Après le RGPD et la directive NIS2, une nouvelle réglementation européenne va s'imposer aux entreprises luxembourgeoises qui développent ou vendent des logiciels, des objets connectés ou tout produit intégrant des éléments numériques : le Cyber Resilience Act (Règlement (UE) 2024/2847). Une première série d'obligations concrètes entre en application dès le 11 septembre 2026, et de nombreuses TPE/PME du numérique risquent d'être prises de court.
Qu'est-ce que le Cyber Resilience Act ?
Ce règlement européen impose des exigences de cybersécurité à tout « produit comportant des éléments numériques » mis sur le marché de l'Union européenne : logiciels, applications, firmwares, objets connectés (IoT), équipements industriels connectés, etc. L'objectif est de garantir que ces produits sont conçus, développés et maintenus de manière sécurisée tout au long de leur cycle de vie.
Contrairement à NIS2, qui vise en priorité les grandes entités et les secteurs critiques, le Cyber Resilience Act s'applique en principe à tout fabricant qui met un produit numérique sur le marché européen, quelle que soit sa taille — ce qui inclut potentiellement de nombreux éditeurs de logiciels et fabricants d'objets connectés luxembourgeois, y compris des TPE et PME. Les logiciels open source développés en dehors de toute activité commerciale échappent en revanche au champ d'application.
Ce qui change concrètement le 11 septembre 2026
À cette date entre en vigueur la première brique du règlement : les obligations de signalement des vulnérabilités activement exploitées et des incidents de sécurité graves. Cette obligation s'applique aux produits déjà présents sur le marché, sans clause de « grand-père » : même une version plus ancienne d'un logiciel doit faire l'objet d'un signalement si des utilisateurs européens sont concernés.
Concrètement, un fabricant qui prend connaissance d'une vulnérabilité activement exploitée ou d'un incident grave doit respecter une cascade de délais stricts, à compter du moment où il en a connaissance :
- 24 heures pour alerter l'ENISA (l'agence européenne de cybersécurité) et le CSIRT national compétent d'une exploitation active ou d'un incident grave ;
- 72 heures pour transmettre les détails complets de la vulnérabilité et les mesures correctives envisagées ;
- 14 jours pour fournir un rapport final incluant les corrections effectivement apportées.
Se préparer sans attendre la mise en conformité complète
Les exigences les plus lourdes du règlement — marquage CE, documentation technique complète, obligations de conception sécurisée — n'entreront en application que le 11 décembre 2027, avec une fin des périodes transitoires prévue au 11 décembre 2028. Mais l'obligation de signalement, elle, s'applique dès septembre 2026 : les entreprises concernées ont donc tout intérêt à mettre en place, dès maintenant, quatre éléments de base :
- un point de contact sécurité dédié (une adresse e-mail surveillée activement) ;
- un processus de triage interne pour identifier et faire remonter rapidement une vulnérabilité ;
- un inventaire précis des produits et versions encore supportés ;
- une nomenclature logicielle (SBOM — Software Bill of Materials) recensant les composants intégrés à chaque produit.
Des sanctions qui ne concernent pas que les grands groupes
Le règlement prévoit des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour un manquement aux exigences essentielles de cybersécurité, et jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les autres violations. Un niveau de sanction comparable à celui du RGPD, qui doit inciter les éditeurs de logiciels et fabricants d'objets connectés luxembourgeois à ne pas traiter ce sujet à la légère, même à petite échelle.
Ce qu'il faut retenir
- Le Cyber Resilience Act s'applique à tout fabricant de produits comportant des éléments numériques (logiciels, objets connectés) vendus dans l'UE, y compris les TPE/PME.
- Dès le 11 septembre 2026, l'obligation de signaler les vulnérabilités activement exploitées et les incidents graves entre en vigueur, sans exception pour les produits déjà commercialisés.
- La cascade de notification impose des délais serrés : 24 heures, 72 heures, puis 14 jours.
- Les exigences complètes (marquage CE, documentation technique) n'arrivent qu'en décembre 2027, mais mieux vaut structurer dès maintenant un point de contact sécurité et un inventaire produits.
- Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial.