Le chapitre du règlement (UE) 2025/327 consacré à l’utilisation secondaire ne sera applicable que le 26 mars 2029. Il serait imprudent d’en déduire qu’il reste trois ans pour s’en occuper : l’inventaire des jeux de données, leur description normalisée, la protection des actifs immatériels qu’elles contiennent et la réécriture des contrats qui en organisent l’usage se comptent en années et non en mois.

Lire l’article complet : calendrier, voies d’accès, responsabilités, sanctions et ce qu’il faut engager maintenant

Publié à l’occasion de son intervention aux Rencontres de la cybersécurité de Montpellier (table ronde « Cyber Hard CRA », 13 octobre 2026).

Le règlement (UE) 2024/2847 du 23 octobre 2024, dit « Cyber Resilience Act » (CRA), transpose au numérique une logique que chacun connaît : celle du marquage CE. De même qu’un jouet dangereux ne peut être vendu dans l’Union européenne, un produit numérique mal sécurisé ne pourra bientôt plus y être mis sur le marché. Publié au Journal officiel de l’Union européenne le 20 novembre 2024 et entré en vigueur le 10 décembre 2024, le règlement est directement applicable dans tous les États membres, sans loi de transposition. Sa première obligation opérationnelle est entrée en application le 11 septembre 2026 : le texte n’est plus une perspective, c’est du droit positif.

Qui est concerné ?

Le CRA s’applique aux « produits comportant des éléments numériques » mis à disposition sur le marché de l’Union dans le cadre d’une activité commerciale : matériels connectés (objets connectés, caméras, équipements industriels…) comme logiciels (applications, y compris mobiles, firmwares, logiciels installés chez le client). Il fait peser des obligations sur trois catégories d’opérateurs économiques — les fabricants, qui portent l’essentiel du dispositif, les importateurs et les distributeurs — sans aucun seuil de taille : l’éditeur de logiciel de dix salariés est fabricant au même titre qu’un grand groupe. Précision importante : celui qui commercialise sous sa propre marque un produit développé par un tiers est traité comme fabricant.

Restent en dehors du champ, pour l’essentiel : les services en ligne accessibles par simple navigateur — qui relèvent d’autres textes, notamment la directive NIS 2 — le guide d’application publié par la Commission européenne en juillet 2026 l’a confirmé ; le logiciel libre développé en dehors de toute activité commerciale ; et les produits déjà couverts par des réglementations sectorielles (dispositifs médicaux, automobile, aviation).

Ce qui s’applique déjà : le devoir d’alerte (art. 14)

Depuis le 11 septembre 2026 (art. 71, § 2), tout fabricant qui a connaissance d’une vulnérabilité activement exploitée contenue dans l’un de ses produits, ou d’un incident grave ayant un impact sur leur sécurité, doit le notifier simultanément au CSIRT désigné comme coordinateur et à l’ENISA, via la plateforme européenne de signalement unique ouverte le même jour, selon un séquencement strict : une alerte précoce au plus tard 24 heures après en avoir eu connaissance ; une notification détaillée sous 72 heures ; puis un rapport final — au plus tard 14 jours après la mise à disposition d’une mesure corrective s’agissant d’une vulnérabilité, dans le mois suivant la notification s’agissant d’un incident (art. 14, § 2 et 4). Le fabricant doit en outre informer les utilisateurs concernés et, le cas échéant, leur indiquer les mesures correctives à déployer (art. 14, § 8).

Deux précisions que la pratique néglige souvent. D’une part, ce devoir d’alerte s’applique à tous les produits relevant du règlement, y compris ceux mis sur le marché avant le 11 décembre 2027 (art. 69, § 3) : il concerne donc les produits d’ores et déjà commercialisés. D’autre part, le seuil de déclenchement est précis : la « vulnérabilité activement exploitée » est une notion définie par le règlement — il ne s’agit pas de notifier chaque faille découverte, mais celles dont l’exploitation malveillante est établie par des éléments fiables.

Ce qui s’appliquera au 11 décembre 2027 : la conformité des produits

À compter du 11 décembre 2027, tout produit comportant des éléments numériques mis sur le marché de l’Union devra satisfaire aux exigences essentielles de cybersécurité de l’annexe I et porter le marquage CE (art. 13 et 71, § 2). Concrètement, le fabricant devra notamment : concevoir et développer le produit sur la base d’une analyse des risques de cybersécurité documentée (art. 13, § 2 et 3) ; le livrer sans vulnérabilité connue exploitable et sécurisé par défaut ; établir une documentation technique incluant l’inventaire de ses composants logiciels (SBOM) ; exercer une diligence particulière sur les composants tiers intégrés, y compris open source (art. 13, § 5) ; et assurer la gestion des vulnérabilités pendant une période de support d’au moins cinq ans — sauf durée d’utilisation attendue inférieure — avec des correctifs de sécurité gratuits et une date de fin de support clairement indiquée dès l’achat (art. 13, § 8 et 19, et annexe I, partie II).

