.png&w=3840&q=75&dpl=dpl_4WWtFHEr9P8wkcdWCGky2WYKjEiM)
Quel impact le Cyber Resilience Act a-t-il sur les PME ?
Réponse directe
Les petites entreprises qui fabriquent des produits comportant des éléments numériques relèvent du Règlement sur la cyberrésilience, mais le texte prévoit des mesures de proportionnalité : les microentreprises et petites entreprises peuvent utiliser une documentation technique simplifiée, et la Commission ainsi que les États membres doivent fournir des orientations et un accompagnement. Les obligations de fond restent applicables.
Points clés
- Les PME et microentreprises qui mettent des produits sur le marché sont dans le champ d'application.
- Article 33, par. 5 : les microentreprises et petites entreprises peuvent fournir leur documentation technique (annexe VII) dans un format simplifié, que les organismes notifiés doivent accepter.
- La Commission et les États membres doivent fournir des mesures d'accompagnement des PME, notamment des bacs à sable réglementaires et des canaux dédiés (art. 33).
- Les microentreprises et petites entreprises sont exemptées d'amendes en cas de dépassement du délai d'alerte précoce de 24 heures ; toutes les autres obligations subsistent.
- Le signalement à compter du 11 septembre 2026 s'applique quelle que soit la taille ; la notification sous 72 heures et le rapport final ne sont pas supprimés.
La réponse complète
Le RCR s'applique aux petites entreprises qui fabriquent des produits comportant des éléments numériques, mais il intègre la proportionnalité.
Documentation technique simplifiée. En vertu de l'article 33, par. 5, les microentreprises et petites entreprises peuvent fournir leur documentation technique (annexe VII) dans un format simplifié, et les organismes notifiés sont tenus d'accepter ce format. Cela allège la charge administrative sans supprimer aucune exigence de sécurité de fond.
Mesures d'accompagnement des PME. L'article 33 impose à la Commission et aux États membres de fournir un soutien adapté, notamment des bacs à sable réglementaires, des canaux de communication dédiés et des orientations sectorielles. Ces mesures sont obligatoires, non facultatives.
Exemption d'amende pour l'alerte précoce de 24 heures. Les microentreprises et petites entreprises sont exemptées d'amendes administratives en cas de dépassement du délai d'alerte précoce de 24 heures uniquement. La notification sous 72 heures et le rapport final ne sont pas couverts par cette exemption -- ces obligations et leurs sanctions restent pleinement en vigueur.
La proportionnalité ne supprime pas le fond. Un petit fabricant doit toujours concevoir de manière sécurisée, mettre en place un processus de gestion des vulnérabilités, maintenir un SBOM et transmettre une notification sous 72 heures dans les délais. L'obligation de signalement à compter du 11 septembre 2026 s'applique quelle que soit la taille de l'entreprise.
Comment Acuna GRC s’en charge
- Solution
RCR
Suivez chaque vulnérabilité jusqu’à sa correction, gardez la documentation technique RCR, tracez les failles exploitées et réutilisez votre travail NIS2.
- Solution
Startups
Préparez votre premier audit ISO 27001 ou SOC 2 avec une feuille de route pas à pas, des politiques et contrôles de départ, l’IA et des experts suisses.
- Espace de travail
Comply
Les référentiels que vous choisissez, les périmètres et étiquettes qui segmentent votre organisation, la bibliothèque de mesures communes et leur correspondance entre référentiels.
Sources
- RCR article 33 (accompagnement des PME et microentreprises)
- Commission européenne — mise en œuvre du RCR
Cette page explique les règles en termes généraux et ne constitue pas un conseil juridique.
Découvrez comment Acuna GRC le pilote.
Dites-nous vos référentiels et votre équipe. Nous vous montrons comment Acuna GRC pilote le programme.
Hébergé en Suisse, dans l'UE ou aux États-Unis