Le règlement européen sur la cyberrésilience (CRA) : ce que les exportateurs canadiens doivent signaler depuis le 11/09/2026

Si vous vendez du matériel ou des logiciels connectés dans l’Union européenne, le règlement sur la cyberrésilience (Cyber Resilience Act, CRA) s’applique désormais à vous, même si votre entreprise n’a aucun bureau en Europe. Ses premières obligations sont entrées en vigueur le 11/09/2026. Comme l’a souligné Raymond Chabot Grant Thornton pour les exportateurs québécois, la cybersécurité est devenue un passeport pour exporter (RCGT).

Ce que couvre le CRA

Le CRA établit des exigences de cybersécurité pour les « produits comportant des éléments numériques, matériels ou logiciels », des appareils intelligents aux applications et programmes informatiques. Les produits conformes porteront le marquage CE, et les autorités nationales de surveillance du marché veilleront à l’application des règles (Commission européenne).

Le logiciel en tant que service (SaaS) pur est généralement considéré comme un service plutôt qu’un produit, mais le traitement de données à distance nécessaire au fonctionnement d’un produit peut relever du champ d’application. Les lignes directrices de la Commission du 27/07/2026 précisent le traitement réservé aux solutions de traitement de données à distance et aux logiciels libres et open source, avec des exemples pratiques (Lignes directrices de la Commission). Vérifiez-les au regard de votre propre produit avant de conclure que vous n’êtes pas concerné.

Dates clés

• 10/12/2024 : le CRA est entré en vigueur (Commission).
• 11/09/2026 : les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves.
• 11/12/2027 : les principales obligations s’appliquent, notamment les exigences de sécurité dès la conception, la gestion des vulnérabilités, l’évaluation de la conformité et le marquage CE.

Le compte à rebours des signalements a déjà commencé

Depuis le 11/09/2026, les fabricants doivent signaler les vulnérabilités activement exploitées dans leurs produits, ainsi que les incidents graves affectant leur sécurité, selon un calendrier strict (Commission) :

• une alerte précoce dans les 24 heures suivant la prise de connaissance ;
• une notification dans les 72 heures ;
• un rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective (pour les vulnérabilités), ou dans le mois suivant la notification des 72 heures (pour les incidents graves).

Les signalements transitent par la plateforme unique de signalement du CRA, à destination de l’équipe nationale de réponse aux incidents de sécurité informatique et de l’ENISA, l’agence de l’Union européenne pour la cybersécurité.

Sanctions

Le non-respect des exigences essentielles de cybersécurité du CRA peut entraîner des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (Règlement (UE) 2024/2847).

Ce que les fabricants et éditeurs de logiciels canadiens doivent faire

1. Confirmer le champ d’application. Dressez la liste des produits vendus ou distribués dans l’UE et vérifiez chacun d’eux au regard des lignes directrices de la Commission.
2. Mettre en place dès maintenant un processus de réception des vulnérabilités. Vous devez disposer d’un moyen de prendre connaissance des vulnérabilités exploitées, de les trier et de les signaler dans les 24 heures. Une politique de divulgation des vulnérabilités publiée et un point de contact sécurité surveillé constituent le minimum requis.
3. Connaître vos composants. Une nomenclature logicielle (SBOM) permet de déterminer rapidement si une vulnérabilité nouvellement exploitée vous concerne.
4. Se préparer pour 2027. La sécurité dès la conception, les paramètres sécurisés par défaut, les mécanismes de mise à jour et la documentation technique demandent du temps à intégrer dans les produits.
5. Réutiliser les programmes existants. La norme ISO 27001, les pratiques de développement sécurisé et les tests d’intrusion réguliers constituent des éléments de preuve utiles pour le CRA.

Pour en savoir plus sur les évolutions en matière de protection des données dans l’UE concernant les entreprises canadiennes, consultez le statut d’adéquation du Canada auprès de l’UE. KW Consulting et Ubitrak aident les fabricants de logiciels et d’appareils à mettre en place des programmes de gestion des vulnérabilités et de tests. Contactez-nous.

Sources

• Commission européenne : règlement sur la cyberrésilience (Cyber Resilience Act)
• Commission européenne : obligations de signalement du CRA
• Commission européenne : nouvelles lignes directrices pour soutenir la mise en œuvre du règlement sur la cyberrésilience (27/07/2026)
• EUR-Lex : Règlement (UE) 2024/2847 (règlement sur la cyberrésilience)
• Raymond Chabot Grant Thornton : La cybersécurité, un passeport pour exporter (25/04/2026, en français)