Une PME romande qui fabrique des machines, des capteurs ou des boîtiers électroniques a passé les vingt dernières années à gérer la sécurité de ses produits au sens classique : ne pas blesser l’utilisateur, ne pas prendre feu, résister aux perturbations électromagnétiques. L’Union européenne ajoute désormais une dimension, la cybersécurité, et elle l’ajoute au même endroit que les autres : dans les conditions d’accès à son marché.
C’est le règlement (UE) 2024/2847, dit Cyber Resilience Act ou CRA. Il est entré en vigueur le 10 décembre 2024. Sa première échéance opérationnelle tombe le 11 septembre 2026, dans moins de deux mois.
Pourquoi un règlement européen vous concerne-t-il depuis la Suisse ?
La Suisse n’est pas membre de l’Union européenne. Le CRA n’est donc pas du droit suisse, aucune autorité suisse ne viendra en contrôler l’application chez vous, et il n’existe aucune obligation de vous y conformer pour vendre en Suisse.
Cela ne change pas grand-chose en pratique, pour une raison simple. Le règlement ne vise pas les entreprises européennes, il vise les produits mis sur le marché de l’Union. Le critère de rattachement est la destination du produit, pas le siège du fabricant. Une entreprise de Bulle qui livre des machines à un client allemand est fabricant au sens du règlement, exactement comme une entreprise allemande.
C’est la même logique que le marquage CE que vous connaissez déjà pour la sécurité machine ou la compatibilité électromagnétique. Le CRA vient s’ajouter à cette famille. Le marquage CE que vous apposez attestera aussi, à terme, de la conformité aux exigences de cybersécurité.
Certaines PME suisses pensent que leur distributeur ou leur importateur européen absorbera la conformité. Le règlement impose bien des devoirs aux importateurs et aux distributeurs, mais ils consistent surtout à vérifier que le fabricant a fait son travail : marquage CE présent, documentation disponible, coordonnées de contact. Les exigences de conception, la documentation technique et le signalement des vulnérabilités restent chez vous. Un importateur qui découvre que votre produit n'est pas conforme a l'obligation de ne pas le mettre sur le marché.
Qu’est-ce qu’un « produit comportant des éléments numériques » ?
L’expression est administrative, la réalité est très concrète. Le règlement vise tout produit, matériel ou logiciel, qui possède une connexion de données directe ou indirecte avec un appareil ou un réseau.
Traduit en objets que vous fabriquez peut-être :
- une machine de production dont l’automate remonte des données de production ;
- un capteur de température, de niveau ou de vibration qui transmet en sans-fil ;
- une balance, une pompe ou un doseur pilotés par un écran tactile ;
- une serrure ou un système de contrôle d’accès électronique ;
- un boîtier de télémétrie installé sur un véhicule ou une installation ;
- une application mobile ou un logiciel métier vendu à des clients ;
- un objet connecté grand public, du thermostat au bracelet de sport.
La connexion peut être indirecte. Un appareil qui n’a pas de carte réseau mais que l’on met à jour par une clé USB ou que l’on paramètre par Bluetooth depuis un téléphone entre dans le champ. Le fait que le produit ne soit jamais relié à Internet ne suffit pas à l’en sortir.
Certaines familles sont exclues parce qu’elles relèvent déjà d’autres textes européens : les dispositifs médicaux, les véhicules et l’aéronautique en particulier. Si vous êtes dans un de ces domaines, la cybersécurité vous est demandée par votre réglementation sectorielle, pas par le CRA.
Suis-je concerné ? Quatre cas de PME suisses
| Situation | Concerné par le CRA ? |
|---|---|
| Vous fabriquez des machines industrielles connectées et exportez 40 % en Allemagne et en France | Oui, en tant que fabricant, pour les produits destinés au marché de l’UE |
| Vous développez un logiciel de gestion vendu en abonnement à des clients suisses et français | Oui pour la mise à disposition dans l’UE, y compris pour les solutions de traitement de données à distance liées au produit |
| Vous fabriquez des pièces mécaniques sans aucune électronique ni logiciel | Non, il n’y a pas d’élément numérique |
| Vous vendez uniquement en Suisse un capteur connecté, sans aucun client dans l’UE | Pas directement, mais vos clients industriels exportateurs vous demanderont ces garanties |
Le dernier cas mérite d’être souligné, parce qu’il touche beaucoup de PME romandes sous-traitantes. Même si vous n’exportez pas vous-même, votre client qui exporte devra documenter la sécurité de son produit fini, donc celle de vos composants. La pression descend la chaîne de valeur. C’est exactement le mécanisme décrit dans notre article sur les attaques par la chaîne d’approvisionnement, mais appliqué cette fois à la conformité plutôt qu’à la menace.
