Le Cyber Resilience Act descend jusqu’aux puces électroniques
Depuis le 11 septembre 2026, date de la première phase de la mise en œuvre du Cyber Resilience Act (CRA) européen, les fabricants de « produits comportant des éléments numériques », y compris les puces et les modules les intégrant, doivent notifier les vulnérabilités et les incidents graves affectant leurs produits.
Officiellement intitulé règlement européen (UE) 2024/2847, le Cyber Resilience Act (CRA) constitue le cadre horizontal de l’UE pour la cybersécurité des « produits comportant des éléments numériques ». Il impose aux fabricants d’intégrer la cybersécurité dès la conception, puis tout au long du développement, de la production, de la commercialisation et de la durée de vie de ces produits. L’objectif est de réduire le nombre de produits vulnérables arrivant sur le marché européen, d’améliorer la gestion des vulnérabilités et d’informer davantage les utilisateurs sur le niveau de sécurité des produits, qu’il s’agisse de solutions matérielles ou logicielles.
Le 11 septembre 2026 marque une étape importante dans la mise en œuvre du CRA car elle constitue une première échéance concrète, sans pour autant constituer l’entrée en vigueur de l’ensemble du texte, qui interviendra le 11 décembre 2027. Depuis le 11 septembre 2026, les obligations de notification de l’article 14 s’appliquent, ce qui implique que les fabricants doivent signaler les vulnérabilités et les incidents graves liés à la cybersécurité affectant leurs produits. Ces déclarations transitent par la Single Reporting Platform (SRP) mise en place par l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, permettant une transmission unique ensuite accessible aux autorités compétentes et aux équipes spécialisées chargées de prévenir, détecter et répondre aux incidents de cybersécurité (CSIRT). Il s’agit donc d’une phase de notification et de surveillance, et non encore d’une mise en conformité complète des produits ciblés.
Les fabricants de puces directement concernés
Contrairement à une idée répandue, la Commission européenne précise explicitement que le CRA ne se limite pas aux produits finis : il couvre aussi des composants commercialisés séparément, notamment les puces. Un composant n’est toutefois pas automatiquement soumis au règlement du simple fait qu’il contient de l’électronique. Le critère déterminant reste celui du « produit comportant des éléments numériques », qui doit disposer d’une connexion de données (directe ou indirecte, logique ou physique) à un appareil ou un réseau dans le cadre de son « usage prévu ou raisonnablement prévisible ».
Les fabricants de microcontrôleurs, processeurs, SoC, modules de communication ou autres composants programmables peuvent donc être concernés selon la nature et la commercialisation de leur produit. En théorie, les fabricants de cartes électroniques intégrant ces éléments peuvent aussi être potentiellement concernés par le CRA mais le texte législatif ne mentionne pas explicitement les sous-traitants électroniques.
Pour les fabricants de semi-conducteurs, le CRA déplace donc progressivement la question de la cybersécurité du produit final vers l’ensemble de la chaîne de conception et de fourniture. Cela implique notamment une analyse de risques dès la conception, la prise en compte de la sécurité des composants et logiciels intégrés, y compris les dépendances utilisées pour construire le produit, une gestion des vulnérabilités pendant la période de support, et la capacité à identifier et traiter rapidement les failles découvertes après commercialisation.
À partir de 2027 s’y ajouteront des exigences de conformité, de documentation et, pour certaines catégories de produits, des procédures d’évaluation plus contraignantes. Le règlement reconnaît ainsi que la responsabilité de la cybersécurité s’étend à toute la chaîne d’approvisionnement, et non au seul fabricant du produit final.
Un potentiel levier de souveraineté ?
Précisons que tous les fabricants non européens commercialisant des « produits comportant des éléments numériques » sur le marché européen doivent aussi se conformer au CRA. Avec pour conséquence directe pour l’industrie française et européenne, le fait qu’un fabricant européen achetant un composant à un fournisseur non européen devra intégrer sa conformité CRA dans sa propre chaîne d’approvisionnement. L’importateur européen aura donc l’obligation de vérifier que les procédures d’évaluation de conformité ont été réalisées, que la documentation technique existe, que le marquage CE est présent et que le fabricant applique les processus requis de gestion des vulnérabilités. Cette exigence pourrait alors devenir un argument commercial pour les fournisseurs européens face à leurs concurrents asiatiques ou américains.
Bien que l’objectif premier reste la cybersécurité, les effets du CRA pourraient ainsi potentiellement se répercuter sur la chaîne de valeur européenne et devenir un potentiel levier de souveraineté électronique. Un industriel pourrait progressivement privilégier un fournisseur capable de garantir un suivi complet du cycle produit (composant, documentation de sécurité, vulnérabilités, correctifs, support long terme, traçabilité, etc.) en matière de cybersécurité, plutôt qu’un composant simplement moins cher.
