Le Cyber Resilience Act (CRA), soit le Règlement (UE) 2024/2847, est entré en vigueur le 10 décembre 2024. L’essentiel de ses obligations s’appliquera à partir du 11 décembre 2027.
Une première échéance intervient bien avant cette date.
Dès le 11 septembre 2026, les fabricants d’automates, d’HMI, de passerelles industrielles et plus largement de tout produit connecté devront notifier certains incidents de cybersécurité à l’ENISA (l’Agence de l’Union européenne pour la cybersécurité) et au CSIRT compétent (l’équipe nationale de réponse aux incidents de sécurité informatique, ou Computer Security Incident Response Team, de l’État membre concerné).
Cette obligation pèse sur vos fournisseurs d’équipements et sur vos éditeurs de logiciels industriels, pas directement sur vous en tant qu’exploitant industriel.
Mais elle vous concerne : elle détermine la façon dont ils devront gérer et communiquer sur les vulnérabilités des automates, HMI, passerelles et logiciels (SCADA, MES, historisation…) déjà installés sur vos sites.
Qu'est-ce que le Cyber Resilience Act ?
Le CRA fixe des exigences de cybersécurité pour tout « produit avec éléments numériques » mis sur le marché européen : matériel, logiciel, et composants comme les puces ou systèmes d’exploitation vendus séparément.
Il couvre l’ensemble du cycle de vie du produit, de la conception à la maintenance pendant la période de support indiquée par le fabricant.
Avant la mise sur le marché, le fabricant évalue les risques de cybersécurité et documente sa conformité aux exigences essentielles du règlement.
Après la mise sur le marché, il reste responsable. Il doit gérer les vulnérabilités pendant toute la durée de support annoncée, et signaler celles qui sont activement exploitées ainsi que les incidents graves. C’est cette dernière obligation qui devient effective en premier.
Cyber Resilience Act : la première échéance de notification, dès le 11 septembre 2026
À partir de cette date, les fabricants devront signaler :
- Toute vulnérabilité activement exploitée touchant un produit avec éléments numériques,
- Tout incident grave affectant la sécurité de ce produit.
1. Qui est concerné
L’obligation vise le fabricant du produit, pas l’entreprise qui l’utilise. Concrètement, c’est votre fournisseur d’automate, d’HMI ou de passerelle qui devra notifier, pas vous.
Le règlement ne vise pas uniquement le matériel : un logiciel industriel (SCADA, MES, historisation…) est lui aussi un « produit avec éléments numériques ». Son éditeur est donc soumis aux mêmes obligations de notification qu’un fabricant d’automate ou de passerelle.
L’obligation s’applique aussi aux produits déjà installés avant le 11 décembre 2027.
La Commission Européenne le précise explicitement : un automate installé depuis plusieurs années sur l’un de vos sites entre dans le périmètre, au même titre qu’un produit neuf.
Si votre entreprise conçoit elle-même des équipements qu’elle commercialise, et pas uniquement pour son propre usage, elle peut aussi être considérée comme fabricant au sens du règlement.
La catégorie exacte des produits mérite d’être vérifiée avec un conseil juridique spécialisé : le règlement prévoit des catégories « importantes » et « critiques » soumises à des procédures renforcées.
2. Les délais à respecter
Le règlement fixe un calendrier précis :
- Une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident ou de la vulnérabilité,
- Une notification complète dans les 72 heures,
- Un rapport final, au plus tard 14 jours après la mise à disposition d’une mesure corrective, ou dans un délai d’un mois pour un incident grave.
Les micro-entreprises et petites entreprises ne peuvent pas être sanctionnées pour un manquement au seul délai de 24 heures.
3. Comment notifier
La notification passe par la CRA Single Reporting Platform (SRP), mise en place par l’ENISA et opérationnelle dès le 11 septembre 2026. Le fabricant transmet sa notification au CSIRT de son État membre principal, ainsi qu’à l’ENISA.
Chaque État membre désigne son propre CSIRT national. En Belgique, il s’agit par exemple du Centre for Cybersecurity Belgium (CCB), qui publie déjà ses propres ressources sur le CRA.
Selon votre pays d’établissement, un interlocuteur équivalent existe et vaut la peine d’être identifié dès maintenant.
Ce que cela implique pour vous, en tant qu'industriel.
Le CRA ne vous oblige pas à notifier vous-même.
Mais il change ce que vous pouvez attendre de vos fournisseurs, et plusieurs questions valent la peine d’être posées dès maintenant :
- Vos fournisseurs d’automates, d’HMI, de passerelles et vos éditeurs de logiciels industriels
ont-ils un point de contact clair pour signaler une vulnérabilité ? - Votre parc installé est-il recensé, pour savoir rapidement quels équipements seraient concernés si un fournisseur signale une vulnérabilité ?
- Vos contrats précisent-ils la durée de support et les engagements de mise à jour de sécurité de vos fournisseurs ?
Répondre à ces questions maintenant, plutôt que le 11 septembre, permet d’aborder les échanges avec vos fournisseurs sans improvisation le jour où une vulnérabilité doit être communiquée.
Vous souhaitez échanger sur vos enjeux de cybersécurité industrielle ?
Johan FOIREST
Business Development Engineer Cybersecurity
Email : jfoi@b2c-engineering.com