La question qui se cache sous toutes les autres questions sur le règlement sur la cyberrésilience n'est pas comment se conformer. C'est qui contrôle. L'article 64 fixe des amendes pouvant atteindre 15 millions d'EUR ou 2,5 % du chiffre d'affaires, et le chiffre est cité partout, mais le règlement ne donne pas à la Commission un bras d'exécution unique. L'article 52, paragraphe 2, impose à chaque État membre de désigner une ou plusieurs autorités de surveillance du marché, et ce sont ces autorités qui, au titre des règles générales de surveillance du marché du règlement (UE) 2019/1020, demandent votre documentation technique, testent votre produit, ordonnent un rappel ou infligent l'amende.
« Qui applique le CRA » a donc 27 réponses, et l'état honnête de ces réponses le jour où la première obligation s'est appliquée est le sujet de cet article.
Où les réponses sont publiées
Les désignations sont enregistrées auprès de la Commission et publiées dans le Single Market Compliance Space, la base de données qui recense les autorités de surveillance du marché pour toutes les autres législations produits, des jouets aux équipements sous pression. Elle se filtre par règlement. La page de la Commission sur le CRA pour les États membres y renvoie et nulle part ailleurs, donc c'est le registre.
Il y a deux registres, parce que le règlement crée deux rôles :
- Autorité de surveillance du marché, article 52 : celle qui applique. Elle contrôle les produits sur le marché, traite les plaintes, inflige les sanctions.
- Autorité notifiante, article 36 : l'organisme qui évalue et surveille les organismes d'évaluation de la conformité (les organismes notifiés) dont les produits importants et critiques auront besoin. Elle n'applique pas, mais c'est le premier engagement institutionnel d'un État envers le règlement.
Nous avons lu les deux le 11 septembre 2026, le jour où l'article 14 s'est appliqué. Voici ce qu'ils contenaient.
Le registre, État par État
| État membre | Autorité de surveillance du marché (article 52) | Autorité notifiante (article 36) |
|---|---|---|
| Autriche | non enregistrée | non enregistrée |
| Belgique | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarie | non enregistrée | non enregistrée |
| Croatie | non enregistrée | Information Systems Security Bureau |
| Chypre | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tchéquie | non enregistrée | non enregistrée |
| Danemark | non enregistrée | non enregistrée |
| Estonie | non enregistrée | Consumer Protection and Technical Regulatory Authority |
| Finlande | Finnish Transport and Communications Agency (Traficom) | non enregistrée |
| France | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Allemagne | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Grèce | non enregistrée | non enregistrée |
| Hongrie | non enregistrée | Supervisory Authority for Regulatory Affairs |
| Irlande | non enregistrée | non enregistrée |
| Italie | non enregistrée | non enregistrée |
| Lettonie | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | non enregistrée |
| Lituanie | non enregistrée | Ministry of National Defence of the Republic of Lithuania |
| Luxembourg | non enregistrée | non enregistrée |
| Malte | non enregistrée | Malta Digital Innovation Authority |
| Pays-Bas | non enregistrée | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Pologne | non enregistrée | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | non enregistrée | non enregistrée |
| Roumanie | non enregistrée | non enregistrée |
| Slovaquie | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slovénie | non enregistrée | non enregistrée |
| Espagne | non enregistrée | non enregistrée |
| Suède | non enregistrée | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Les noms sont reproduits tels qu'enregistrés, dans la langue et la forme choisies par chaque État. « Non enregistrée » signifie que la base de données n'a renvoyé aucune autorité pour cet État sous le filtre CRA à la date indiquée ; cela ne signifie pas que l'État n'a pas de plan, seulement qu'il ne l'a pas communiqué à la Commission.
Ce que dit le tableau
Sept États sur 27 ont enregistré une autorité d'application. Belgique, Chypre, Finlande, France, Allemagne, Lettonie et Slovaquie. Vingt ne l'ont pas fait.
Treize ont enregistré une autorité notifiante. Quatorze ne l'ont pas fait. Les deux listes se recoupent sans se confondre : l'Estonie, la Croatie, la Hongrie, la Lituanie, Malte, les Pays-Bas, la Pologne et la Suède ont nommé qui supervisera les organismes d'évaluation de la conformité mais pas qui applique ; la Finlande et la Lettonie ont fait l'inverse.
