Le Cyber Resilience Act concerne-t-il les ESN ?
Oui, si votre ESN fabrique, importe ou distribue des produits comportant des éléments numériques, c'est-à-dire des logiciels ou des matériels commercialisés, y compris sous sa propre marque ; non, si elle ne fait que de la prestation de services. Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), s'applique en effet aux « produits comportant des éléments numériques » mis à disposition sur le marché de l'Union, et non aux services en tant que tels.
Ce qui fait entrer une ESN dans le champ
Le texte attache des obligations à des rôles, notamment :
- Fabricant : vous développez ou faites développer un produit comportant des éléments numériques et le commercialisez sous votre nom ou votre marque, par exemple un logiciel édité par l'ESN ou un boîtier matériel vendu à ses clients.
- Importateur : vous mettez sur le marché de l'Union un produit d'un fabricant établi hors de l'Union.
- Distributeur : vous revendez un produit d'un tiers, sans en être le fabricant ni l'importateur.
Un importateur ou un distributeur qui commercialise un produit sous son propre nom ou sa propre marque, ou qui y apporte une modification substantielle, est considéré comme fabricant et en reprend les obligations. Il en va de même de toute personne qui modifie substantiellement un produit déjà mis sur le marché : une ESN qui transforme en profondeur un logiciel tiers avant de le remettre à disposition doit donc vérifier si elle ne devient pas fabricant.
Prestation de services et logiciel en tant que service
La prestation de services pure (infogérance, régie, conseil, intégration sans commercialisation de produit) ne fait pas, à elle seule, entrer une ESN dans le champ du CRA. Le logiciel en tant que service (SaaS) relève en principe d'autres textes, notamment la directive NIS2, sauf lorsqu'il constitue une solution de traitement de données à distance liée à un produit : il est alors couvert avec ce produit, car sans lui le produit ne pourrait pas remplir l'une de ses fonctions.
Le calendrier
- Entrée en vigueur : le 10 décembre 2024.
- Depuis le 11 septembre 2026 : obligation pour les fabricants de signaler les vulnérabilités activement exploitées et les incidents graves ayant un impact sur la sécurité de leurs produits.
- Le 11 décembre 2027 : application générale du règlement, selon le calendrier de l'article 71.
Le cas du logiciel libre
Le règlement prévoit un régime particulier pour le logiciel libre et ouvert : un logiciel libre fourni en dehors d'une activité commerciale n'est pas soumis aux mêmes obligations, et les « intendants de logiciels ouverts », qui soutiennent durablement le développement de tels logiciels destinés à des activités commerciales, ont des obligations allégées qui leur sont propres. Une ESN qui intègre un composant libre dans un produit qu'elle commercialise reste, elle, fabricant de ce produit.
Suis-je concerné ? Le test en une minute
- Votre ESN vend-elle un logiciel ou un matériel, y compris sous sa propre marque ?
- Revend-elle ou importe-t-elle dans l'Union des produits logiciels ou matériels conçus par des tiers ?
- Modifie-t-elle en profondeur des produits de tiers avant de les remettre à disposition ?
- Son SaaS est-il nécessaire au fonctionnement d'un produit qu'elle commercialise ?
Un « oui » à l'une de ces questions justifie de lire le règlement au regard de votre rôle. Quatre « non » indiquent une activité de services, qui relève en principe d'autres textes. Le texte officiel fait foi : il est consultable dans toutes les langues de l'Union sur EUR-Lex.
Et votre propre environnement ?
Le Cyber Resilience Act porte sur les produits comportant des éléments numériques que vous mettez sur le marché, et non sur les outils internes avec lesquels vous les développez et les maintenez. Si ces outils passent par Microsoft 365 (messagerie, partages de documents et de code, échanges sur les vulnérabilités), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de sécurité de cet environnement-là. Ce diagnostic ne sera ni une évaluation de vos produits au titre du Cyber Resilience Act, ni une certification, ni une garantie de conformité.
SYAGA Audit pour votre propre Microsoft 365 : diagnostic gratuit, ouverture prochaine
Gratuit: votre score + vos écarts. Le rapport détaillé et le constat étayé : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Faits relus le 15/10/2026 sur la source officielle citée (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.