Le mot fabricant, c'est désormais vous
Le Cyber Resilience Act de l'UE est entré en vigueur en décembre 2024, et sa définition du fabricant est plus large que ne le supposent la plupart des conseils d'administration. Elle couvre tout produit doté d'éléments numériques mis sur le marché européen : une machine connectée, un automate industriel, un dispositif médical, un objet grand public ou un logiciel autonome. Dès lors que votre produit dialogue avec un réseau, il entre dans le champ d'application, au même titre que les importateurs et les distributeurs qui le commercialisent.
Pour un family office ou un dirigeant du Mittelstand, le point délicat tient à ce reclassement. Une entreprise qui fabrique des machines de précision depuis trois générations, sans jamais s'être vue comme un acteur du logiciel, devient aux yeux du droit de l'UE un éditeur de logiciels réglementé. La règle dépasse aussi les frontières de l'Union. Un fabricant établi n'importe où dans le monde qui vend sur le marché européen assume les mêmes obligations qu'un fabricant installé à Frankfurt.
Un compte à rebours de 24 heures que vous ne maîtrisez pas
La première échéance ferme approche. A partir du 11 septembre 2026, une vulnérabilité activement exploitée ou un incident de sécurité grave enclenche une cascade de signalements imposée, via une plateforme européenne unique. Une alerte précoce est due sous 24 heures, une notification plus complète sous 72 heures et un rapport final dans les 14 jours suivant la publication d'un correctif ou d'une solution de contournement. Le compte à rebours n'attend ni votre examen juridique ni votre plan de communication.
C'est ce calendrier qui constitue le vrai choc opérationnel. La fenêtre de 24 heures s'ouvre au pire moment de l'incident, quand l'information reste incomplète et que le réflexe est de ne rien dire tant que les faits ne sont pas établis. Le texte supprime cette possibilité. Une organisation incapable de détecter, de trier et de signaler une faille en une journée manquera l'échéance, non par mauvaise volonté, mais faute d'avoir bâti les rouages nécessaires pour aller aussi vite.
Le marquage CE, et une amende à la mesure de votre chiffre d'affaires
Les obligations les plus lourdes suivent le 11 décembre 2027. A compter de cette date, un produit doté d'éléments numériques devra porter un marquage CE attestant qu'il a été conçu selon le principe de sécurité dès la conception, qu'il est livré sans faille exploitable connue et qu'il recevra des mises à jour de sécurité pendant une période de support définie. La conformité n'est pas un contrôle ponctuel avant le lancement : c'est une obligation qui court sur toute la durée de support de chaque unité que vous avez vendue.
L'application de la loi pèse lourd. Les autorités nationales de surveillance du marché veillent au respect des règles, et l'Allemagne a déjà présenté un premier projet de loi pour désigner son autorité compétente. Les sanctions en cas de manquement aux exigences essentielles atteignent 15 millions d'euros ou 2,5 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour un fabricant de taille intermédiaire et rentable, c'est le chiffre d'affaires qui devrait retenir l'attention autour de la table.
À lire ensuite: Votre agent IA fait confiance à un outil piégé | Votre navigateur IA peut divulguer vos mots de passe
