Le règlement européen sur la cyberrésilience (Cyber Resilience Act, ou CRA) est entré en vigueur le 10 décembre 2024. En 2026, il entre dans sa phase la plus concrète pour les entreprises du numérique. Le secteur de l’impression n’y échappe d’ailleurs pas. En effet, imprimantes, multifonctions et logiciels d’impression sont des « produits comportant des éléments numériques » connectés au réseau. Ils entrent donc pleinement dans le périmètre du texte.
Un calendrier qui s’accélère cette année
Le CRA se déploie par paliers. Une première étape a été déjà franchie. Le 11 juin 2026 a marqué la désignation des organismes chargés d’évaluer la conformité des produits numériques les plus critiques. Mais la prochaine échéance, fixée au 11 septembre 2026, est autrement plus structurante.
En effet, à partir de cette date, les fabricants devront signaler toute vulnérabilité activement exploitée. Il en va de même pour tout incident grave affectant la sécurité de leurs produits. Ce signalement passera par la plateforme unique opérée par l’ENISA, l’agence européenne de cybersécurité. Les délais, eux, sont stricts.
Ainsi, l’alerte précoce devra intervenir sous 24 heures, la notification complète sous 72 heures, et le rapport final sous 14 jours après correction. Pour les fabricants établis en France, ces signalements seront par ailleurs relayés simultanément au CERT-FR de l’ANSSI. Enfin, l’application intégrale du règlement interviendra le 11 décembre 2027, avec marquage CE obligatoire à la clé.
Ce que cela implique concrètement
Concrètement, le texte impose une logique de « sécurité dès la conception, sécurité par défaut ». Cela implique une configuration sécurisée dès la livraison, ainsi que des ports et services inutiles désactivés. L’authentification, quant à elle, devra être intégrée nativement, et non plus ajoutée après coup. Par ailleurs, les fabricants devront maintenir une nomenclature logicielle de leurs produits. Ils devront également assurer un suivi des vulnérabilités, pendant une durée de support généralement estimée à cinq ans minimum après la mise sur le marché. En cas de manquement, les sanctions peuvent grimper jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial — un niveau comparable, en somme, à celui du RGPD.
Un texte qui vient compléter la directive NIS 2
Le CRA ne se substitue pas, pour autant, à la directive NIS 2.
Sa transposition en droit français est en effet toujours en cours, via le projet de loi « Résilience ». Ce dernier est actuellement attendu en séance au Parlement, d’ici l’été 2026. En attendant son adoption définitive, l’ANSSI a tout de même publié un référentiel préparatoire dès mars 2026 : le Référentiel Cyber France.
Celui-ci invite les futures entités essentielles et importantes à anticiper leur mise en conformité, sans attendre le vote du texte. Les deux réglementations restent donc complémentaires.
D’un côté, NIS 2 imposera des obligations de cybersécurité aux organisations jugées essentielles ou importantes, dont, selon leur secteur d’activité, certaines entreprises utilisatrices de solutions d’impression. De l’autre, le CRA cible directement les fabricants et éditeurs de produits numériques. Il fait ainsi de la sécurité une exigence intrinsèque du produit lui-même, tout au long de son cycle de vie.
Pourquoi cela concerne tout le secteur ?
Pour les fournisseurs de solutions d’impression l’échéance de septembre 2026 impose donc d’agir sans attendre. Concrètement, il faut identifier les produits concernés, structurer un processus de gestion des vulnérabilités, et désigner un point de contact dédié. Pour les entreprises clientes, en revanche, le CRA offre surtout un critère de choix supplémentaire. Ainsi, mieux vaut privilégier des acteurs déjà engagés dans une démarche de sécurité par conception, à l’image de plusieurs adhérents du SNESSII, qui intègrent depuis plusieurs années l’IA et la certification indépendante au cœur de leurs produits.
Sources : ANSSI (cyber.gouv.fr), Commission européenne (digital-strategy.ec.europa.eu), Direction générale des Entreprises (entreprises.gouv.fr), FICIME.
Le SNESSII, Syndicat National des Entreprises de Solutions et Systèmes d'Information et d'Impression, regroupe 13 acteurs internationaux du marché de l'impression et des services informatiques : BROTHER FRANCE | Canon France | Conibi | Epson France | Konica Minolta Business Solutions France | KYOCERA Document Solutions France | OKI Europe Ltd | Rex-Rotary | Ricoh France | RISO FRANCE | Sharp Business Systems France | Toshiba Tec France | Xerox France. Le SNESSII est affilié à la FICIME (Fédération des entreprises internationales de la mécanique et de l'électronique).
