Votre logiciel devient un produit régulé en Europe
Un éditeur vend du code, pas une machine. Le Cyber Resilience Act bouscule cette idée. Votre logiciel rejoint la famille des produits qui doivent être sûrs avant d’entrer sur le marché européen.
La réponse en bref
Le Cyber Resilience Act est un règlement européen qui impose des exigences de cybersécurité à presque tous les produits comportant des éléments numériques. Il vise les fabricants, un mot qui englobe les éditeurs de logiciels et d’applications. Les obligations arrivent par étapes, la notification des failles d’abord, le marquage CE ensuite. Aucun seuil de taille ne protège.
- Un règlement qui traite le logiciel comme un produit
- Êtes-vous fabricant au sens du texte
- Le cas du SaaS, un angle encore flou
- Notifier une faille, le nouveau réflexe
- Le calendrier à retenir
- Ce qui change pour votre équipe
- Avantages et limites du cadre
- Nos services pour vous mettre en conformité
- Comment vous préparer dès maintenant
- Questions fréquentes sur le Cyber Resilience Act
Chez Snack Groupe, nous voyons arriver la question chez les éditeurs et les PME qui vendent un outil en ligne. Le sujet paraît lointain, puis il devient concret au premier audit de sécurité. Pour situer notre travail technique, vous pouvez découvrir Snack Développement.
Un règlement qui traite le logiciel comme un produit
Le règlement européen 2024/2847, adopté en décembre 2024, porte un nom clair une fois traduit, la loi sur la cyber-résilience. Tout produit qui contient du numérique doit être conçu pour résister aux attaques, puis entretenu pendant sa vie.
Jusqu’ici, la sécurité d’un logiciel relevait de la bonne volonté de l’éditeur. Le texte en fait une obligation. Il complète d’autres cadres, comme ce que disent DSA, DMA et IA Act, mais il vise le produit lui-même.
Êtes-vous fabricant au sens du texte
Le mot fabricant trompe. On imagine une usine, pas une équipe de développeurs. Pourtant, dès que vous diffusez un logiciel, une application ou un micrologiciel sous votre nom, vous êtes fabricant. La taille ne compte pas.
Trois questions suffisent à se situer. Elles ouvrent la liste des obligations, de la conception sûre au suivi des correctifs. En parallèle, voyez comment sécuriser durablement votre site.
Le cas du SaaS, un angle encore flou
Le logiciel vendu en boîte entre sans débat dans le périmètre. Le SaaS, lui, soulève des questions. Un service hébergé qui se met à jour en continu ressemble moins à un produit figé qu’à une prestation vivante.
La prudence s’impose. Beaucoup d’offres SaaS embarquent un agent, une extension ou un composant téléchargé chez le client. Ces éléments retombent dans le champ du règlement. Cartographiez vos briques avant de conclure que rien ne vous concerne.
Notifier une faille, le nouveau réflexe
Voici la partie déjà active. Depuis le 11 septembre 2026, un fabricant doit signaler toute faille activement exploitée et tout incident grave. Le signalement passe par une plateforme unique gérée par l’agence européenne de cybersécurité.
Les délais sont courts et se cumulent, de l’alerte rapide au rapport final. Cette logique rejoint celle des prestataires, détaillée dans les exigences NIS2 côté prestataire. Les échanges de la communauté cybersécurité de Reddit montrent combien ce réflexe reste neuf.
Le calendrier à retenir
Le règlement ne tombe pas d’un bloc. Il s’applique par vagues. Retenir les trois grandes dates évite la mauvaise surprise.
Le point d’arrivée est le marquage CE. À partir du 11 décembre 2027, un produit numérique vendu en Europe devra prouver qu’il respecte les exigences essentielles. Le marquage CE couvre alors aussi la cybersécurité.
Ce qui change pour votre équipe
Le changement n’est pas qu’administratif. La sécurité cesse d’être une option de fin de projet pour devenir une contrainte de départ.
Elle s’accompagne souvent d’une revue plus large, car la protection des données reste liée. Voir au passage la mise en conformité RGPD de votre plateforme.
Avantages et limites du cadre
Ce que le texte apporte
- Un niveau de sécurité commun à tout le marché européen.
- Une confiance accrue des clients et des acheteurs publics.
- Des correctifs suivis pendant la vie du produit.
- Une faille connue traitée vite, pas étouffée.
Les points de vigilance
- Un périmètre large, parfois difficile à tracer pour le SaaS.
- Une charge réelle de documentation et de suivi.
- Des délais de notification courts à tenir.
- Un texte récent, dont les détails se précisent encore.
Nos services pour vous mettre en conformité
Audit de conformité produit
Nous situons vos logiciels dans le périmètre et listons les écarts à combler.
Sécurité par conception
Nous intégrons la sécurité dès l’architecture, des dépendances aux mises à jour.
Procédure de notification
Nous outillons votre équipe pour détecter, qualifier et signaler une faille dans les délais.
Comment vous préparer dès maintenant
Inutile d’attendre. Quatre gestes posent déjà les bases.
- Recensez tous les logiciels et composants que vous diffusez sous votre nom.
- Vérifiez pour chacun si un élément s’installe chez le client.
- Mettez en place une veille et un canal clair de signalement des failles.
- Documentez vos choix de sécurité, ils serviront de preuve.
Questions fréquentes sur le Cyber Resilience Act
Le Cyber Resilience Act concerne-t-il les petites entreprises ?
Oui. Le règlement ne prévoit aucun seuil de chiffre d’affaires ni d’effectif. Un indépendant qui vend une application est concerné comme un grand éditeur.
Un service SaaS est-il visé ?
Le pur service hébergé soulève encore des débats. Mais dès qu’une offre SaaS fournit un agent, une extension ou un composant installé chez le client, cet élément entre dans le champ du texte. L’analyse se fait composant par composant.
Que faut-il notifier, et à qui ?
Depuis septembre 2026, un fabricant signale toute faille activement exploitée et tout incident grave. Le signalement passe par la plateforme unique de l’agence européenne de cybersécurité, dans de courts délais successifs.
À quelle date le marquage CE devient-il obligatoire ?
Les exigences essentielles et le marquage CE s’appliquent à partir de décembre 2027. Un produit numérique vendu en Europe devra alors prouver sa conformité, cybersécurité comprise.
Snack Groupe propose-t-il un accompagnement post-projet ?
Oui. Après la mise en conformité, nous assurons le suivi des correctifs, la veille sur les failles et la tenue de votre documentation au fil des versions.
Une direction technique dans l’édition de logiciels nous avait appelés pour une autre raison. En cartographiant ses produits, nous avons vu qu’un composant installé chez ses clients la plaçait dans le périmètre du règlement. Il valait mieux le découvrir avant une faille.
Parcours-type, secteur de l’édition logicielle
