Cyber Resilience Act : ce qui change pour vos objets connectés dès le 11 septembre 2026
Ce mardi matin, dans son atelier de réparation à Nantes, Julien Marchand, 41 ans, technicien en électronique, déballe une caméra de surveillance rapportée par un client. « Elle n’a pas reçu la moindre mise à jour depuis trois ans, souffle-t-il. Dans dix mois, ce genre de produit n’aura plus le droit d’exister tel quel sur le marché européen. »
Une révolution silencieuse s’apprête à bousculer nos étagères connectées.
Sommaire de la page
Ces objets du quotidien que vous ne pourrez plus acheter sans garantie cyber
Enceintes intelligentes, montres connectées, caméras IP, thermostats pilotés à distance, jouets communicants, routeurs domestiques : tous entrent dans le périmètre du Cyber Resilience Act, ce règlement européen entré en vigueur le 10 décembre 2024 et dont les premières obligations concrètes tomberont le 11 septembre 2026.
Un fabricant ne pourra plus vendre un objet connecté sans garantir un socle minimal de cybersécurité tout au long de sa durée de vie.
« Nous voyons passer des produits vendus 30 euros avec des mots de passe par défaut identiques sur toute la série, déplore Julien. Ce type d’article va disparaître, ou alors il faudra que le fabricant assume les sanctions. »
Amende potentielle : jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
Pourquoi l’Europe force la main aux fabricants maintenant
L’explosion des incidents liés aux objets connectés a atteint un seuil intenable. Fuites massives, caméras détournées, assistants vocaux piratés : les scandales s’enchaînent.
On l’a encore vu récemment avec ces failles critiques exposant les mots de passe de millions d’utilisateurs.
« L’écosystème s’est développé sans garde-fou pendant quinze ans, observe Élodie Vasseur, juriste spécialisée en droit du numérique à Rennes. Le CRA change la logique : la sécurité devient une obligation légale, pas un argument marketing. »
La Commission européenne a d’ailleurs publié fin juillet 2026 une première guidance pratique pour aider les entreprises à se mettre en ordre de bataille. Un signal clair : Bruxelles ne compte pas assouplir le calendrier.
Les 3 obligations que les vendeurs devront respecter sous vos yeux
À partir du 11 septembre 2026, trois obligations s’imposeront aux fabricants : alerte initiale sous 24 heures en cas de vulnérabilité activement exploitée, notification complète sous 72 heures auprès des autorités européennes, et rapport final sous 14 jours après déploiement du correctif.
En France, c’est le CERT-FR qui centralisera les signalements avant de les relayer vers le système européen, confirme la Direction générale des Entreprises. Les obligations principales entreront pleinement en application le 11 décembre 2027.
Pour le consommateur, un changement visible : un marquage CE renforcé, une durée de support annoncée noir sur blanc, et une transparence inédite sur les correctifs.
Sylvie Renoir, 52 ans, gestionnaire dans une PME lyonnaise, a déjà commencé à trier : « J’ai deux caméras à la maison, achetées en 2021. Le fabricant ne répond plus. Je sais maintenant ce que ça vaut. »
Ce sentiment d’abandon, partagé par des millions de foyers européens, est ce que Bruxelles entend faire disparaître.
Reste une question que Julien pose à chaque client qui pousse la porte de son atelier : combien d’objets, chez vous, sont encore silencieusement connectés à un serveur que plus personne ne surveille ?
