Par Tom Janssens · Fondateur, Easy Cyber Protection · Dernière revue 10 septembre 2026 · Comment nous écrivons

Le Cyber Resilience Act s'applique-t-il à ce que je vends ?

Le Cyber Resilience Act est une loi européenne sur les produits, pas sur les entreprises. C'est justement ce que la plupart des gens comprennent de travers. La loi ne demande jamais combien de personnes vous employez. Elle demande ce que vous vendez. Ce guide vous fait passer la vérification en mots simples, pour que vous puissiez répondre oui ou non aujourd'hui.

Les deux questions qui décident

Parcourez les deux. Un stylo suffit.

1. Ce que vous vendez a-t-il des éléments numériques ?

Deux choses doivent être vraies ensemble. C'est un produit logiciel ou matériel, et son usage normal ou prévisible comporte une connexion de données à un appareil ou à un réseau. Une application compte. Une machine dont la commande dialogue avec d'autres équipements compte. Une sonnette avec une puce wifi compte. Une équerre en acier sans électronique, non. L'article 2(1) trace la ligne ici.

2. Le vendez-vous sous votre propre nom ou logo ?

Si votre nom ou votre logo est sur la boîte, la loi vous appelle le fabricant. Peu importe qui a écrit le code ou qui a fabriqué le boîtier. Deux articles font ce travail, alors citez le bon. L'article 3(13) vaut si vous avez fait fabriquer le produit pour vous. L'article 21 vaut si vous achetez un produit fini et le revendez sous votre propre nom ou logo, et il vous impose les mêmes obligations de fabricant.

Deux oui veulent dire que vous êtes dans le champ d'application. Un non veut dire que vous n'êtes pas le fabricant de ce produit. Faites la vérification par produit, pas par entreprise.

Vous l'avez acheté chez quelqu'un d'autre et vous y avez mis votre nom

C'est le cas que les gens oublient. Vous ne l'avez pas conçu. Vous n'avez pas écrit une ligne de son code. Vous l'achetez, vous imprimez votre logo dessus, vous le vendez. Sous cette loi, cela fait de vous le fabricant. Voici le texte exact :

"manufacturer" means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge.

Règlement (UE) 2024/2847, article 3(13). Voici le texte anglais du Journal officiel, car c'est celui que nous avons vérifié. En clair : si vous faites fabriquer un produit et le vendez sous votre propre nom ou votre marque, vous êtes le fabricant, à titre payant comme gratuit.

C'est le passage du milieu qui vous rattrape. Faire fabriquer un produit pour vous, puis le vendre sous votre propre nom, vous met dans la même case que l'entreprise qui l'a construit. La dernière partie compte aussi. Le donner gratuitement ne vous en sort pas. Si, au lieu de cela, vous achetez un produit fini chez un fournisseur et le revendez avec votre propre logo, l'article 21 fait le même travail : un importateur ou un distributeur qui met un produit sur le marché sous son propre nom ou sa propre marque est considéré comme le fabricant et porte les obligations des articles 13 et 14.

Un piège qui mérite d'être nommé

Certains articles disent que la marque propre relève de l'article 22. C'est faux. L'article 22 vise une personne qui modifie substantiellement un produit et le vend ensuite. Mettre votre logo sur un produit que vous n'avez pas modifié relève de l'article 3(13) si vous l'avez fait fabriquer pour vous, et de l'article 21 si vous l'avez acheté fini et revendu. Dans les deux cas, ce n'est pas l'article 22. Si un fournisseur ou un conseiller vous cite l'article 22 pour cela, il se trompe d'article.

Où cela s'arrête

La loi a ses limites. Voici les deux qui comptent le plus :

→ Vous le vendez sous la marque du fabricant. Leur nom est dessus, donc l'obligation de fabricant est la leur. Vous pouvez encore avoir des obligations d'importateur ou de distributeur, mais vous n'êtes pas le fabricant.
→ Ce que vous vendez n'a ni logiciel ni connexion. Un outil à main, un sac de vis, un panneau imprimé. Il n'y a pas d'éléments numériques, donc cette loi ne l'atteint pas.

