Aller au contenu
← Blog

Le CRA s'applique-t-il aux PME suisses ?

Le CRA vise tout produit vendu dans l'UE, siège suisse ou pas. Obligations d'une PME suisse par cas, loi fédérale en préparation, réponse depuis Le Locle.

crasecuritysuisse

Oui, dès que votre produit est mis à disposition sur le marché de l’Union européenne. Le CRA (Cyber Resilience Act, règlement (UE) 2024/2847) s’attache au produit et au marché où il est vendu, pas au pays du fabricant. Une PME de Neuchâtel, de Vaud ou du Jura qui vend un appareil connecté, une machine pilotée par firmware ou un logiciel en Allemagne, en France ou en Italie est un fabricant au sens du règlement, avec les mêmes obligations qu’un fabricant établi dans l’UE.

Au Locle, dans le canton de Neuchâtel, on nous pose la question sous trois formes : nous sommes en Suisse, sommes-nous concernés ? Notre distributeur allemand ne s’en charge-t-il pas ? Nous ne vendons qu’un composant, alors ? Cette page répond aux trois. Pour l’offre elle-même, voyez CRA : faire de la conformité un avantage.

➡️ Vérifier si votre produit est concerné : 3 minutes, sans e-mail

Ce que la Suisse ne change pas🔗

Trois choses restent vraies, siège suisse ou pas :

  1. Les échéances. Le signalement à l’ENISA, l’agence européenne de cybersécurité, des vulnérabilités activement exploitées s’applique depuis le 11 septembre 2026 (article 14 : alerte dans les 24 heures). Les exigences techniques de l’annexe I (conception sécurisée, inventaire des composants, gestion des vulnérabilités pendant toute la durée de support) s’appliqueront dès le 11 décembre 2027.
  2. Aucune exemption pour les PME. Le règlement ne prévoit pas de seuil de taille. Une entreprise de dix personnes qui exporte un produit concerné a les mêmes obligations qu’un groupe.
  3. Le marquage CE. Dès décembre 2027, votre déclaration UE de conformité devra aussi couvrir le CRA. Vous conservez votre marquage CE, et l’accès au marché européen qui va avec, en intégrant ces exigences à votre chaîne de développement plutôt qu’à un classeur.

Vos obligations selon votre cas🔗

Le règlement distingue les rôles. Trois situations couvrent la plupart des PME suisses que nous rencontrons.

Vous vendez directement à des clients dans l’UE🔗

Vous êtes le fabricant (article 13). La conformité du produit est à votre charge : évaluation, documentation technique, marquage CE, gestion des vulnérabilités pendant la durée de support et signalement à l’ENISA depuis septembre 2026. Vous pouvez mandater un représentant établi dans l’UE pour tenir la documentation à la disposition des autorités (article 18) ; ce n’est pas une obligation, et cela ne transfère pas votre responsabilité. Un mandataire tient un dossier, il ne corrige pas votre firmware.

Vous passez par un importateur ou un distributeur européen🔗

Votre partenaire a ses propres obligations (articles 19 et 20) : il doit vérifier que vous avez réalisé l’évaluation de conformité, constitué la documentation technique et apposé le marquage CE, et il ne peut pas mettre sur le marché un produit qui ne respecte pas ces exigences. En pratique, c’est lui qui vous réclamera les preuves : inventaire des composants (SBOM, Software Bill of Materials), politique de traitement des vulnérabilités, déclaration UE de conformité. Sans ces documents, votre produit peut rester au quai, et ce n’est pas vous qui décidez quand il en repart.

Vous fournissez un composant ou un logiciel intégré par un fabricant européen🔗

Votre client est le fabricant du produit final ; le règlement lui impose une diligence sur les composants qu’il intègre (article 13). Il vous demandera donc la même chose : un SBOM à jour, un canal pour signaler et corriger les vulnérabilités, un engagement sur les mises à jour. Répondre vite, et avec des preuves, devient un critère de maintien dans son panel de fournisseurs. Dit autrement : le fournisseur qui envoie son SBOM dans la journée garde sa place dans la nomenclature.

Et si vous vendez uniquement en Suisse ?🔗

Le CRA ne s’applique pas directement à un produit qui reste sur le marché suisse. Deux éléments méritent tout de même votre attention :

  • La Suisse prépare sa propre loi. Après un premier mandat du 20 août 2025, le Conseil fédéral a chargé le DDPS, le 25 septembre 2026, d’élaborer d’ici juin 2027 un projet de loi fédérale sur la cybersécurité calquée sur le CRA : exigences contraignantes pour les fabricants, importateurs et commerçants, surveillance du marché et interdiction des produits peu sûrs. Nous détaillons la décision dans Loi suisse sur la cybersécurité : ce que la décision du 25 septembre 2026 change pour un fabricant.
  • Vos clients suisses exportent. Un intégrateur ou un fabricant suisse qui vend dans l’UE vous demandera les mêmes preuves qu’un client européen.

Construire aujourd’hui votre chaîne de développement sur les exigences du CRA, c’est donc aussi prendre de l’avance sur le droit suisse : une seule méthode pour les deux marchés, et pas de deuxième chantier dans deux ans.

