Repères · OpenSource Solutions
Cyber Resilience Act : êtes-vous fabricant ?
Depuis le 11 septembre 2026, tout fabricant de produit numérique doit signaler sous 24 heures une faille activement exploitée. Le mot « fabricant » vise bien plus de monde qu'on ne croit, et l'obligation vaut pour le parc déjà installé.
Mis à jour le Mercredi novembre 11, 2026 23:09:19 CET · sources datées en bas de page
Cyber Resilience Act : vrai ou faux
Faux
« Le CRA, c'est pour 2027 »
L'application complète est prévue en décembre 2027. Mais l'obligation de signalement s'applique depuis le 11 septembre 2026 : alerte sous 24 heures, notification sous 72 heures, rapport final ensuite.Faux
« Seuls les gros éditeurs sont concernés »
Vendre un plugin, un module, une image Docker ou un boîtier sous sa marque suffit à être fabricant. Ni la taille du produit ni celle de l'entreprise n'entrent en compte.Vrai, mais
« Installer et maintenir un CMS chez un client, ce n'est pas fabriquer »
C'est une prestation, pas un produit mis sur le marché. Mais les prestataires de services managés peuvent relever de NIS2, avec ses propres obligations.
Le test en trois questions
| Question | Si oui |
|---|---|
| Fournissez-vous un produit numérique sous votre nom ou votre marque ? | Première condition remplie |
| Est-ce dans le cadre d'une activité commerciale, même gratuite mais monétisée par le support ou une version pro ? | Avec la première : vous êtes fabricant |
| Modifiez-vous substantiellement un produit existant avant de le fournir ? | Vous êtes fabricant du résultat, même sans votre marque |
Le minimum si vous êtes fabricant
- Un canal de signalement public : une adresse de sécurité qui existe vraiment et une politique de divulgation coordonnée.
- Qui décide, à toute heure : 24 heures calendaires, week-ends compris.
- L'inventaire de vos dépendances : sans lui, vous ne savez pas si la faille du jour vous concerne.
- De quoi voir une exploitation en cours : veille des vulnérabilités, journaux et supervision.
Ce que cette fiche ne règle pas
- Elle ne remplace pas une analyse de votre cas. Les orientations de la Commission ne sont pas contraignantes ; seule la Cour de justice tranche.
- Les sanctions sont lourdes, quelle que soit la taille : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial pour un manquement au signalement.
Ce que nous faisons
Un avis en une heure
Fabricant, distributeur ou prestataire : on tranche votre cas. Voir la conformité CRA.La veille, opérée
Vulnérabilités suivies chaque jour face à votre inventaire, journaux et supervision. Voir la supervision.Tiki maintenu et conforme
Audits, correctifs, sauvegardes validées pour vos Tiki. Voir Tiki et le CRA.Sources
- Règlement (UE) 2024/2847, Cyber Resilience Act.
- Commission européenne, orientations pour l'application du CRA, C(2026) 5252, 27 juillet 2026.
- OpenSource Solutions, Cybersécurité des produits : la première obligation européenne s'applique dès septembre.
Êtes-vous fabricant ?
La question se règle en une conversation.