Le Cyber Resilience Act (CRA) ne doit pas être perçu comme une nouvelle couche de conformité européenne. Il traduit un changement beaucoup plus profond : la confiance devient une condition de compétitivité, de continuité d’activité et, demain, d’accès au marché.

Pour les industriels et éditeurs de produits logiciels, le règlement impose une sécurité dès la conception (secure by design) et une gestion continue des vulnérabilités tout au long du cycle de vie des produits. La majorité de ses dispositions sera applicable à partir du 11 décembre 2027. Mais le véritable compte à rebours commence dès le 11 septembre 2026, avec l’entrée en vigueur des obligations de signalement des vulnérabilités activement exploitées et des incidents de sécurité graves.

Avec une alerte attendue sous 24 heures, suivie d’une notification détaillée sous 72 heures, le CRA rend obsolète une approche encore trop répandue : traiter les vulnérabilités comme une liste technique à résorber lorsque les contraintes opérationnelles le permettent. Désormais, la réactivité face à une faille deviendra un indicateur de maturité et de crédibilité pour toute la chaîne numérique.

Cette évolution réglementaire intervient au moment où l’intelligence artificielle transforme la cybersécurité à une vitesse inédite. Les modèles d’IA de pointe, tels que Mythos, Claude ou MDash de Microsoft, permettent d’accélérer l’analyse de composants logiciels complexes et mettre en évidence des failles qui auraient auparavant nécessité des semaines de travail.

C’est à la fois une opportunité et un avertissement. Les organisations disposeront de davantage d’informations sur leurs faiblesses, mais devront également évaluer, hiérarchiser, corriger et documenter un volume de vulnérabilités bien supérieur. Dans le même temps, les attaquants peuvent exploiter ces technologies pour accélérer la recherche de failles, améliorer leurs campagnes d’hameçonnage et industrialiser leurs opérations.

Le sujet n’est donc plus seulement de détecter une vulnérabilité. Il est de savoir à quelle vitesse une entreprise peut la transformer en décision, puis en action.

La menace est déjà tangible, l’ANSSI ayant traité 3586 événements de sécurité en 2025, selon le Panorama de la cybermenace 2025, principalement centrée autour de l’éducation et la recherche (34 %), les ministères et les collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). Les ransomware, l’exploitation de vulnérabilités connues et les attaques visant les chaînes d’approvisionnement restent des risques concrets pour les entreprises, les collectivités et les opérateurs essentiels.

Dans ce contexte, le CRA doit mobiliser les directions générales, et pas seulement les équipes IT ou conformité. Une interruption de service, une fuite de données ou l’indisponibilité d’un produit ne sont jamais de simples incidents techniques : ce sont des risques de chiffre d’affaires, de réputation, de relation client et de responsabilité vis-à-vis des partenaires.

La sécurité des produits numériques devient ainsi un enjeu de gouvernance de la chaîne de valeur. Les entreprises doivent pouvoir connaître les composants logiciels qu’elles développent ou intègrent, identifier leurs dépendances critiques et évaluer leur exposition réelle lorsqu’une vulnérabilité est révélée. La conformité documentaire, à elle seule, ne protégera ni l’activité ni la confiance des clients.

La prévention demeure indispensable, mais elle ne pourra jamais empêcher toutes les intrusions. La véritable différence se jouera dans la capacité à maintenir les fonctions essentielles, à répondre aux exigences de notification et à restaurer les activités sans réintroduire l’attaque.

Cela suppose de conserver l’accès aux données, aux journaux et aux configurations nécessaires à l’investigation, y compris pendant un incident majeur. Cela implique aussi de protéger, d’isoler et de tester les sauvegardes. Restaurer un environnement à partir de données compromises, d’identifiants exposés ou de systèmes contenant une porte dérobée ne constitue pas une reprise : c’est préparer la prochaine compromission.

La résilience doit donc devenir une capacité mesurable et régulièrement éprouvée : quels services doivent être redémarrés en premier ? Combien de temps faut-il réellement pour remettre en route une application critique ? Les données restaurées sont-elles fiables ? Les équipes sécurité, IT et opérations sont-elles capables de travailler selon des procédures partagées ?

Le CRA et l’IA créent une nouvelle réalité : davantage de vulnérabilités seront découvertes, les attaques gagneront en vitesse et les délais réglementaires se resserreront.

Les entreprises les plus solides ne seront pas celles qui promettent le risque zéro. Ce seront celles qui auront fait de la cyber résilience une capacité de pilotage, au même titre que la qualité, la continuité d’activité ou la confiance client.

*Guillaume Gamelin est Directeur Général France chez Commvault

Photo : © DR