Le Cyber Resilience Act change concrètement la manière dont les produits connectés sont mis sur le marché européen. Pour une petite entreprise, l’enjeu n’est pas seulement juridique : il touche aussi les achats, les relations fournisseurs, la documentation produit et, parfois, les process de support ou de mise à jour. Si vous vendez, importez ou intégrez des objets connectés, des logiciels ou des solutions embarquées, vous devez savoir rapidement où se situe votre exposition et quelles preuves demander.
L’objectif de ce règlement européen est d’élever le niveau de cybersécurité des produits avec éléments numériques tout au long de leur cycle de vie. En pratique, cela concerne autant les fabricants que certains importateurs, distributeurs, intégrateurs et e-commerçants selon leur rôle réel dans la chaîne de mise à disposition. Pour les PME, la priorité est simple : identifier les produits concernés, vérifier qui porte les obligations produits connectés, puis sécuriser les échanges avec les fournisseurs.
1. Qui est concerné par le Cyber Resilience Act ?
Le Cyber Resilience Act vise les produits comportant des éléments numériques mis à disposition sur le marché de l’Union européenne. Cela inclut des objets connectés, des équipements réseau, des solutions logicielles vendues avec un produit, et plus largement les produits qui dépendent d’un traitement numérique pour fonctionner, communiquer ou être mis à jour.
Le texte ne concerne pas seulement les grands industriels. Une TPE ou une PME peut être concernée dès lors qu’elle agit comme fabricant, importateur, distributeur ou intégrateur dans la chaîne de commercialisation. Le point clé est le rôle joué vis-à-vis du produit : qui le conçoit, qui l’assemble, qui le met sur le marché, qui le revend sous sa marque, qui en assure l’importation, ou qui le configure pour le client final.
Pour un e-commerçant, la vigilance est nécessaire si les produits vendus relèvent de la cybersécurité européenne au sens large du règlement. Pour un intégrateur, le niveau d’exposition dépend souvent du degré de modification apporté au produit, de l’assemblage de plusieurs briques logicielles et matérielles, ou de la manière dont la solution est remise au client.
1.1. Les cas où une petite entreprise peut être directement exposée
- Vous apposez votre marque sur un produit connecté conçu par un tiers.
- Vous importez un objet ou un logiciel connecté depuis un pays hors UE et le mettez sur le marché européen.
- Vous assemblez plusieurs composants pour créer une solution connectée vendue au client final.
- Vous distribuez un produit et intervenez sur sa conformité, sa documentation ou sa mise à disposition.
- Vous intégrez un logiciel ou un firmware dans un produit connecté avant sa commercialisation.
2. Quels produits et services sont réellement visés ?
Le champ du règlement est large, mais il ne faut pas le confondre avec une obligation générale qui frapperait toute activité numérique. Ce sont les produits contenant des éléments numériques, et non toutes les prestations de services IT, qui sont au centre du dispositif. La bonne question à se poser est donc : le produit que je vends, importe ou intègre dépend-il d’un composant logiciel, d’une connexion réseau, d’une interface numérique ou d’un mécanisme de mise à jour ?
Les objets connectés classiques entrent souvent dans le périmètre : caméras, capteurs, équipements domotiques, appareils industriels connectés, terminaux de paiement ou dispositifs embarqués. Les logiciels distribués avec un produit, les applications de configuration, certains firmwares et les services liés à la gestion du produit peuvent aussi devenir sensibles dès lors qu’ils conditionnent la sécurité du produit ou son fonctionnement.
Pour les petites entreprises, le risque le plus fréquent est de sous-estimer un produit “simple” en apparence. Un produit peut sembler peu critique sur le plan métier, tout en entrant dans le champ du règlement parce qu’il communique, stocke des données, reçoit des mises à jour ou repose sur une chaîne logicielle vulnérable.
2.1. Les signaux qui montrent qu’un produit est probablement concerné
- Le produit se connecte à internet, à une application ou à un service distant.
- Des mises à jour logicielles ou de sécurité sont prévues.
- Le produit dépend d’identifiants, d’un firmware ou d’un logiciel embarqué.
- La documentation mentionne des fonctions de cybersécurité, d’accès distant ou de gestion à distance.
- Le produit est commercialisé comme “smart”, “connecté” ou “gérable à distance”.
3. Quelles preuves ou déclarations peuvent être demandées ?
Le Cyber Resilience Act repose sur une logique de conformité démontrable. Autrement dit, il ne suffit pas d’affirmer qu’un produit est sûr : il faut pouvoir justifier les mesures prises, la manière dont les risques ont été identifiés et les contrôles effectués avant la mise sur le marché. Pour une PME, cela implique surtout de savoir quelles preuves exiger de ses fournisseurs.
Selon le rôle de l’entreprise et le type de produit, on peut s’attendre à voir apparaître plusieurs documents de conformité produits connectés : déclaration de conformité, documentation technique, description des fonctions de cybersécurité, politique de gestion des vulnérabilités, consignes de mise à jour, et éléments de traçabilité sur les composants logiciels utilisés.
Dans les faits, les acheteurs professionnels et les revendeurs ont intérêt à construire un dossier fournisseur minimal. Ce dossier sert à vérifier que le produit a été pensé avec une base de cybersécurité européenne cohérente et qu’il peut être commercialisé sans improvisation documentaire.
3.1. Les pièces utiles à demander à un fournisseur
- Une déclaration indiquant le statut du produit au regard du Cyber Resilience Act.
- La documentation technique ou un résumé exploitable des fonctionnalités de sécurité.
