La conformité réglementaire en cybersécurité ne se résume plus à cocher des cases dans un référentiel. Avec l’arrivée du Cyber Resilience Act (CRA) et le durcissement de NIS2, la protection des systèmes critiques entre dans une logique de preuve documentaire où chaque contrôle doit être démontrable. Mesurer l’écart entre les exigences de ces textes et la maturité réelle des organisations permet de comprendre ce qui change concrètement pour les équipes sécurité.
CRA et NIS2 : calendrier et obligations comparés
Les deux textes européens structurent désormais la conformité cyber, mais leurs périmètres et leurs échéances divergent. Le tableau ci-dessous synthétise les points de friction opérationnels.
| Critère | Cyber Resilience Act (CRA) | NIS2 |
|---|---|---|
| Périmètre principal | Produits à éléments numériques (matériel et logiciel) | Opérateurs de services et entités dans des secteurs critiques |
| Première échéance contraignante | Obligations de déclaration dès le 11 septembre 2026 | Transposition nationale (variable selon les États membres) |
| Application complète | 11 décembre 2027 | Applicable dès transposition |
| Logique de conformité | Conformité produit avant mise sur le marché | Conformité organisationnelle continue |
| Responsabilité ciblée | Fabricants, importateurs, distributeurs | Dirigeants (responsabilité personnelle documentée) |
| Type de preuve attendu | Évaluation des risques, documentation technique | Journaux, traçabilité, tickets, formation gouvernance |
Le point clé de ce comparatif : le CRA impose des obligations de déclaration dès septembre 2026, soit plus d’un an avant l’application complète du texte. Les fabricants de produits connectés qui attendent décembre 2027 pour se préparer accumulent un retard difficilement rattrapable.
Preuve documentaire : le vrai changement pour la protection des systèmes critiques
La conformité cyber en 2026 bascule vers une logique où l’auto-déclaration ne suffit plus. Les régulateurs attendent des preuves concrètes, vérifiables lors d’un audit ou après un incident.
NIS2 illustre cette évolution. Il ne s’agit plus de rédiger une politique de sécurité et de la classer dans un dossier. Chaque mesure de protection doit être tracée : journaux d’événements horodatés, tickets de remédiation, comptes rendus de formation des organes de gouvernance.
Ce que la traçabilité change au quotidien
- Les équipes sécurité doivent documenter chaque action corrective avec un lien explicite vers le risque identifié, pas simplement signaler qu’un correctif a été appliqué.
- Les dirigeants deviennent personnellement responsables de la démonstration de conformité, ce qui suppose une formation spécifique aux enjeux cyber et une participation active aux revues de risques.
- Les outils de gestion des vulnérabilités doivent produire des exports auditables, pas seulement des tableaux de bord internes.
La Commission européenne a publié des orientations sur le CRA pour aider les entreprises à se préparer dès maintenant, sans attendre l’entrée en vigueur complète. L’écart entre la publication de ces guidelines et la maturité réelle des organisations reste le principal facteur de risque de non-conformité.
Évaluation des risques cyber : ce que le CRA exige des fabricants
Le CRA introduit une contrainte absente des cadres précédents : la cybersécurité devient une condition de mise sur le marché. Un produit à éléments numériques qui ne respecte pas les exigences ne peut pas être commercialisé dans l’Union européenne.
L’évaluation des risques de cybersécurité constitue le socle de cette conformité produit. Elle doit couvrir l’ensemble du cycle de vie, de la conception à la fin de support.
Fabricants, importateurs, distributeurs : des rôles distincts
Le CRA ne cible pas uniquement le fabricant. Les importateurs doivent vérifier que le produit est conforme avant de le mettre sur le marché européen. Les distributeurs portent une obligation de vigilance. Toute la chaîne d’approvisionnement est engagée, ce qui modifie les processus d’achat et de référencement.
Pour les éditeurs de logiciels, la contrainte est double. Ils doivent à la fois documenter la sécurité du produit livré et maintenir cette conformité via des mises à jour de sécurité pendant toute la durée de vie annoncée. Un produit abandonné sans correctifs expose son fabricant à des sanctions.
Conformité cybersécurité : articuler CRA, NIS2 et RGPD sans redondance
Les organisations soumises à plusieurs cadres réglementaires font face à un risque de duplication des efforts. Les exigences du RGPD sur la protection des données personnelles, celles de NIS2 sur la gestion des risques organisationnels et celles du CRA sur la conformité produit se chevauchent partiellement.
La gestion des risques cyber constitue le dénominateur commun de ces trois textes. Une évaluation des risques bien structurée alimente simultanément la conformité RGPD (analyse d’impact), NIS2 (mesures de sécurité proportionnées) et CRA (documentation technique produit).
En revanche, les preuves attendues diffèrent. Le RGPD demande un registre des traitements et des analyses d’impact. NIS2 exige des journaux de sécurité et des procédures de notification d’incident. Le CRA impose une documentation technique accessible aux autorités de surveillance du marché.
Rationaliser les processus de conformité
Construire un référentiel interne unique qui cartographie les exigences croisées permet d’éviter les doublons. Chaque mesure de sécurité est rattachée aux textes qu’elle satisfait. Un contrôle d’accès correctement documenté répond à la fois au RGPD, à NIS2 et au CRA, à condition que la preuve soit formatée selon les attentes de chaque régulateur.
Les systèmes de gestion de la conformité qui centralisent les preuves dans un référentiel partagé prennent ici tout leur sens. Sans cette centralisation, les équipes multiplient les audits internes sur les mêmes périmètres avec des formats différents.
La date du 11 septembre 2026 reste le premier jalon concret. Les organisations qui n’ont pas encore cartographié leurs produits à éléments numériques ni formalisé leur processus de déclaration d’incident disposent d’un délai serré. La conformité réglementaire en cybersécurité se joue désormais sur la capacité à produire des preuves, pas sur l’intention de se conformer.
