Quelle est la différence entre le Cyber Resilience Act et NIS2 ?
Alexis Hirschhorn· CEO, Acuna16 juillet 2026
Réponse directe
NIS2 régit la cybersécurité des entités essentielles et importantes dans 18 secteurs ; le Règlement sur la cyberrésilience régit la sécurité des produits comportant des éléments numériques mis sur le marché. De nombreuses organisations relèvent des deux textes. Les obligations ne se doublonnent pas : NIS2 couvre ce que fait votre organisation ; le RCR couvre ce qu'est votre produit.
Key Facts
- NIS2 = cybersécurité organisationnelle (18 secteurs) ; RCR = cybersécurité des produits (chaîne d'approvisionnement).
- Les deux imposent une alerte précoce sous 24 heures et une notification sous 72 heures.
- Rapport final RCR : 14 jours après correction (vulnérabilité) ou 1 mois (incident). NIS2 : 1 mois.
- Signalements RCR adressés à l'ENISA + CSIRT national ; signalements NIS2 au CSIRT / autorité compétente.
- De nombreux fabricants relèvent des deux ; les contrôles se recoupent mais les obligations sont cumulatives, pas redondantes.
- Plafond des sanctions RCR : 15 M€ ou 2,5 % ; NIS2 : 10 M€ ou 2 % pour les entités essentielles.
Les deux textes opèrent à des niveaux différents de la chaîne d'approvisionnement (art. 1 RCR ; art. 1 NIS2) :
Les étapes de signalement à 24 heures et 72 heures se ressemblent dans les deux régimes, mais le destinataire, la définition du déclencheur et le délai du rapport final diffèrent. Pour un fabricant de produits connectés qui opère aussi comme entité essentielle ou importante au titre de NIS2, le RCR ajoute des obligations propres au produit : classifier chaque produit, maintenir la SBOM, réaliser l'évaluation de conformité. Les contrôles sous-jacents — suivi des vulnérabilités, gestion des accès, documentation des preuves — se recoupent largement.
Et maintenant