Les entreprises suisses qui fabriquent des produits connectés savent depuis un moment qu’une échéance européenne les attend. Ce qui manquait, c’était un moyen simple de savoir où l’on en est. Le 13 juillet 2026, l’agence de l’Union européenne pour la cybersécurité, l’ENISA, a publié un modèle d’auto-évaluation conçu pour les petites structures : le SME Cyber Resilience Maturity Assessment Model. Il est gratuit, court, et accompagné d’un outil Excel qui calcule le résultat.

À qui s’adresse ce modèle

L’ENISA le destine d’abord aux organisations qui fabriquent et mettent sur le marché des produits comportant des éléments numériques, celles que le Cyber Resilience Act visera directement. Elle précise qu’il peut aussi servir aux intégrateurs et aux prestataires de services intervenant dans le cycle de vie du produit. Il est explicitement pensé pour des entreprises sans équipe de sécurité dédiée, où les responsabilités sont partagées entre plusieurs rôles.

Le document est public et sa réutilisation autorisée sous licence Creative Commons : aucune barrière d’accès ni de nationalité. Une PME suisse peut l’utiliser telle quelle.

Cinq domaines, vingt-cinq questions

Le modèle s’organise autour de cinq domaines : la gouvernance et la documentation ; la gestion des risques et la sécurité dès la conception et par défaut ; la gestion des vulnérabilités et des correctifs ; la gestion du cycle de vie du produit ; et enfin la sensibilisation, les compétences et le savoir-faire.

Chaque domaine comporte cinq critères, soit vingt-cinq questions au total. Les sujets sont concrets : savez-vous quelle autorité de surveillance du marché est compétente pour le CRA ? Vos produits sont-ils livrés avec une configuration sécurisée par défaut ? Réalisez-vous des tests de sécurité avant chaque mise à jour ?

Comment se lit le résultat

Chaque réponse est notée de 1 à 5, de « non mise en oeuvre » à « mesurée, surveillée et améliorée en continu ». On calcule la moyenne par domaine, puis la moyenne des cinq domaines. Trois profils en découlent : maturité basique entre 1,0 et 2,5, avec des pratiques informelles et surtout réactives ; maturité intermédiaire entre 2,6 et 3,9, où des processus existent sur le papier mais s’appliquent de façon inégale ; maturité avancée entre 4,0 et 5,0, avec des pratiques formalisées et régulièrement revues.

L’ENISA insiste sur un point utile : un score intermédiaire peut masquer un domaine resté au niveau basique, et une faiblesse isolée suffit à fragiliser l’ensemble. Une annexe trie les actions en trois catégories : écarts à haut risque, améliorations faciles, chantiers de long terme.

Ce que révèle l’enquête menée auprès des PME

L’ENISA a publié le même jour les résultats d’une enquête sur la préparation des PME au CRA. 194 organisations de 31 pays y ont répondu, dont 25 États membres de l’Union. Premier constat : 66 % des répondants avaient entendu parler du CRA avant l’enquête, ce qui laisse un tiers du panel dans l’ignorance d’un règlement qui les concerne.

Le domaine le plus faible est celui de la gestion des incidents et du cycle de vie des produits, en particulier chez les microentreprises. Plus de 70 % des répondants réclament des modèles de documentation technique et de développement sécurisé, et 142 d’entre eux soulignent le besoin d’un soutien financier. L’écart que constate l’agence est celui que toute PME reconnaîtra : la sensibilisation progresse plus vite que la capacité concrète à appliquer le texte.

Les échéances qui rendent l’exercice utile maintenant

Selon la Commission européenne, les obligations de signalement des vulnérabilités activement exploitées s’appliquent dès le 11 septembre 2026, et l’essentiel des obligations du règlement le 11 décembre 2027. Un fabricant qui exporte dans l’Union a donc quelques semaines pour la première échéance, environ un an et demi pour la seconde. C’est la fenêtre où une auto-évaluation a de la valeur : assez tôt pour corriger, assez tard pour que le sujet ne soit plus théorique.

Une limite à garder en tête

L’ENISA le dit noir sur blanc : atteindre un niveau de maturité avancé ne remplace pas les obligations légales et ne constitue pas une preuve de conformité. Le modèle aide à structurer et à prioriser, il ne délivre aucun certificat. Il ne dit pas non plus dans quelle catégorie de produits vous tombez, ni si une norme harmonisée comme l’EN 18031 s’applique à votre matériel radio.

En conclusion

Ce modèle donne enfin un langage commun et un point de départ gratuit à des entreprises que le CRA intimide. Rempli honnêtement, il fait apparaître les deux ou trois domaines qui décrochent. Reste le travail qu’aucun questionnaire ne fait à votre place : déterminer quels produits de votre catalogue entrent dans le champ du règlement, dans quelle catégorie, et quelles preuves documentaires seront réellement exigées de vous. C’est là qu’un regard adapté à votre gamme et à vos marchés d’exportation transforme un score en plan de travail.