournir des mises à jour de sécurité ?

Pendant la période d’assistance, qui dure au moins cinq ans, ou la durée d’utilisation prévue si elle est plus courte. Chaque mise à jour de sécurité reste ensuite disponible au moins dix ans. La date de fin de support doit être indiquée à l’achat, au moins avec le mois et l’année.

Qui contrôle l’application du CRA en France ?

L’ANFR est l’autorité de surveillance du marché pour les produits numériques au titre du CRA et pourra aller jusqu’au retrait d’un produit. L’ANSSI est autorité notifiante pour les organismes d’évaluation de la conformité et CSIRT national pour les signalements des fabricants.

Une carte SIM est-elle concernée par le Cyber Resilience Act ?

Le règlement d’exécution (UE) 2025/2392 range les UICC remplaçables, c’est-à-dire les cartes SIM, et les eUICC dans la catégorie des cartes à puce et éléments sécurisés de l’annexe IV (produits critiques). Les obligations de conception et d’évaluation pèsent sur le fabricant de la carte.

Les petites entreprises sont-elles dispensées ?

Non, les obligations sont les mêmes. Le règlement prévoit seulement que les micro et petites entreprises ne sont pas sanctionnées pour le seul dépassement du délai de 24 heures de l’alerte précoce, et demande aux États membres des mesures de soutien adaptées (article 33).

Sources