Les horloges

Trois dates. Mettez-les dans l'agenda maintenant.

11 juin 2026 Le chapitre IV (articles 35 à 51) s'applique déjà. Ce chapitre concerne les organismes qui évaluent la conformité, ce n'est donc généralement pas votre affaire. Il figure ici pour montrer que la loi s'active par étapes.

11 septembre 2026 L'article 14 démarre. L'obligation de signalement est active à partir de ce jour.

11 décembre 2027 Le reste de la loi démarre. Règles de conception, documentation technique, marquage CE (la marque qui indique qu'un produit respecte les règles de l'UE), mises à jour de sécurité.

Une fois l'obligation active, ces délais courent. Les deux premiers démarrent quand vous en prenez connaissance. Les deux derniers démarrent plus tard, et chaque ligne dit à partir de quoi.

Sous 24 heures Une alerte précoce, comptée à partir du moment où vous en prenez connaissance. Un court message disant que quelque chose ne va pas. On n'attend pas encore de vous toute l'histoire.

Sous 72 heures La notification détaillée, comptée elle aussi à partir du moment où vous en prenez connaissance. Ce que c'est, ce que vous savez à ce stade, ce que vous faites.

Sous 14 jours Le rapport final pour une vulnérabilité, compté à partir du jour où un correctif ou une mesure de contournement est disponible.

Sous un mois Le rapport final pour un incident grave. Celui-ci se compte à partir de la notification des 72 heures, pas à partir d'un correctif.

Deux choses démarrent l'horloge. Une vulnérabilité de votre produit que quelqu'un exploite activement, ou un incident grave qui touche la sécurité de votre produit. Un bug que personne n'attaque ne la démarre pas.

Vous déposez une seule fois, via la plateforme de signalement unique mise en place au titre du règlement. L'article 14(7) envoie le signalement au CSIRT qui fait office de coordinateur pour le pays où votre entreprise a son établissement principal dans l'UE, et à l'ENISA en même temps. Un CSIRT est l'équipe nationale qui traite les incidents cyber. L'ENISA est l'agence de cybersécurité de l'UE. Pour une entreprise belge, le CSIRT est normalement le CCB, le Centre pour la Cybersécurité Belgique. Si la plateforme n'est pas joignable au moment voulu, contactez directement le CSIRT et notez l'heure de cette prise de contact, car l'horloge ne s'arrête pas pour un outil qui n'est pas prêt.

Les anciens produits comptent. L'article 69(3) dit que l'obligation de signalement de l'article 14 s'applique aussi aux produits mis sur le marché avant le 11 décembre 2027, pas seulement aux nouveaux. La liste que vous faites cette semaine doit donc inclure ce que vous avez vendu l'an dernier.

Ce qui arrive si vous manquez le délai

Manquer à l'obligation de l'article 14 peut coûter jusqu'à 15 millions d'euros, ou 2,5 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est l'article 64(2).

Il existe une exception pour les plus petites entreprises, et elle est plus étroite qu'elle n'en a l'air. L'article 64(10)(a) dit qu'un fabricant qui est une micro ou une petite entreprise ne peut pas être sanctionné pour un dépassement du délai de 24 heures. Petite veut dire ici moins de 50 personnes, avec un chiffre d'affaires ou un total de bilan d'au plus 10 millions d'euros. Micro veut dire moins de 10 personnes et 2 millions d'euros. L'article 3(19) reprend ces chiffres de la recommandation 2003/361/CE. Relisez cela deux fois. L'amende pour le retard disparaît. L'obligation de signaler, non. Vous devez toujours déposer, et toute autre partie de l'article 14 continue de s'appliquer pleinement. Un détail si vous vérifiez vous-même. Tel que publié à l'origine, l'article 64(10) disait "by way of derogation from paragraphs 3 to 9", ce qui laissait intacte l'amende de l'article 64(2). Un rectificatif publié le 2 juillet 2025 a remplacé cela par "paragraphs 2 to 9", et c'est ce qui fait que l'exception atteint réellement l'amende ci-dessus. Plusieurs copies gratuites du règlement en ligne affichent encore le texte non corrigé.