La démonstration de conformité est graduée : auto-évaluation pour la grande majorité des produits ; procédures renforcées, appuyées sur les normes harmonisées en cours d’élaboration ou l’intervention d’un organisme notifié, pour les produits « importants » (annexe III) et « critiques » (annexe IV). Les produits mis sur le marché avant le 11 décembre 2027 ne sont pas soumis rétroactivement à ces exigences, sauf modification substantielle postérieure (art. 69, § 2).

Sanctions et surveillance : un dispositif à l’échelle du RGPD

La violation des exigences essentielles et des obligations des articles 13 et 14 expose à des amendes administratives pouvant atteindre 15 000 000 € ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; les autres manquements sont plafonnés à 10 000 000 € ou 2 %, et la fourniture d’informations trompeuses aux autorités à 5 000 000 € ou 1 % (art. 64, § 2 à 4). S’y ajoutent — et c’est souvent le risque le plus concret — les pouvoirs de retrait, de rappel ou d’interdiction du produit. Le texte ménage toutefois les plus petites structures : les micro et petites entreprises n’encourent pas d’amende pour un simple dépassement du délai d’alerte précoce de 24 heures (art. 64, § 10).

En France, la gouvernance présentée par le ministère de l’Économie le 23 septembre 2026 confie la surveillance du marché à l’ANFR, aux côtés de l’ANSSI pour les organismes d’évaluation et de la DGE pour l’accompagnement des entreprises ; le cadre national des sanctions reste à finaliser.

Et si vous n’êtes qu’acheteur ?

Le CRA ne vous impose alors aucune obligation — il travaille pour vous : correctifs gratuits pendant la période de support, durée de support connue avant l’achat, information en cas de vulnérabilité exploitée. Ces garanties peuvent être relayées dès aujourd’hui dans vos contrats d’achat (durée de support, mises à jour, notification des failles), et s’articuleront avec la directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux, adoptée le même jour que le CRA, qui appréhende expressément les logiciels — sa transposition en droit français est attendue d’ici la fin de l’année 2026.

À retenir

Le devoir d’alerte des fabricants (24 h / 72 h) s’applique depuis le 11 septembre 2026, y compris aux produits déjà commercialisés. La conformité complète — exigences essentielles et marquage CE — s’imposera à toute mise sur le marché à compter du 11 décembre 2027. Entre ces deux dates : quatorze mois pour cartographier ses produits, organiser son processus de notification, documenter sa conformité — ou, côté acheteur, pour faire du CRA un critère d’achat et une clause de contrat.

Et vous : êtes-vous fabricant, importateur, distributeur ou acheteur au sens du CRA ? La réponse n’est pas toujours évidente — et elle commande tout le reste. Le cabinet accompagne les entreprises dans la qualification de leurs produits et de leur rôle, la mise en conformité de leurs processus, la rédaction de leurs contrats et la gestion des notifications. Parlons-en.

Sources : règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 (JOUE L, 20 nov. 2024), not. art. 3, 13, 14, 64, 69 et 71 ; directive (UE) 2024/2853 du 23 octobre 2024 ; ENISA, lancement de la plateforme de signalement unique, 11 sept. 2026 ; ministère de l’Économie, mise en œuvre du CRA en France, 23 sept. 2026 ; Commission européenne, guide d’application du CRA, juill. 2026.

Le présent article a une vocation d’information générale et ne constitue pas une consultation juridique.

Le 26 mars 2026, l’Union européenne a adopté une directive relative à la lutte contre la corruption. Alors, qu’en est-il réellement ?

Concrètement, cette directive établit des définitions communes des principales infractions : la corruption, le détournement, l’entrave à la justice, le trafic d’influence, l’exercice illégal de fonctions, l’enrichissement illicite lié à la corruption, la dissimulation et la corruption dans le secteur privé. Elle harmonise également les règles relatives aux sanctions.

C’est, à mes yeux, essentiel : sans langage commun ni socle partagé, il est très difficile de mener une lutte crédible et coordonnée à l’échelle des 27 États membres.

