Une petite entreprise suisse qui fabrique des thermostats connectés, des routeurs, des capteurs industriels ou même un logiciel embarqué vend souvent une partie de sa production dans l’Union européenne. Or l’UE a adopté un règlement qui change les règles du jeu pour ces produits : le Cyber Resilience Act, ou CRA. Et il ne fait aucune distinction de nationalité.

De quoi parle-t-on

Le Cyber Resilience Act est un règlement européen qui impose des exigences de cybersécurité aux produits comportant des éléments numériques. Cette catégorie est très large : elle couvre les objets matériels et les logiciels destinés à se connecter à d’autres appareils ou à un réseau. Concrètement, cela va des ordinateurs portables aux smartphones, en passant par les drones, les routeurs, les appareils domestiques intelligents et les machines connectées.

Le règlement est entré en vigueur le 11 décembre 2024. Il ne s’applique toutefois pas d’un coup : les obligations se déploient par étapes jusqu’à sa pleine application le 11 décembre 2027.

Pourquoi un fabricant suisse est concerné

Le point essentiel à comprendre est le suivant : le CRA suit le produit, pas le drapeau du fabricant. Un fabricant suisse qui met un produit connecté sur le marché de l’UE est traité exactement comme un fabricant européen. Refuser de s’y conformer signifie perdre l’accès à ce marché.

Les obligations sont substantielles. Le fabricant doit intégrer la sécurité dès la conception, effectuer une évaluation continue des risques documentée pendant toute la période de support (au minimum cinq ans), conserver la documentation technique pendant dix ans, et signaler les vulnérabilités activement exploitées ainsi que les incidents graves. Ce signalement doit intervenir sous 24 heures pour l’alerte précoce, puis sous 72 heures pour le rapport détaillé.

Une vulnérabilité, ici, désigne une faille de sécurité dans un produit qu’un attaquant peut exploiter. La plupart des produits pourront faire l’objet d’une auto-évaluation de conformité, mais les produits jugés critiques exigeront l’intervention d’un organisme tiers.

Les échéances à surveiller

Trois dates comptent pour un exportateur suisse. Dès le 11 juin 2026 s’appliquent les règles relatives aux organismes chargés d’évaluer la conformité. Dès le 11 septembre 2026, les obligations de signalement des vulnérabilités et des incidents deviennent exigibles. Enfin, le 11 décembre 2027, le règlement s’applique pleinement à l’ensemble des produits concernés.

Autrement dit, l’obligation la plus immédiate, celle de signaler les failles exploitées, arrive à l’automne 2026. Ce n’est pas une perspective lointaine.

Des sanctions dissuasives

Le non-respect du CRA n’est pas anodin. Les amendes administratives peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu. À cela s’ajoute la possibilité, pour les autorités, d’interdire ou de rappeler un produit non conforme. Pour une PME, ce dernier scénario, le retrait du marché, est souvent la menace la plus concrète.

Et la Suisse dans tout cela

La Suisse ne reste pas spectatrice. Le 20 août 2025, le Conseil fédéral a chargé l’administration de préparer un projet de loi sur la cyberrésilience des produits numériques. L’Office fédéral de la cybersécurité (OFCS), avec l’Office fédéral de la communication (OFCOM) et le Secrétariat d’État à l’économie (SECO), doit élaborer un projet destiné à la consultation d’ici l’automne 2026.

L’objectif annoncé est double : établir des règles de sécurité pour la conception et la mise sur le marché des produits numériques, tout en tenant compte du CRA européen afin d’éviter des conflits de normes qui pénaliseraient les entreprises suisses actives à l’international. En clair, la Suisse cherche à s’aligner sans créer une double charge réglementaire.

Ce que cela signifie pour votre PME

Si vous fabriquez ou intégrez des produits connectés, l’anticipation est votre meilleure alliée. Vous pouvez déjà dresser l’inventaire de vos produits concernés, vérifier si vous exportez dans l’UE, et commencer à documenter vos processus de gestion des vulnérabilités. Ce travail préparatoire est à votre portée et vous fera gagner un temps précieux.

Il ne remplace toutefois pas une analyse détaillée. Déterminer si un produit est jugé critique, cartographier vos obligations exactes selon les échéances et bâtir une documentation technique qui résistera à un contrôle sont des exercices qui dépendent entièrement de votre gamme de produits. Chaque cas est différent, et une erreur d’interprétation peut coûter l’accès à un marché.

En perspective

Le CRA marque un tournant : la cybersécurité devient une condition d’accès au marché, au même titre que le marquage CE (l’attestation de conformité aux normes européennes qui figure déjà sur d’innombrables produits). Pour un fabricant suisse, s’y préparer tôt n’est pas une contrainte de plus, c’est un avantage concurrentiel. Un accompagnement ciblé permet de transformer cette obligation en argument de vente, plutôt que de la subir dans l’urgence à l’automne 2026.