Quoi faire cette semaine

Cela prend une heure, et cela vaut plus que n'importe quel document de politique que vous pourriez écrire à la place.

Listez chaque produit que vous vendez contenant du logiciel, ou qui se connecte à quelque chose. Incluez ceux que vous achetez et marquez de votre propre nom.
Pour chaque ligne, répondez à la deuxième question. Est-ce votre nom qui est dessus, ou celui du fabricant ?
Nommez une personne qui enverrait le signalement. Écrivez son nom et son numéro de téléphone à côté de la liste.
Posez-lui une seule question. Si nous l'apprenions un vendredi à seize heures, que feriez-vous dans les 24 heures ? S'il n'y a pas de réponse, vous savez maintenant où est le point faible.
Demandez à vos fournisseurs comment ils vous préviendront d'une vulnérabilité dans la pièce qu'ils vous vendent, et à quelle vitesse. Vous ne pouvez pas signaler en 24 heures ce que vous apprenez après trois semaines.

Une liste, un nom, et une réponse honnête. C'est tout le travail de cette semaine.

Si vous fabriquez ou assemblez des produits physiques, le volet production est traité dans cybersécurité pour l'industrie, qui explique aussi comment NIS2 vous classe. NIS2 et cette loi sont distinctes : consultez qui doit se conformer à NIS2 pour l'autre.

FAQ

Nous vendons uniquement du logiciel, pas de matériel. Sommes-nous concernés ?

Oui, si vous le vendez sous votre propre nom et qu'il se connecte à un appareil ou à un réseau. L'article 2(1) couvre les produits comportant des éléments numériques, et le logiciel seul en fait partie.

Nous donnons notre application gratuitement. Cela change-t-il quelque chose ?

Non. Dans le texte anglais, l'article 3(13) se termine par les mots "whether for payment, monetisation or free of charge". La définition couvre donc le payant comme le gratuit. La gratuité ne vous sort pas du champ d'application.

Nous sommes cinq. Sommes-nous trop petits pour cela ?

Non. L'article 2 définit le champ d'application par le produit, et ne contient aucun seuil d'effectif ou de chiffre d'affaires. La taille change bien deux choses, mais aucune n'est une exemption. L'article 33(5) permet à une micro ou petite entreprise d'utiliser un format simplifié pour la documentation technique, et l'article 64(10)(a) la protège d'une amende pour dépassement du délai de 24 heures. Cette protection contre l'amende ne fonctionne que grâce à un rectificatif du 2 juillet 2025 qui a corrigé l'article 64(10) ; des copies gratuites de la loi affichent encore l'ancien texte, sous lequel l'amende restait due. L'obligation de signaler demeure dans tous les cas.

Est-ce que cela remplace NIS2 ?

Non. Ce sont deux lois distinctes. NIS2 porte sur la façon dont votre organisation est gérée et comporte bien des seuils de taille. Le Cyber Resilience Act porte sur les produits que vous mettez sur le marché. Vous pouvez relever des deux, d'une seule, ou d'aucune.

Nous ne vendons plus ce produit depuis deux ans. Compte-t-il encore ?

Pour le signalement, oui. L'article 69(3) applique l'obligation de l'article 14 aussi aux produits mis sur le marché avant le 11 décembre 2027. Les autres obligations de la loi ne reviennent sur un ancien produit que si vous le modifiez substantiellement après cette date, au titre de l'article 69(2).

Notre fournisseur dit que l'article 22 couvre nos produits en marque propre. Est-ce exact ?

Non. L'article 22 vise une personne qui effectue une modification substantielle d'un produit et le met ensuite à disposition. Vendre un produit inchangé sous votre propre nom ou marque relève de l'article 3(13) si vous l'avez fait fabriquer pour vous, ou de l'article 21 si vous êtes l'importateur ou le distributeur. C'est une confusion fréquente et elle vous oriente vers les mauvaises obligations.

Vous ne savez pas quels produits sont concernés ?

Easy Cyber Protection aide les petites entreprises et leurs partenaires informatiques à mettre en ordre la partie ennuyeuse de la conformité, en néerlandais, français et anglais.

Voir comment ça marche