- 23/07/2026
Cyber Resilience Act : ce qui change à partir de septembre 2026
- Par Maéva MARMIN
- 10 min
- ACTUALITE & TENDANCES
Le 21 octobre 2016, une partie d'Internet s'arrête. Twitter, Netflix, GitHub et Reddit deviennent injoignables pendant plusieurs heures, pour des millions d'utilisateurs en Europe et sur la côte est des États-Unis. Pourtant, la cause n'est pas une cyberattaque sophistiquée. Il s'agit d'un logiciel malveillant, Mirai, qui a passé au crible des millions de caméras de surveillance et de routeurs domestiques. Sa cible : un mot de passe d'usine jamais changé, souvent "admin/admin". En quelques heures, Mirai transforme des centaines de milliers d'objets connectés en botnet, une armée de machines "zombies" pilotées à distance. Il dirige ensuite ce trafic vers un seul point : Dyn, le fournisseur DNS derrière la moitié du web américain, qui se retrouve submergé sous un déluge de requêtes. Cet épisode démontre ce que coûte un objet connecté vendu sans sécurité minimale. Près de dix ans après, l'Union européenne referme enfin cette porte avec le Cyber Resilience Act (CRA). Sa première échéance contraignante tombe d'ailleurs dans quelques semaines.
Botnet : réseau de machines infectées ("zombies"), pilotées à distance par un attaquant, souvent utilisé pour lancer des attaques de grande ampleur. | DDoS : attaque par déni de service distribué, qui sature un service en le noyant sous un trafic massif provenant de milliers de machines simultanément. | SBOM (Software Bill of Materials) : inventaire exhaustif et lisible par machine de tous les composants logiciels d'un produit. | Security by design : intégrer la sécurité dès la conception, pas en correctif après coup. | PSIRT : l'équipe dédiée au traitement des vulnérabilités d'un produit. | CVD : la politique de divulgation responsable des failles par des tiers. | Organisme notifié : tiers indépendant habilité à évaluer la conformité des produits les plus sensibles.
Un marché resté sans filet de sécurité
Pendant l'attaque, aucune loi n'imposait aux fabricants d'objets connectés un socle minimal de sécurité. Chacun faisait donc comme il voulait : mots de passe non modifiables, ports ouverts par défaut, mises à jour rares ou inexistantes.
Comment Mirai infecte ses cibles
Mirai, de son côté, reste un malware minimaliste. Il scanne en continu internet à la recherche d'appareils encore configurés avec un identifiant par défaut. Une fois une cible repérée, il s'y installe discrètement, puis attend les ordres d'un serveur de commande et de contrôle.
Du botnet à l'attaque DDoS
Sa méthode n'a d'ailleurs rien de sophistiqué. Il suffit d'essayer une soixantaine de mots de passe évidents sur des millions d'appareils. Une fois assez de machines enrôlées dans le botnet, ses opérateurs passent à l'action : ils lui ordonnent de submerger Dyn sous un déluge de requêtes simultanées. C'est une attaque par déni de service distribué. Résultat, les serveurs de Dyn, saturés, ne peuvent plus répondre, et une partie du web américain reste coupée pendant plusieurs heures.
Ce silence réglementaire, le Cyber Resilience Act vient officiellement de le combler. C'est en effet le premier texte européen à fixer un socle horizontal de cybersécurité pour tout produit comportant des éléments numériques, qu'il s'agisse d'un routeur domestique ou d'un logiciel métier B2B.
Le calendrier, étape par étape
Contrairement à beaucoup de textes européens, le Règlement (UE) 2024/2847 n'entre pas en application d'un seul bloc. Quatre dates structurent sa mise en œuvre.
Ce que la loi exige, noir sur blanc
L'Annexe I du règlement transforme une série de bonnes pratiques en obligations légales. Pour un produit numérique mis sur le marché européen :
- Aucune vulnérabilité exploitable connue à la livraisonConfiguration sécurisée par défaut, surface d'attaque réduite au strict nécessaire.
- Un SBOM tenu à jourInventaire machine-readable de tous les composants logiciels, disponible pour les autorités sur demande.
- Un canal de divulgation coordonnée (CVD)Un moyen public et fiable pour qu'un tiers signale une faille, et une équipe pour la traiter.
- 5 ans de mises à jour de sécurité minimumGratuites, sauf durée d'usage prévue plus courte.
« Un mot de passe d'usine non modifiable est, depuis ce règlement, précisément le type de faille que la sécurité dès la conception rend illégale sur le marché européen. »
Qui porte la responsabilité ?
Le réflexe est de penser « objets connectés grand public ». C'est pourtant trop restrictif. Le CRA s'applique en effet à tout produit comportant des éléments numériques. Et la qualification dépend du rôle exact dans la chaîne, pas de la taille de l'entreprise.
Conçoit ou fait concevoir le produit sous sa propre marque. Porte l'essentiel des obligations : SBOM, security by design, support 5 ans.
Met sur le marché de l'UE un produit conçu hors Union. Doit vérifier la conformité avant toute mise en circulation.
Revend un produit déjà mis sur le marché. Obligations plus légères, mais responsable s'il a connaissance d'une non-conformité.
Trois produits, trois niveaux de contrôle
Plus un produit peut causer de dégâts en cas de faille, plus l'évaluation avant mise sur le marché est stricte.
Ce que le texte laisse de côté
FAQ – Questions fréquentes
Le CRA remplace-t-il la directive NIS2 ?
Non, les deux textes sont complémentaires.
NIS2 encadre la gouvernance cyber des organisations elles-mêmes ; le CRA encadre la sécurité des produits mis sur le marché. Un éditeur peut être soumis aux deux textes, sur deux périmètres différents.
Je revends du matériel connecté tiers, suis-je concerné ?
Potentiellement, oui.
Selon votre rôle réel, fabricant, importateur ou distributeur, les obligations diffèrent. Rebadger un produit tiers sous sa propre marque peut vous requalifier en fabricant.
Que faire concrètement avant septembre 2026 ?
Cartographier ses produits et se doter d'un canal de signalement.
Classer ses produits selon les trois niveaux du règlement, démarrer la production d'un SBOM, et disposer d'un processus de notification sous 24h vers le CERT-FR.
Que risque une entreprise non conforme ?
Jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial.
Le montant le plus élevé étant retenu, en cas de violation des exigences essentielles ou des obligations des fabricants.
Anticipez le Cyber Resilience Act :
sécurisez vos produits avec Sæpiens.
Signalement des vulnérabilités sous 24h, SBOM à jour, sécurité dès la conception : le règlement européen impose un nouveau standard aux fabricants, éditeurs et intégrateurs dès septembre 2026. Sæpiens vous accompagne dans la mise en conformité de vos produits et infrastructures : audit de sécurité, cartographie de vos composants logiciels, durcissement des systèmes et mise en place d'un processus de gestion des vulnérabilités opérationnel.
Vos produits et solutions seront-ils prêts pour l'échéance du 11 septembre 2026 ?
ÉVALUER MA CONFORMITÉ
