Le 23 septembre 2026, une conférence réunissant l'ANSSI, l'Agence nationale des fréquences (ANFR) et la Direction générale des Entreprises (DGE) a posé, pour la première fois clairement, la question que chaque fabricant de produits numériques se posait depuis l'entrée en vigueur partielle du Cyber Resilience Act le 11 septembre : qui va frapper à ma porte, et pour vérifier quoi ? La réponse a été apportée sans ambiguïté. Ce que ces clarifications changent pour votre organisation mérite une lecture attentive, quel que soit votre secteur.
Deux autorités, deux rôles distincts
Le Cyber Resilience Act (CRA) repose sur une architecture institutionnelle à deux étages, que la conférence du 23 septembre a explicitement confirmée pour la France.
L'ANFR est l'autorité de surveillance du marché. C'est elle qui effectuera les contrôles sur les produits numériques mis sur le marché européen : tests techniques, analyses de conformité, et, si nécessaire, mesures administratives ou injonctions de retrait. Ses agents peuvent exiger des fabricants la documentation technique, les journaux d'incidents, et la démonstration que les exigences essentielles de cybersécurité ont bien été intégrées dès la conception.
L'ANSSI, de son côté, occupe le rôle d'autorité notifiante. Elle n'entre pas dans une relation directe avec le fabricant pour lui demander des comptes sur son produit. Son périmètre est différent : elle évalue, contrôle et notifie les organismes d'évaluation de la conformité (OEC), c'est-à-dire les tiers certifiants qui pourront émettre des attestations pour les produits classés en catégories importantes ou critiques. L'ANSSI fixe le niveau d'exigence pour ceux qui évaluent, pas pour ceux qui produisent.
La DGE joue un rôle d'accompagnement des entreprises, en particulier des PME, dans la compréhension de leurs obligations et l'accès aux ressources de mise en conformité.
Ce qui est déjà actif et ce qui attend décembre 2027
Le CRA s'applique progressivement entre septembre 2026 et décembre 2027. Deux horizons temporels coexistent et il est impératif de ne pas les confondre.
Depuis le 11 septembre 2026, l'article 14 du règlement est pleinement applicable. Tout fabricant de produit comportant des éléments numériques doit notifier toute vulnérabilité activement exploitée dans son produit sous 24 heures auprès de l'ENISA et du CSIRT national — en France, le CERT-FR de l'ANSSI. Une notification détaillée complète doit suivre sous 72 heures, et un rapport final sous 14 jours. Ces délais ne souffrent aucune exception, et les obligations de l'article 14 s'appliquent indépendamment de la date d'entrée en vigueur des exigences essentielles. Les détails opérationnels de cette plateforme de signalement sont couverts dans l'article consacré à la mise en service de la plateforme ENISA et aux premières 24 heures.
Le deuxième horizon est le 11 décembre 2027. À cette date, tous les produits numériques mis sur le marché de l'Union européenne devront respecter l'intégralité des exigences essentielles du CRA : sécurité by design, gestion des vulnérabilités sur l'ensemble du cycle de vie du produit, documentation technique complète, et, pour les catégories importantes et critiques, évaluation par un organisme tiers accrédité. C'est à partir de ce moment que l'ANFR commencera ses contrôles marché et que les sanctions pourront être prononcées.
Ce que les sanctions imposent comme sérieux de préparation
Le règlement prévoit des sanctions dissuasives. Pour un fabricant en infraction avec les exigences essentielles, l'amende peut atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (source : règlement CRA, article 64). Pour un importateur ou un distributeur, le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires (source : règlement CRA, article 64).
Ces chiffres signifient que le CRA n'est pas un régime de conformité administratif de faible intensité. Son architecture est calquée sur celle du RGPD : l'autorité peut infliger des sanctions proportionnées à la taille de l'organisation, pas seulement à la gravité de l'infraction isolée.
Un exemple concret : l'éditeur SaaS multilocataire
Prenons le cas d'un éditeur français qui commercialise une plateforme SaaS à destination d'entreprises européennes. Son produit comporte des éléments numériques — il intègre des agents, des API et des composants tiers mis à jour par abonnement. Sous le CRA, cet éditeur est un fabricant. Il doit surveiller les vulnérabilités de tous les composants qu'il intègre, y compris les bibliothèques open source tierces. Si une vulnérabilité activement exploitée est découverte dans l'un de ces composants, il dispose de 24 heures pour notifier le CERT-FR, même si la faille ne lui a pas été rapportée directement par un client.
En décembre 2027, l'ANFR pourra contrôler ce produit. Elle vérifiera que la documentation technique est conforme, que les mises à jour de sécurité sont diffusées dans des délais raisonnables, et que les journaux d'incidents sont conservés. Si l'éditeur ne peut pas produire la preuve que son processus de gestion des vulnérabilités a été opérationnel depuis au moins septembre 2026 — date de la première obligation — il s'expose à un traitement défavorable lors de ce contrôle.
Ce que votre organisation doit faire maintenant
La conférence du 23 septembre a confirmé que le régime n'attendra pas la généralisation des contrôles pour produire ses effets. Trois chantiers sont immédiatement prioritaires.
Identifier si vos produits tombent dans le champ du CRA. Le règlement s'applique à tout produit comportant des éléments numériques mis sur le marché de l'Union européenne, à l'exception des logiciels développés à des fins exclusivement internes et non mis à disposition de tiers. Les logiciels SaaS, les équipements connectés, les composants embarqués, les outils de sécurité eux-mêmes : tous entrent dans le périmètre.
Activer le processus de notification de l'article 14. Si ce n'est pas fait, c'est en infraction depuis le 11 septembre. Vos équipes de sécurité doivent disposer d'un canal direct vers le CERT-FR pour les signalements, et d'une procédure interne permettant de respecter les délais de 24 heures et 72 heures.
Construire la documentation technique dès maintenant, pas en 2027. L'ANFR ne contrôlera qu'à partir de décembre 2027, mais elle vérifiera l'historique de vos pratiques depuis septembre 2026. La traçabilité des correctifs appliqués, des vulnérabilités détectées et des notifications effectuées constitue une preuve que vous ne pouvez pas reconstituer a posteriori.
La question que les équipes doivent se poser ce mois-ci
Vos produits numériques ont-ils un propriétaire de conformité CRA désigné, qui sait aujourd'hui quelles vulnérabilités sont actives dans vos composants tiers, et qui peut déclencher une notification au CERT-FR sous 24 heures ?
Si la réponse est non, le cadre institutionnel clarifié le 23 septembre n'est pas une abstraction. C'est l'ANFR qui frappera à votre porte dans quinze mois, et l'ANSSI qui sera en copie via le mécanisme de surveillance. La fenêtre pour mettre le processus en place est ouverte. Elle se fermera.