Cyber Resilience Act : un décret désigne l'ANSSI comme autorité notifiante en France

Le décret n° 2026-944 du 9 octobre 2026, publié au Journal officiel du 11 octobre, désigne l'Agence nationale de la sécurité des systèmes d'information (ANSSI) comme autorité notifiante au titre du Cyber Resilience Act (CRA), le règlement européen (UE) 2024/2847 sur la cyberrésilience. Le texte entre en vigueur le lendemain de sa publication.

Ce que fait une autorité notifiante

Le CRA impose des exigences de cybersécurité aux « produits comportant des éléments numériques », du logiciel aux objets connectés. Pour les produits les plus sensibles, la conformité doit être évaluée par un organisme tiers indépendant. Ces organismes doivent être reconnus, ou « notifiés », auprès de la Commission européenne par une autorité nationale.

En France, ce rôle revient donc à l'ANSSI. Selon l'article 1 du décret, elle notifie les organismes d'évaluation de la conformité et contrôle ensuite leur activité.

La procédure prévue

• En principe, un organisme doit d'abord être accrédité par le COFRAC, le Comité français d'accréditation, avant de déposer sa demande auprès de l'ANSSI.
• Il peut être notifié avant cette accréditation si son dossier est complet et si sa demande d'accréditation est recevable. Dans ce cas, il est limité à 25 attestations de conformité, sur une période de 12 mois au plus.
• L'ANSSI dispose de deux mois à compter d'un dossier complet pour notifier l'organisme ou motiver son refus.
• Les organismes notifiés doivent ensuite tenir l'ANSSI informée de certains éléments de leur activité prévus par le règlement.

Le décret s'applique aussi en Nouvelle-Calédonie, en Polynésie française, à Wallis-et-Futuna et dans les Terres australes et antarctiques françaises.

Le calendrier du CRA

Les dispositions du règlement sur la notification des organismes s'appliquent depuis le 11 juin 2026. Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves touchant leurs produits. L'ensemble des obligations s'appliquera à partir du 11 décembre 2027.

Ce que cela change pour les fabricants

Ce décret ne crée pas d'obligation nouvelle pour les entreprises. Il met en place l'outil qui leur permettra de faire évaluer leurs produits en France. Les éditeurs et fabricants concernés par une évaluation tierce ont intérêt à :

• vérifier dès maintenant dans quelle catégorie de produits ils se situent ;
• suivre la liste des organismes notifiés, qui sera publiée par la Commission européenne ;
• anticiper les délais : il y aura peu d'organismes au début et la demande risque d'être forte à l'approche de décembre 2027.