Le Cyber Resilience Act, règlement (UE) 2024/2847, prévoit des amendes administratives allant jusqu'à 15 000 000 EUR ou 2,5 % du chiffre d'affaires annuel mondial. Ce chiffre est souvent cité, et c'est le sommet de trois niveaux, pas un chiffre unique. Le niveau dont relève une infraction est écrit à l'article 64, et pour une entreprise qui met un produit sur le marché de l'UE, la différence entre les niveaux est l'essentiel de la réponse.

Deux dates comptent avant tout le reste : l'article 14 s'applique à partir du 11 septembre 2026, et le reste du règlement à partir du 11 décembre 2027. Le chapitre IV, le régime des organismes notifiés, s'applique depuis le 11 juin 2026. Tout cela est fixé à l'article 71(2).

Les trois niveaux

Jusqu'à 15 000 000 EUR, ou 2,5 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Article 64(2). Cela couvre le non-respect des exigences essentielles de cybersécurité de l'annexe I, et les obligations des articles 13 et 14. L'annexe I, ce sont les exigences de sécurité elles-mêmes et les exigences de gestion des vulnérabilités ; l'article 13, les obligations du fabricant ; l'article 14, l'obligation de notification qui démarre le 11 septembre 2026.

Jusqu'à 10 000 000 EUR, ou 2 %. Article 64(3). Une liste d'articles précis : 18 à 23, 28, 30(1) à (4), 31(1) à (4), 32(1), (2) et (3), 33(5), et 39, 41, 47, 49 et 53. Les articles 18 à 23 sont ceux qui couvrent tous les acteurs de la chaîne qui ne sont pas le fabricant : les mandataires (18), les importateurs (19), les distributeurs (20), les cas où les obligations d'un fabricant sont transférées à un importateur ou à un distributeur (21 et 22), et l'identification des opérateurs économiques (23). C'est le niveau dont relève une entreprise qui revend le produit d'un autre.

Jusqu'à 5 000 000 EUR, ou 1 %. Article 64(4). Fournir des informations inexactes, incomplètes ou trompeuses à un organisme notifié ou à une autorité de surveillance du marché en réponse à une demande.

Le « montant le plus élevé » ne mord qu'au-delà d'une certaine taille. 2,5 % du chiffre d'affaires dépasse 15 millions d'EUR à partir d'environ 600 millions d'EUR de revenus, donc pour tout ce qui est plus petit, le plafond en espèces est celui qui compte, et c'est un plafond, pas un tarif.

Qui vous sanctionne réellement

Pas la Commission. L'article 52(2) impose à chaque État membre de désigner une ou plusieurs autorités de surveillance du marché, et lui laisse le choix d'utiliser une autorité existante ou d'en créer une. L'application est nationale, en vertu du règlement (UE) 2019/1020, le règlement général sur la surveillance du marché.

Une conséquence vaut d'être connue. L'article 64(6) impose à une autorité qui inflige une amende d'en informer les autorités de surveillance du marché de tous les autres États membres, via le système d'information de l'article 34 du règlement (UE) 2019/1020. Une sanction dans un pays est visible des autres.

Où le règlement nomme les petits fabricants

Trois fois, et les deux valent d'être connues parce qu'elles jouent en sens opposés.

L'article 64(5)(c) fait de la taille un facteur de l'amende. Pour fixer le montant, il faut tenir dûment compte de la taille de l'opérateur économique, en particulier s'agissant des microentreprises et des petites et moyennes entreprises, y compris les start-ups, ainsi que de sa part de marché. C'est dans le dispositif, pas dans un considérant. Cela n'exempte personne, et les niveaux ci-dessus s'appliquent toujours, mais l'autorité qui fixe le montant est tenue de prendre en compte ce que vous êtes.

L'article 33(5) vous permet de déposer moins de paperasse. Les microentreprises et les petites entreprises peuvent fournir tous les éléments de la documentation technique de l'annexe VII sous un format simplifié. La Commission précise ce format par acte d'exécution, et les organismes notifiés sont tenus de l'accepter. L'obligation pèse là sur l'organisme notifié, pas sur vous.

L'article 64, paragraphe 10, point a), retire le délai de 24 heures du barème des amendes pour les plus petits. Par dérogation aux paliers d'amendes, les amendes administratives ne s'appliquent pas aux fabricants qui sont des microentreprises ou des petites entreprises pour un manquement au délai d'alerte précoce de l'article 14, paragraphe 2, point a), ou paragraphe 4, point a). L'obligation subsiste et les autres mesures correctives restent ; ce pour quoi un petit fabricant ne peut pas être condamné à une amende, c'est le retard du premier message de 24 heures. La notification de 72 heures et le rapport final ne sont pas couverts par la dérogation. (Le même paragraphe, point b), exempte entièrement les gestionnaires de logiciels libres des amendes.)

L'article 33 impose aussi aux États membres de mener des actions de sensibilisation et de formation pour les petits fabricants, d'ouvrir un canal dédié à leurs questions, et de soutenir les essais et l'évaluation de la conformité. Savoir si votre État membre a déjà fait quoi que ce soit de tout cela est une question légitime à lui poser.

Ce que rien de tout cela ne change

L'horloge de notification. L'article 14 exige une alerte précoce dans les 24 heures suivant la prise de connaissance d'une vulnérabilité activement exploitée, et il relève du niveau d'amende le plus élevé. L'horloge court à partir de la prise de connaissance, qui est un fait concernant votre organisation plutôt que la vulnérabilité, si bien que l'enregistrement du moment où vous en avez pris connaissance est l'enregistrement qui compte. Nous avons écrit les délais noir sur blanc, avec les deux destinataires et les trois échéances.

La notification va à un CSIRT désigné comme coordinateur pour l'État membre de votre établissement principal, et à l'ENISA. Nous publions le CSIRT national de chacun des 27 États membres, lu depuis l'API des membres du réseau des CSIRT lui-même, avec la réserve que les désignations de coordinateur au titre de l'article 12 de NIS2 n'ont pas encore été publiées : dans la plupart des États le coordinateur sera l'équipe nationale, mais le tableau dit qui est le CSIRT national, pas qui est le coordinateur.

La lecture pratique

Pour un petit fabricant, l'exposition qui devrait guider le comportement n'est pas le titre à 15 millions d'EUR. C'est que le niveau le plus élevé couvre ensemble l'annexe I et l'article 14, si bien que le même niveau qui punit une exigence de sécurité manquante punit une notification manquée, et qu'un seul de ces deux manquements peut être corrigé en un après-midi. S'enregistrer sur la plateforme de notification prend dix minutes et ne dépend de personne d'autre. La documentation technique, non, et c'est pourquoi la date de décembre 2027 est celle à laquelle se préparer par la planification et celle de septembre 2026 celle pour laquelle il faut être prêt.