Douze États n'ont enregistré ni l'une ni l'autre. Autriche, Bulgarie, Tchéquie, Danemark, Grèce, Irlande, Italie, Luxembourg, Portugal, Roumanie, Slovénie et Espagne. Un fabricant dont l'établissement principal se trouve dans l'un d'eux n'a, depuis que l'obligation de notification s'applique, aucune autorité enregistrée pour le règlement auquel il est désormais soumis.
Les États qui ont avancé ont choisi des organismes de natures différentes. L'Allemagne a confié la tâche à son office fédéral de la sécurité de l'information, qui exploite aussi le CSIRT national et tient le rôle notifiant. La France a scindé : l'agence des fréquences pour la surveillance du marché, l'agence nationale de la sécurité des systèmes d'information pour la notification. La Belgique et la Finlande ont pris leurs régulateurs des télécommunications. La Lettonie a pris son centre de protection des consommateurs. Chypre et la Slovaquie ont pris leurs autorités de sécurité nationale ou de sécurité numérique. Il n'y a pas de modèle unique, et une entreprise présente sur plusieurs marchés aura affaire à des administrations de cultures très différentes.
Ce que cela signifie si vous êtes petit
La crainte dans chaque FAQ communautaire sur le CRA est celle de l'application : si je fais une erreur, aurai-je des ennuis, et de la part de qui. Le registre permet de dire quelque chose de concret plutôt que de rassurant.
L'application est nationale et, dans la plupart des États, pas encore pourvue. L'application complète commence le 11 décembre 2027, et la surveillance du marché des exigences de l'annexe I ne peut pas commencer avant que ces exigences s'appliquent. L'obligation de notification de l'article 14 est en vigueur maintenant, mais un État sans autorité enregistrée n'a aujourd'hui personne en position d'agir sur une notification manquée. C'est une description du présent, pas une prédiction : la Commission attend que les désignations se complètent avant décembre 2027, et les vingt lacunes se combleront.
Le registre est l'endroit où une sanction dans un État devient visible dans les autres. L'article 64, paragraphe 6, impose à une autorité qui inflige une amende d'en informer les autorités de surveillance du marché de tous les autres États membres par le système d'information de l'article 34 du règlement (UE) 2019/1020. Une fois le registre complet, c'est le canal.
La taille est un facteur du montant, de par la loi. L'article 64, paragraphe 5, point c), impose à l'autorité qui fixe une amende de tenir dûment compte de la taille de l'opérateur, « en particulier en ce qui concerne les microentreprises et les petites et moyennes entreprises, y compris les jeunes pousses ». C'est dans le dispositif, et cela lie chaque autorité du tableau ci-dessus et chacune qui reste à ajouter. Nous avons écrit les paliers et les dispositions pour les petits fabricants en entier.
Votre CSIRT n'est pas votre autorité d'application. La notification de l'article 14 va au CSIRT désigné comme coordinateur et à l'ENISA ; le CSIRT est là pour coordonner une réponse, pas pour vous surveiller. Les autorités de surveillance du marché sont un autre ensemble d'organismes, et dans la plupart des États jusqu'ici une autre administration. Le CSIRT de chaque État est ici.
Quoi en faire
Rien ne change quant aux obligations. Ce qui change, c'est ce que vous pouvez écrire dans votre propre dossier : à quelle autorité vous auriez affaire, si votre État en a nommé une, et la date de votre vérification s'il ne l'a pas fait. Une détermination du champ d'application et une procédure d'incident qui nomment l'autorité, ou consignent qu'aucune n'est encore enregistrée, se défendent mieux que celles qui laissent la question ouverte.
Nous relirons le registre et mettrons le tableau à jour. La date en tête de cet article est celle à laquelle le tableau a été lu, et le registre lui-même est public et filtrable, de sorte que vous pouvez le vérifier à la source plutôt que d'adopter notre lecture.
Sources
- Règlement (UE) 2024/2847, articles 36, 52, 64 et 71, paragraphe 2.
- Règlement (UE) 2019/1020 sur la surveillance du marché et la conformité des produits, article 34.
- Le Single Market Compliance Space de la Commission, autorités de surveillance du marché filtrées sur le règlement 2024/2847 (identifiant de législation 9021) et autorités notifiantes filtrées sur le même (identifiant 167953), tous deux lus le 11 septembre 2026.
- La page de la Commission « Cyber Resilience Act, Member States », mise à jour le 31 juillet 2026, qui renvoie aux deux registres.
Ceci n'est pas un avis juridique. Le registre est public et filtrable ; si votre État apparaît ici comme non enregistré et que vous savez le contraire, c'est au registre que la correction doit aller, et nous la reprendrons à la prochaine lecture.