- La liste des mécanismes de mise à jour et la durée de prise en charge prévue.
- Une procédure de traitement des vulnérabilités et de remontée des incidents.
- Une description des composants logiciels ou dépendances critiques si le fournisseur peut la fournir.
- Les engagements sur les correctifs de sécurité et les délais de prise en charge.
Si le fournisseur ne peut pas fournir ces éléments, ce n’est pas forcément bloquant immédiatement, mais c’est un signal d’alerte. Pour une petite structure, un manque de preuve documentaire signifie souvent plus de charge interne, plus de risque commercial et davantage d’exposition en cas de contrôle ou de litige.
4. Quelles obligations pratiques pour les PME, importateurs et e-commerçants ?
Le règlement ne demande pas seulement de vendre un produit conforme au départ. Il impose aussi une logique de suivi, notamment sur la sécurité dans la durée. C’est là que les obligations PME deviennent très concrètes : gérer les informations produit, garder la trace des documents reçus, vérifier les engagements de mise à jour et anticiper les corrections en cas de vulnérabilité.
Pour un importateur, la vigilance porte surtout sur la conformité amont : vérifier que le produit a bien été préparé pour le marché européen, que les déclarations sont disponibles et que le fabricant a prévu un dispositif de suivi. Pour un e-commerçant, il faut s’assurer que les informations visibles sur la fiche produit ne contredisent pas les engagements de conformité transmis par le fournisseur. Pour un intégrateur, il faut contrôler ce qui a été modifié, assemblé ou combiné.
La bonne pratique consiste à documenter trois points : le rôle de l’entreprise, le niveau d’exposition du produit, et la preuve reçue du fournisseur. Cette approche évite de traiter la conformité comme une simple formalité administrative.
4.1. Les vérifications à faire avant de mettre un produit en vente
- Identifier si l’entreprise agit comme fabricant, importateur, distributeur ou intégrateur.
- Confirmer que le produit entre bien dans le périmètre du règlement.
- Obtenir les documents de conformité avant la mise en ligne ou la mise en stock.
- Vérifier la présence d’un mécanisme de mise à jour et d’un suivi des vulnérabilités.
- Contrôler que les notices, mentions et fiches produit ne créent pas d’ambiguïté sur la sécurité.
- Prévoir une procédure interne de retrait, de correction ou d’alerte en cas de défaut de cybersécurité.
5. Comment vérifier ses fournisseurs sans alourdir l’activité ?
Pour une petite entreprise, le défi n’est pas de construire un service conformité complet, mais de poser les bonnes questions au bon moment. Le plus efficace est d’intégrer quelques demandes standard dans le processus d’achat, de référencement ou d’intégration. Ainsi, la conformité produits connectés devient un réflexe de sélection fournisseur plutôt qu’un sujet géré dans l’urgence.
Commencez par demander si le produit est dans le champ du Cyber Resilience Act, puis exigez une réponse écrite sur la documentation disponible, les mises à jour de sécurité, la gestion des vulnérabilités et la durée de support. Si le fournisseur n’a pas de réponse claire, il faut évaluer le coût réel du risque : temps de vérification, support client, responsabilité commerciale, et éventuel retrait du produit.
Cette méthode est particulièrement utile dans les filières où les références changent vite, avec beaucoup de petites séries ou de marques distribuées en marque blanche. Plus la chaîne d’approvisionnement est fragmentée, plus la traçabilité devient importante.
5.1. Les questions simples à poser à chaque nouveau fournisseur
- Le produit est-il concerné par le Cyber Resilience Act ?
- Qui est responsable des mises à jour de sécurité ?
- Combien de temps le produit sera-t-il maintenu ?
- Existe-t-il une procédure de correction des vulnérabilités ?
- Quels documents de conformité peuvent être transmis avant la vente ?
- Le produit a-t-il été modifié, reconditionné ou rebadgé pour notre marché ?
6. Checklist simple pour mesurer son exposition et prioriser les actions
Avant de lancer un chantier complet, il est utile d’évaluer le niveau d’exposition réel de votre entreprise. Cette checklist permet de prioriser les actions selon votre rôle, le type de produit et le degré de dépendance à vos fournisseurs.
- Je vends, importe ou intègre au moins un produit contenant un élément numérique.
- Je sais précisément si mon entreprise agit comme fabricant, importateur, distributeur ou intégrateur.
- Je dispose d’une preuve écrite sur le statut du produit au regard du Cyber Resilience Act.
- Je peux retrouver la documentation technique et les informations de sécurité fournies par le fabricant.
- Je connais la durée de support et le mécanisme de mise à jour du produit.
- Je sais à qui remonter une vulnérabilité ou un incident de sécurité.
- Mes fiches produit, contrats et commandes ne contredisent pas les engagements de conformité.
- Je peux identifier rapidement les produits les plus sensibles ou les plus risqués de mon catalogue.
Si plusieurs réponses sont négatives, l’action prioritaire n’est pas de tout refondre, mais de sécuriser les produits les plus exposés : ceux qui se connectent, ceux qui reçoivent des mises à jour, ceux vendus sous votre marque et ceux pour lesquels vous dépendez fortement d’un fournisseur peu documenté. C’est généralement là que se jouent les premiers risques de mise en conformité et les premiers gains de sécurisation.
Pour les TPE et PME, l’enjeu du Cyber Resilience Act est donc très concret : savoir ce que l’on vend, ce que l’on intègre et ce que l’on peut prouver. Avec quelques vérifications systématiques, il devient possible de réduire le risque réglementaire sans bloquer l’activité commerciale.