Le calendrier : ce qui tombe quand
Trois dates structurent le règlement. La première est déjà derrière nous, la deuxième est imminente, la troisième demande de commencer maintenant.
| Date | Ce qui s’applique | Ce que cela veut dire pour vous |
|---|---|---|
| 10 décembre 2024 | Entrée en vigueur du règlement | Le compte à rebours démarre, aucune obligation encore active pour les fabricants |
| 11 juin 2026 | Chapitre sur la notification des organismes d’évaluation de la conformité | Les organismes notifiés peuvent être désignés, l’écosystème d’évaluation se met en place |
| 11 septembre 2026 | Obligations de signalement (art. 14) | Vous devez signaler les vulnérabilités activement exploitées et les incidents graves, dans des délais très courts |
| 11 décembre 2027 | Application générale du règlement | Exigences essentielles de cybersécurité, documentation technique, évaluation de conformité, marquage CE |
Beaucoup d'entreprises ont retenu « fin 2027 » et se disent qu'elles ont le temps. Or l'obligation de signalement s'applique plus d'un an avant le reste. Elle ne demande pas de refondre vos produits, elle demande une organisation interne : savoir qui reçoit l'information, qui décide, qui rédige et qui envoie, dans les 24 heures. Une entreprise qui n'a pas ce processus au 11 septembre 2026 sera en défaut le jour où une faille de son produit sera exploitée.
Les obligations concrètes du fabricant
Le règlement demande deux choses de nature très différente : sécuriser le produit, et rester présent après la vente.
Concevoir le produit de façon sécurisée. Une analyse de risque cybersécurité doit accompagner la conception, le développement et la production. Le produit doit être livré sans vulnérabilité connue exploitable, dans une configuration sécurisée par défaut, avec un contrôle d’accès adapté, un chiffrement des données sensibles et une réduction des surfaces d’attaque inutiles. Ces exigences figurent à l’annexe I du règlement.
Documenter. Une documentation technique doit exister et pouvoir être présentée. Elle inclut notamment un inventaire des composants logiciels utilisés, ce que le secteur appelle une nomenclature logicielle. Concrètement, vous devez savoir quelles bibliothèques et quels composants tiers tournent dans votre produit. Beaucoup de PME découvrent à ce stade qu’elles ne le savent pas, parce que le firmware a été développé par un sous-traitant.
Assurer un support dans la durée. Le règlement prévoit une période de support pendant laquelle les vulnérabilités doivent être traitées efficacement, et fixe en principe une durée d’au moins cinq ans, sauf si le produit est manifestement destiné à une durée d’utilisation plus courte. Cette durée doit être communiquée clairement à l’achat. Pour une PME industrielle, c’est souvent le point le plus lourd : il faut prévoir la capacité de produire et de distribuer des correctifs pendant des années.
Signaler. Dès le 11 septembre 2026, une vulnérabilité activement exploitée dans un de vos produits, ou un incident grave affectant leur sécurité, doit faire l’objet d’une alerte précoce dans les 24 heures, d’une notification plus complète dans les 72 heures, puis d’un rapport final. Le signalement se fait par une plateforme unique européenne, auprès du CSIRT compétent, avec transmission à l’ENISA.
La mesure la moins coûteuse et la plus utile : créez une adresse du type [email protected], publiez-la sur votre site et dans vos manuels, et assurez-vous que quelqu'un la lit. C'est par là qu'un chercheur, un client ou un intégrateur vous préviendra d'une faille. Sans ce canal, vous apprendrez le problème par la presse ou par un client furieux, et votre délai de 24 heures aura déjà commencé à courir sans que vous le sachiez.
Par où commencer, réalistement
Vous n’avez pas besoin d’un projet de conformité complet cet été. Vous avez besoin de trois choses avant septembre, et d’une trajectoire pour 2027.
- Établissez la liste de vos produits qui contiennent du logiciel et indiquez pour chacun s’il est vendu dans l’UE, directement ou par un client. Un tableau d’une page suffit à révéler l’ampleur réelle du sujet.
- Ouvrez le canal de signalement et nommez un responsable. C’est le prérequis de l’échéance de septembre 2026.
- Écrivez la procédure de réponse en une page : qui qualifie l’information, qui décide qu’il s’agit d’une exploitation active, qui rédige l’alerte, qui l’envoie, dans quel délai.
- Réclamez à vos sous-traitants logiciels l’inventaire des composants qu’ils utilisent dans votre firmware. Mettez-le au contrat pour les développements à venir.
- Identifiez la catégorie de vos produits (ordinaire, important classe I ou II, critique), car elle détermine si une évaluation par un tiers sera nécessaire. C’est le point à faire valider par un spécialiste.
- Chiffrez la période de support que vous êtes capable de tenir, et intégrez-la dans vos prix et vos contrats plutôt que de la subir.
La bonne nouvelle est que ces travaux recoupent largement l’hygiène de sécurité attendue de toute entreprise, et que la maturité interne compte autant que la technique. En Suisse, l’Office fédéral de la cybersécurité a enregistré 64 733 déclarations volontaires en 2025, contre 62 954 en 2024 (OFCS, rapport semestriel 2025/II, 30 mars 2026) : la pression sur les entreprises ne diminue pas, et un fabricant qui sait déjà gérer un incident chez lui saura plus facilement en gérer un chez ses clients.
Aucun élément de cet article ne constitue un avis juridique. La qualification exacte de votre produit, sa catégorie et le régime applicable à votre gamme existante doivent en règle générale être validés avec un spécialiste de la conformité produit.
Pour situer la maturité de votre entreprise en quelques minutes, le check-up cyber vous donne un score et vos trois priorités. Le test « suis-je concerné par le CRA ? » traite spécifiquement de la question du périmètre. Les fabricants d’équipements radio connectés doivent en parallèle regarder les normes EN 18031, et les industriels l’IEC 62443. Vos obligations suisses restent par ailleurs entières, à commencer par vos obligations nLPD. L’ensemble des textes applicables est regroupé dans le pilier Réglementations.