← Blog

Le CRA s'applique-t-il aux entreprises suisses ?

Le CRA vise tout produit vendu dans l'UE, siège suisse ou pas. Vos obligations, la loi suisse en préparation, et notre réponse depuis Le Locle (Neuchâtel).

crasecuritysuisse

Oui, dès que votre produit est mis à disposition sur le marché de l’Union européenne. Le CRA (Cyber Resilience Act, règlement (UE) 2024/2847) s’attache au produit et au marché où il est vendu, pas au pays du fabricant. Une entreprise de Neuchâtel, de Vaud ou du Jura qui vend un appareil connecté, une machine pilotée par firmware ou un logiciel en Allemagne, en France ou en Italie est un fabricant au sens du règlement, avec les mêmes obligations qu’un fabricant établi dans l’UE.

Au Locle, dans le canton de Neuchâtel, on nous pose la question sous trois formes : nous sommes en Suisse, sommes-nous concernés ? Notre distributeur allemand ne s’en charge-t-il pas ? Nous ne vendons qu’un composant, alors ? Cette page répond aux trois. Pour l’offre elle-même, voyez CRA : faire de la conformité un avantage.

➡️ Vérifier si votre produit est concerné : 3 minutes, sans e-mail

Ce que la Suisse ne change pas

Trois choses restent vraies, siège suisse ou pas :

  1. Les échéances. Le signalement à l’ENISA, l’agence européenne de cybersécurité, des vulnérabilités activement exploitées s’applique dès le 11 septembre 2026 (article 14 : alerte dans les 24 heures). Les exigences techniques de l’annexe I (conception sécurisée, inventaire des composants, gestion des vulnérabilités pendant toute la durée de support) s’appliqueront dès le 11 décembre 2027.
  2. Aucune exemption pour les PME. Le règlement ne prévoit pas de seuil de taille. Une entreprise de dix personnes qui exporte un produit concerné a les mêmes obligations qu’un groupe.
  3. Le marquage CE. Dès décembre 2027, votre déclaration UE de conformité devra aussi couvrir le CRA. Vous conservez votre marquage CE, et l’accès au marché européen qui va avec, en intégrant ces exigences à votre chaîne de développement plutôt qu’à un classeur.

Vos obligations selon votre cas

Le règlement distingue les rôles. Trois situations couvrent la plupart des entreprises suisses que nous rencontrons.

Vous vendez directement à des clients dans l’UE

Vous êtes le fabricant (article 13). La conformité du produit est à votre charge : évaluation, documentation technique, marquage CE, gestion des vulnérabilités pendant la durée de support et signalement à l’ENISA dès septembre 2026. Vous pouvez mandater un représentant établi dans l’UE pour tenir la documentation à la disposition des autorités (article 18) ; ce n’est pas une obligation, et cela ne transfère pas votre responsabilité. Un mandataire tient un dossier, il ne corrige pas votre firmware.

Vous passez par un importateur ou un distributeur européen

Votre partenaire a ses propres obligations (articles 19 et 20) : il doit vérifier que vous avez réalisé l’évaluation de conformité, constitué la documentation technique et apposé le marquage CE, et il ne peut pas mettre sur le marché un produit qui ne respecte pas ces exigences. En pratique, c’est lui qui vous réclamera les preuves : inventaire des composants (SBOM, Software Bill of Materials), politique de traitement des vulnérabilités, déclaration UE de conformité. Sans ces documents, votre produit peut rester au quai, et ce n’est pas vous qui décidez quand il en repart.

Vous fournissez un composant ou un logiciel intégré par un fabricant européen

Votre client est le fabricant du produit final ; le règlement lui impose une diligence sur les composants qu’il intègre (article 13). Il vous demandera donc la même chose : un SBOM à jour, un canal pour signaler et corriger les vulnérabilités, un engagement sur les mises à jour. Répondre vite, et avec des preuves, devient un critère de maintien dans son panel de fournisseurs. Dit autrement : le fournisseur qui envoie son SBOM dans la journée garde sa place dans la nomenclature.

