La question qui compte vraiment

Votre entreprise doit-elle simplement renforcer sa cybersécurité… ou préparer aussi une capacité de signalement formelle pour certains produits numériques ? C’est l’arbitrage rendu plus urgent par le Cyber Resilience Act, dont les obligations de signalement pour les vulnérabilités exploitées activement et les incidents graves s’appliquent à partir du 11 septembre 2026, selon la Commission européenne et EUR-Lex. La Commission a publié le 11 septembre 2026 une première guidance pour aider les entreprises à mettre en œuvre le texte.

Pour une TPE/PME, ce n’est pas une querelle de juristes. C’est une question d’organisation : qui détecte, qui qualifie, qui décide, qui documente, qui notifie, et sous quel délai. La CNIL rappelle par ailleurs que les entreprises doivent déjà penser sécurité des données, minimisation et gouvernance lorsqu’elles collectent et gèrent des données, y compris dans les projets IA.

Ce qui a changé, avec les dates à retenir

Date de publication de l’annonce principale : 11 septembre 2026, lorsque la Commission européenne publie sa guidance d’implémentation du Cyber Resilience Act. Date d’effet opérationnel à retenir : 11 septembre 2026, début de l’application des obligations de signalement prévues par le règlement pour les produits concernés.

Le changement est simple à résumer et moins simple à exécuter : un produit numérique vendu sur le marché doit désormais être suivi comme un actif vivant, avec des exigences de cybersécurité sur tout son cycle de vie, et pas seulement au moment du lancement. La Commission indique que le CRA impose des exigences horizontales de cybersécurité, tandis qu’EUR-Lex précise le point d’entrée des obligations de signalement.

La CNIL ajoute une couche de prudence utile : lorsque l’on utilise de l’IA, notamment agentique, on peut déléguer des actions à des systèmes qui lisent, modifient ou suppriment des données. Cela renforce le besoin de journaux, de contrôle d’accès et de validation humaine sur les actions sensibles.

Quelles entreprises sont concernées ?

Sont particulièrement concernées les PME qui conçoivent, assemblent, intègrent, distribuent ou maintiennent des produits numériques : logiciels, objets connectés, solutions SaaS intégrant un composant embarqué, outils de production connectés, ou encore éditeurs qui sous-traitent certaines briques mais portent la mise sur le marché. La Commission et EUR-Lex décrivent le CRA comme un cadre horizontal pour les produits avec éléments numériques ; en pratique, l’impact remonte toute la chaîne fournisseur.

Sont aussi concernées les PME qui ne sont pas éditeurs, mais qui utilisent des outils d’IA ou d’automatisation capables d’agir sur des bases de données, des postes de travail ou des applications tierces. La note CNIL sur l’IA agentique insiste sur cette capacité d’action, donc sur le risque de traitement de données mal maîtrisé.

À l’inverse, si votre entreprise n’édite ni ne met sur le marché de produit numérique, l’effet est indirect : vos clients, donneurs d’ordres ou assureurs peuvent exiger davantage de preuves de sécurité, de traçabilité et de procédure d’incident. C’est une inférence raisonnable à partir du renforcement réglementaire décrit par la Commission et de la sensibilité accrue des acheteurs au risque fournisseur.

Méthode pratique : le test des 4 dossiers

Pour décider vite, utilisez un test en 4 dossiers, à tenir dans un seul répertoire partagé. Dossier 1 : carte des produits et services numériques concernés. Dossier 2 : registre des vulnérabilités et incidents. Dossier 3 : preuves de gouvernance, avec rôles et validations. Dossier 4 : preuves de conformité et de communication client. Ce découpage transforme une obligation floue en objet pilotable. Il est cohérent avec la logique du CRA et avec les attentes de la CNIL sur la documentation et la sécurité des traitements.

Exemple fictif et chiffré : une PME de 28 personnes vend un logiciel de planification qui échange des données avec des terminaux chez ses clients. Elle ne vend pas “de la cybersécurité”, mais un produit numérique exposé. En 1 semaine, elle identifie 6 composants critiques, 2 responsables de décision, 1 canal unique de signalement, et 3 scénarios d’incident. Le coût principal n’est pas l’outil, c’est le temps des personnes : environ 12 heures pour cadrer le processus et éviter de découvrir, le jour de l’incident, que personne n’a le droit d’envoyer le signalement. Ce chiffre est une illustration fictive, pas une moyenne de marché.

Ce qui reste incertain, et la limite utile du sujet

Le point encore incertain pour beaucoup de PME n’est pas le texte lui-même, mais le périmètre exact de certains produits hybrides, la répartition des responsabilités entre éditeur, intégrateur et distributeur, et le niveau de preuve attendu par les autorités ou les clients. La guidance de la Commission aide, mais elle ne remplace pas une revue produit par produit.

Autre limite : un bon processus de signalement ne compense pas une mauvaise hygiène de base. La CNIL rappelle que la sécurité des données repose aussi sur des mesures simples mais structurantes : accès restreints, mises à jour, sauvegardes, sensibilisation, diagnostic adapté. Autrement dit, le CRA ne dispense pas de faire le ménage dans les comptes admin.

Enfin, si vous utilisez de l’IA agentique, la prudence est double : vos systèmes peuvent agir à la place d’un humain, mais la responsabilité, elle, ne délègue pas. La CNIL le souligne en décrivant des chaînes de traitement parfois opaques.

Checklist actionnable sur 7 jours

Jour 1 — Responsable : dirigeant. Résultat observable : liste des produits et outils numériques exposés, validée et datée.

Jour 2 — Responsable : responsable technique ou prestataire IT. Résultat observable : inventaire des composants critiques et des points de contact externes.

Jour 3 — Responsable : référent qualité/juridique ou dirigeant. Résultat observable : grille simple de tri “incident / vulnérabilité / faux positif”.

  • Jour 4 — Responsable : RSSI externe, DSI ou prestataire. Résultat observable : canal unique de signalement et d’escalade documenté.
  • Jour 5 — Responsable : opérations. Résultat observable : modèle de fiche d’incident prêt à l’emploi, avec horodatage, impact, actions et décision.
  • Jour 6 — Responsable : RH ou management. Résultat observable : consigne courte de 10 minutes sur qui alerter et sous quel délai.
  • Jour 7 — Responsable : dirigeant. Résultat observable : décision écrite sur le périmètre CRA, les zones de doute et les prochaines revues mensuelles.