Cybersecurity Act 2 : ce que les fabricants CRA doivent suivre

Le Cybersecurity Act 2 (CSA2) n'est pas le règlement sur la cyberrésilience. Il s'agit d'une proposition distincte de la Commission, COM(2026) 11 final, publiée le 20 janvier 2026, qui abroge le règlement (UE) 2019/881 et introduit trois blocs opérationnels : un cadre européen révisé de certification de cybersécurité (titre III), un nouveau cadre horizontal de chaîne d'approvisionnement TIC assorti de pouvoirs de désignation des pays (titre IV) et un mandat renforcé pour l'ENISA (titre II). Trois mois après publication, le dossier en est à un examen précoce au Parlement et au Conseil, pas en trilogue.

Pourquoi un fabricant soumis au CRA devrait quand même lire ce texte. La certification au titre du cadre révisé est la voie que la Commission propose pour démontrer la conformité au CRA, à NIS2 et à d'autres actes de l'Union, dès lors qu'un schéma pertinent existe. Le cadre de chaîne d'approvisionnement recoupe les obligations de l'article 13 du CRA sur les composants tiers. Et l'article 100 du CSA2 interdit aux entités issues de pays tiers désignés d'agir comme organismes d'évaluation de la conformité, ce qui affecte directement les organismes notifiés que vous pouvez utiliser pour la conformité CRA.

Ce que le CSA2 propose réellement

La Commission articule la proposition autour de quatre objectifs. Trois sont des réformes d'instruments existants, un est nouveau.

Paysage des schémas : où en sont les quatre voies

Le CSA2 n'est qu'une partie du paysage européen de certification. Cette vue distingue les schémas déjà opérationnels ou en consultation du schéma de posture cyber, qui reste une proposition CSA2 et dépend encore de la négociation avec les États membres.

Le cadre de chaîne d'approvisionnement, étape par étape

C'est la partie politiquement la plus chargée de la proposition. Le mécanisme se déroule de manière séquentielle, chaque étape s'appuyant sur un article précis. Les numéros d'article ci-dessous renvoient à COM(2026) 11 final.

1. Évaluation des risques (Article 99). La Commission, ou au moins trois États membres, peuvent demander une évaluation coordonnée des risques d'une chaîne d'approvisionnement TIC. L'évaluation doit être finalisée dans un délai de six mois. Une procédure d'urgence est prévue lorsqu'une intervention immédiate est justifiée.
2. Désignation de pays (Article 100). Lorsqu'un pays tiers présente des « risques non techniques sérieux et structurels » pour les chaînes d'approvisionnement TIC, la Commission peut le désigner. Les entités établies dans un tel pays ou contrôlées par lui sont exclues de la fourniture de composants TIC pour les actifs TIC clés, des marchés publics afférents, des programmes de financement de l'UE et de l'exercice d'activités d'organisme d'évaluation de la conformité.
3. Mesures d'atténuation (Articles 101 à 103). La Commission peut, par acte d'exécution, exiger des entités appartenant aux secteurs hautement critiques l'application de mesures d'atténuation spécifiques, notamment l'interdiction d'utiliser des composants issus de fournisseurs à haut risque listés.
4. Identification des actifs TIC clés (Articles 102 et 103). La Commission identifie, par acte d'exécution, les actifs TIC qui comptent comme « clés » par secteur. L'annexe II prédéfinit déjà les actifs TIC clés pour les réseaux mobiles, fixes et satellitaires de communications électroniques.
5. Listes de fournisseurs à haut risque (Article 104). La Commission publie des listes de fournisseurs à haut risque, fondées sur l'évaluation de l'établissement, de la propriété et du contrôle, après consultation des fournisseurs concernés et des autorités compétentes. Les articles 105 à 107 prévoient une procédure d'exemption et un registre public des décisions d'exemption.

Sanctions : plafonds en pourcentage, pas de montant fixe en EUR

La structure des sanctions est l'un des points où les lectures du CSA2 dérapent souvent. L'article 115 fixe les niveaux maximaux de sanction pour les infractions au titre IV (cadre de chaîne d'approvisionnement). Le plafond est uniquement un pourcentage du chiffre d'affaires annuel mondial ; il n'existe pas de plafond fixe en EUR.

Le palier de 7 % est celui qui concerne le plus directement les opérateurs télécoms, puisqu'il couvre l'article 111 (l'interdiction propre aux télécoms d'installer ou d'intégrer des composants TIC issus de fournisseurs à haut risque).

Là où cela recoupe le CRA

Le CSA2 ne modifie pas le CRA. Il change toutefois trois choses autour de lui.

Diligence sur les composants au titre de l'article 13

L'article 13 du CRA exige déjà des fabricants une diligence raisonnable sur les composants tiers. Le CSA2 augmente le coût d'une erreur. Si votre produit intègre des composants d'un fournisseur ultérieurement désigné comme à haut risque, et si votre client opère dans un secteur couvert par les annexes I ou II de la directive (UE) 2022/2555 (NIS2), votre client peut se voir imposer par acte d'exécution le remplacement de ces composants. Cela cascade dans votre feuille de route. Pour la lecture pratique de la diligence sur les composants au titre du CRA, voir le guide de vérification de l'importateur.

Les organismes d'évaluation de la conformité ne peuvent pas relever de pays désignés

L'article 100(2) interdit aux entités issues de pays tiers désignés d'exercer une activité d'évaluation de la conformité. Si vous prévoyez de recourir à un organisme notifié dont la structure de propriété ou de contrôle pourrait le placer du mauvais côté d'une future décision de désignation, le choix de l'organisme notifié fait désormais partie de votre risque chaîne d'approvisionnement. Pour le choix du module pendant que les schémas adossés au CSA sont encore en cours de rédaction, voir le guide de décision de l'évaluation de la conformité.

Single Entry Point pour le signalement d'incidents

La proposition de la Commission charge l'ENISA de maintenir et d'étendre la plateforme unique de signalement existante (la plateforme mise en place au titre de l'article 16(1) du règlement (UE) 2024/2847) pour en faire un Single Entry Point qui consolide le signalement d'incidents au titre de NIS2, du CRA, de DORA et d'autres actes de l'Union. Il s'agit d'une extension d'un outil CRA existant, pas d'une invention propre au CSA2. Les fabricants qui conçoivent déjà leur flux de signalement CRA gagnent à le concevoir d'emblée comme indépendant du règlement applicable.

Ce qui reste ouvert, hors calendrier

Le CSA2 sera-t-il adopté avant la pleine application du CRA ?

La pleine application du CRA est fixée au 11 décembre 2027. Le CSA2 a été publié le 20 janvier 2026 selon la procédure législative ordinaire (2026/0011 (COD)). Trois mois après, le dossier en est au stade de la commission et des groupes de travail du Conseil. Le trilogue est encore à plusieurs mois. Une adoption avant la pleine application du CRA est possible mais non garantie, et l'analyse d'impact ne s'engage sur aucune date.