🗳️ Adoptée par 581 voix pour, 21 voix contre et 42 abstentions, cette directive envoie à mes yeux un signal politique fort. L’Union pose un cadre commun pour la définition des infractions et les capacités d’enquête en harmonisant les standards, elle jette les bases d’une réponse collective. Un tournant symbolique : on cesse de traiter la corruption comme une question purement nationale pour l’aborder comme un enjeu européen.

⚠️ Mais on ne peut pas ignorer que l’ambition initiale de la directive a été amoindrie par certains compromis :

• suppression de l’infraction autonome d’abus de fonction, qui aurait pourtant eu une forte portée pratique et dissuasive ;
• peines minimales revues à la baisse : 3 à 5 ans au lieu des 6 à 7 réclamés ;
• amendes pour les entreprises plafonnées à 3 ou 5 % du chiffre d’affaires, et non 10 % ;
• les golden visas ne sont pas interdits ;
• le coordinateur anticorruption européen existera, mais sans pouvoir réellement contraignant.

Face à ces renoncements, un risque clair : celui que le texte demeure davantage déclaratif qu’opérationnel. C’est l’opportunité manquée de faire de l’Union européenne un leader incontesté de la lutte anticorruption. On pouvait espérer un signal plus net, à la hauteur des scandales et des enjeux que nous connaissons.

✅ Pour autant, l’harmonisation des définitions dans 27 États membres constitue un pas en avant dans la bonne direction. Mais ce socle commun ne sera efficace qu’à travers sa transposition nationale, sa mise en œuvre concrète, la volonté politique des États et des mécanismes de suivi rigoureux. C’est là que tout se jouera : dans le passage du principe à la pratique.

Gardons à l’esprit que la régulation des affaires par la lutte anticorruption repose sur un droit appelé à s’améliorer en permanence pour s’adapter à son environnement. Cette directive n’est qu’une étape dans un processus plus long.

📅 Prochaine étape : les États membres disposent de 24 mois pour la transposer, sauf pour les dispositions relatives aux évaluations des risques et aux stratégies nationales, qui bénéficient d’un délai de 36 mois. Reste maintenant à transformer l’essai !

📄 Télécharger le carrousel de synthèse (PDF)

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, actuellement examiné au Sénat, marque un tournant stratégique pour la protection de notre tissu économique et institutionnel face aux menaces numériques.

📈 Entre 2022 et 2023, les attaques par rançon ont augmenté de 30 %. Plus inquiétant encore : 34 % de ces attaques ont visé des TPE/PME, 24 % les collectivités locales, et 10 % les établissements de santé. La menace est désormais systémique, touchant tous les secteurs.

🎯 Ce projet de loi vise à transposer trois directives européennes adoptées en 2022 :

• REC : renforce la résilience des entités critiques en élargissant le périmètre des secteurs concernés (énergie, transports, réseaux de chaleur, assainissement…),
• NIS 2 : impose des obligations de cybersécurité à plus de 15 000 entités et 1 500 collectivités en France,
• DORA : cible la résilience numérique des acteurs financiers.

Ces textes imposent des obligations nouvelles :

• ✅ Mise en place de plans de résilience,
• ✅ Déclaration obligatoire des incidents,
• ✅ Partage d’informations avec l’ANSSI,
• ✅ Sanctions administratives en cas de manquements (jusqu’à 2 % du CA ou 10 M€).

🎤 Comme le souligne Clara Chappaz, ministre déléguée à l’IA et au Numérique : « La question n’est plus de savoir si on sera attaqué, mais quand. »

💡 Ce changement de paradigme, du réflexe de protection à une approche de résilience, appelle à une mobilisation forte de toutes les parties prenantes : dirigeants, DSI, RSSI, collectivités, professions réglementées…

👉 Et vous, votre organisation est-elle prête à faire face à ces nouvelles exigences ?

🔵 9 décembre – Journée mondiale des Nations Unies contre la corruption. Un rappel puissant : la lutte contre la corruption est un enjeu global, indispensable à la confiance dans les affaires et à la performance durable.

Cette année, nous franchissons une étape clé avec la création de notre département Compliance au sein de notre pôle Conseil.

🎯 Une initiative portée par une conviction forte : l’intégrité, la transparence et la maîtrise des risques doivent être au cœur de l’accompagnement juridique.

📌 Notre objectif : permettre aux entreprises d’accélérer leurs projets numériques tout en maîtrisant leurs risques juridiques. Parce que l’innovation n’a de sens que si elle repose sur une conformité solide — et que l’un renforce l’autre.