Et si vous vendez uniquement en Suisse ?

Le CRA ne s’applique pas directement à un produit qui reste sur le marché suisse. Deux éléments méritent tout de même votre attention :

  • La Suisse prépare sa propre loi. Le 20 août 2025, le Conseil fédéral a chargé l’Office fédéral de la cybersécurité (OFCS), avec l’OFCOM et le SECO, de préparer d’ici l’automne 2026 un avant-projet de loi sur la cyberrésilience des produits numériques, en tenant compte du CRA. Les exigences de sécurité, la surveillance du marché et l’interdiction d’importer des appareils non sûrs en font partie.
  • Vos clients suisses exportent. Un intégrateur ou un fabricant suisse qui vend dans l’UE vous demandera les mêmes preuves qu’un client européen.

Construire aujourd’hui votre chaîne de développement sur les exigences du CRA, c’est donc aussi prendre de l’avance sur le droit suisse : une seule méthode pour les deux marchés, et pas de deuxième chantier dans deux ans.

Conformité CRA à Neuchâtel, dans le Jura et en Suisse romande : où nous intervenons

ADNT est établie au Locle, dans le canton de Neuchâtel, à dix minutes de La Chaux-de-Fonds, au cœur de l’Arc jurassien et de ses industries : horlogerie, microtechnique, instrumentation, technologies médicales. Autrement dit, des produits qui embarquent du firmware et partent en Europe. Nous nous déplaçons dans toute la Suisse romande : Neuchâtel et La Chaux-de-Fonds, Vaud (Lausanne, Yverdon-les-Bains, la Riviera), Jura, Bienne et le Jura bernois, Fribourg, Genève. Pour le reste de la Suisse et les clients établis dans l’UE, nous travaillons à distance, directement dans votre chaîne de développement et votre code : un pipeline ne demande pas qu’on soit dans la même pièce.

Notre façon de faire est détaillée sur la page de l’offre : une première lecture gratuite d’une heure, puis un plan d’industrialisation au forfait et, si vous le souhaitez, sa mise en œuvre dans votre chaîne d’intégration continue existante.

Voir l’offre CRA et le budget indicatif →

Questions fréquentes

Une entreprise suisse doit-elle désigner un représentant dans l’UE ?

Non. C’est une possibilité prévue à l’article 18, pas une obligation. Le représentant tient la documentation à la disposition des autorités et coopère avec elles ; la responsabilité du produit reste la vôtre.

Mon distributeur européen est-il responsable à ma place ?

Non. L’importateur et le distributeur ont leurs propres obligations de vérification (articles 19 et 20), mais l’évaluation de conformité, la documentation technique, le marquage CE et le signalement des vulnérabilités restent à la charge du fabricant.

Mon marquage CE actuel suffit-il ?

Pas au-delà de décembre 2027 : la déclaration UE de conformité devra couvrir les exigences de cybersécurité de l’annexe I du CRA, en plus des textes que vous appliquez déjà. Le signalement prévu à l’article 14 s’applique, lui, dès le 11 septembre 2026, y compris aux produits déjà livrés.

Un produit vendu seulement en Suisse est-il concerné ?

Pas par le CRA. Mais un projet de loi suisse aligné sur le CRA est en préparation (avant-projet attendu à l’automne 2026), et vos clients suisses qui exportent vous demanderont les mêmes preuves.

Existe-t-il une reconnaissance mutuelle entre la Suisse et l’UE pour le CRA ?

Pas à ce jour. Le CRA est un règlement européen récent ; en l’absence d’accord spécifique, un fabricant suisse est traité comme tout fabricant établi hors de l’UE.

Vous êtes au Locle : intervenez-vous en dehors du canton de Neuchâtel ?

Oui. Depuis Le Locle, nous couvrons toute la Suisse romande (Neuchâtel, Vaud, Jura, Berne, Fribourg, Genève) en nous déplaçant, et nous travaillons à distance pour le reste de la Suisse et les clients établis dans l’UE.

Références