📌 Notre approche : pragmatique, orientée performance, résolument tournée vers l’impact. Transformer la conformité en levier de confiance, de sécurité et de compétitivité, voilà notre engagement.

Pour nous, la Compliance est bien plus qu’une obligation :

• ✨ c’est un avantage stratégique,
• ✨ un vecteur de confiance,
• ✨ et un fondement de durabilité pour toutes les organisations.

La dernière évolution majeure du régime juridique de la convention judiciaire d’intérêt public (CJIP) ne relève pas d’un simple ajustement technique. Il s’agit, au contraire, d’une remise en cause fondamentale de son existence même.

Le 1^er avril 2026, l’Assemblée nationale a adopté, en première lecture, un amendement destiné à supprimer la procédure de CJIP, dans le cadre de l’examen du projet de loi relatif à la lutte contre les fraudes sociales et fiscales. À ce stade, la réforme doit encore poursuivre la navette parlementaire, notamment devant le Sénat et, le cas échéant, en commission mixte paritaire, avant de revêtir un caractère définitif.

L’amendement voté prévoit l’abrogation des articles 41-1-2, 41-1-3 et 180-2 du Code de procédure pénale. Il en résulterait la suppression totale des CJIP.

En tant que praticienne ayant vécu et appliqué les conséquences d’une CJIP et ayant pu observer ses effets réels au sein de l’entreprise, il m’a paru nécessaire de contribuer au débat public par une analyse sincère et équilibrée.

Un ensemble d’acteurs de la société civile, tels que l’association Sherpa, défend la suppression de la CJIP. Selon eux, il s’agit d’un outil laissant de côté les victimes de la corruption et des délits économiques, celles-ci ne pouvant s’opposer à la conclusion d’une CJIP et n’étant pas systématiquement informées ni associées à la négociation.

Inversement, Transparency International France s’élève contre cette suppression. L’association rappelle que jamais, depuis la création de cette procédure, les infractions à la probité commises par des personnes morales n’ont autant été poursuivies et sanctionnées en France.

La CJIP avait pour objectif principal d’éviter des poursuites pénales à l’encontre des personnes morales, en contrepartie du paiement d’une amende d’intérêt public pouvant atteindre jusqu’à 30 % du chiffre d’affaires, de la mise en place de mesures de conformité sous le contrôle de l’AFA, et, le cas échéant, d’une forme de réparation au bénéfice des victimes.

La CJIP est née de deux impératifs :

• Doter la France d’un instrument de justice négociée, capable de démontrer la crédibilité des autorités nationales dans la sanction de faits de corruption commis par des entreprises françaises, et limiter l’intervention extraterritoriale du Foreign Corrupt Practices Act américain.
• Pallier le constat dressé par l’OCDE, qui notait en 2012 qu’aucune personne morale n’avait été condamnée de façon définitive pour corruption.

Le Conseil d’État, dans un avis consultatif du 30 mars 2016, avait insisté sur la nécessité de sauvegarder le principe de proportionnalité, tout en estimant que la création d’une procédure transactionnelle était envisageable.

L’amendement adopté le 1^er avril 2026, par l’insertion d’un article 19 ter AD, prévoit l’abrogation sèche des articles 41-1-2, 41-1-3 et 180-2 du Code de procédure pénale. Cela entraînerait la suppression de la CJIP « probité/corruption », de la CJIP « fraude fiscale », de la CJIP environnementale, ainsi que de la passerelle procédurale.

Une telle suppression constituerait, selon moi, un net recul dans la lutte contre la corruption internationale. Elle viendrait affaiblir la position de la France sur la scène internationale, vis-à-vis tant de l’OCDE que dans le contexte de l’Union européenne.

Face à ce dilemme, une troisième voie doit être privilégiée : celle de la réforme raisonnée, plus que celle de la suppression pure et simple. La CJIP pourrait être améliorée pour donner effectivement une place aux victimes, introduire plus de transparence dans sa rédaction, et permettre à toutes les entités concernées d’accéder à sa négociation dans les situations complexes.

Il existe également un enjeu, trop peu évoqué dans le débat public, concernant les entreprises signataires dont les faits reprochés surviennent avant le rachat d’une société ou sous une direction antérieure. Ces circonstances illustrent la nécessité de ne pas faire peser sur l’entreprise actuelle une responsabilité démesurée, dès lors qu’elle démontre sa volonté de changement.

Réformer pour perfectionner cet outil serait un signe de maturité et de progrès ; sa suppression totale représenterait, selon moi, un regrettable retour en arrière pour la politique de compliance et la crédibilité française dans la lutte mondiale contre la corruption.