La menace en Suisse, en chiffres🔗

Les signalements augmentent, et signaler devient une obligation pour vous :

  • 64 733 cyberincidents signalés volontairement à l’OFCS en 2025 : 35 727 au premier semestre, 29 006 au second (rapports semestriels 2025/1 et 2025/2 de l’OFCS) ;
  • 325 cyberattaques signalées par des infrastructures critiques depuis l’entrée en vigueur de l’obligation, le 1er avril 2025, état au 30 mars 2026, dont 145 au second semestre 2025 (communiqué de l’OFCS du 30 mars 2026) ;
  • 57 cas de rançongiciels annoncés à l’OFCS au second semestre 2025, 79 au premier semestre 2026 (rapport semestriel 2026/1, publié le 24 août 2026) ;
  • 27 128 signalements volontaires et 200 annonces obligatoires au premier semestre 2026 (même rapport).

Pour évaluer l’exposition de votre produit, faites le diagnostic gratuit en 3 minutes.

Conformité CRA à Neuchâtel, dans le Jura et en Suisse romande : où nous intervenons🔗

ADNT est établie au Locle, dans le canton de Neuchâtel, à dix minutes de La Chaux-de-Fonds, au cœur de l’Arc jurassien et de ses industries : horlogerie, microtechnique, instrumentation, technologies médicales. Autrement dit, des produits qui embarquent du firmware et partent en Europe. Nous nous déplaçons dans toute la Suisse romande : Neuchâtel et La Chaux-de-Fonds, Vaud (Lausanne, Yverdon-les-Bains, la Riviera), Jura, Bienne et le Jura bernois, Fribourg, Genève. Pour le reste de la Suisse et les clients établis dans l’UE, nous travaillons à distance, directement dans votre chaîne de développement et votre code : un pipeline ne demande pas qu’on soit dans la même pièce.

Notre façon de faire est détaillée sur la page de l’offre : une première lecture gratuite d’une heure, puis un plan d’industrialisation au forfait et, si vous le souhaitez, sa mise en œuvre dans votre chaîne d’intégration continue existante.

Voir l’offre CRA et le budget indicatif →

Par où commencer, pour une PME suisse🔗

Une PME n’a ni service conformité ni budget pour un deuxième chantier dans deux ans. Le CRA se gagne donc au seul endroit où une petite équipe peut le tenir : dans la chaîne de développement qu’elle a déjà, pas dans un classeur. Cinq briques, dans cet ordre, chacune à sa place dans votre dépôt :

  1. Un inventaire logiciel (SBOM) généré à chaque build, au format CycloneDX, depuis votre dépôt. Pour le C++ et le Rust baremetal, la méthode est publiée : SBOM et audit CVE en CI/CD pour l’embarqué baremetal.
  2. Un scan des CVE dans le pipeline avec un seuil qui bloque la release, et Dependency-Track pour surveiller chaque version livrée.
  3. Des déclarations VEX pour écarter les CVE qui ne vous touchent pas et ne corriger que ce qui compte.
  4. Une procédure de signalement testée à blanc : qui détecte, qui qualifie, qui déclare à l’ENISA en moins de 24 heures.
  5. Les preuves rangées au fur et à mesure, selon la checklist, obligation par obligation.

Le règlement ne prévoit aucune exemption de taille, mais son article 33 demande des mesures de soutien aux micro, petites et moyennes entreprises, dont un formulaire simplifié de documentation technique. La même chaîne servira pour la future loi suisse sur la cybersécurité. Nous la mettons en place dans votre dépôt, à prix publics, et l’audit n’est pas facturé si votre produit est hors périmètre : notre offre CRA.

Questions fréquentes🔗

Une PME suisse de dix personnes est-elle vraiment concernée ?🔗

Oui, dès qu’elle met un produit concerné sur le marché de l’UE : le règlement ne fixe aucun seuil de taille. Il prévoit en revanche, à l’article 33, des mesures de soutien pour les micro, petites et moyennes entreprises, dont un formulaire simplifié de documentation technique. Les obligations restent les mêmes ; la charge se réduit en les intégrant à la chaîne de développement plutôt qu’en les traitant à part.

Une entreprise suisse doit-elle désigner un représentant dans l’UE ?🔗

Non. C’est une possibilité prévue à l’article 18, pas une obligation. Le représentant tient la documentation à la disposition des autorités et coopère avec elles ; la responsabilité du produit reste la vôtre.

Mon distributeur européen est-il responsable à ma place ?🔗

Non. L’importateur et le distributeur ont leurs propres obligations de vérification (articles 19 et 20), mais l’évaluation de conformité, la documentation technique, le marquage CE et le signalement des vulnérabilités restent à la charge du fabricant.

Mon marquage CE actuel suffit-il ?🔗

Pas au-delà de décembre 2027 : la déclaration UE de conformité devra couvrir les exigences de cybersécurité de l’annexe I du CRA, en plus des textes que vous appliquez déjà. Le signalement prévu à l’article 14 s’applique, lui, depuis le 11 septembre 2026, y compris aux produits déjà livrés.

Un produit vendu seulement en Suisse est-il concerné ?🔗

Pas par le CRA. Mais une loi fédérale sur la cybersécurité calquée sur le CRA est en préparation (projet du DDPS attendu pour juin 2027, puis consultation), et vos clients suisses qui exportent vous demanderont les mêmes preuves.

Existe-t-il une reconnaissance mutuelle entre la Suisse et l’UE pour le CRA ?🔗

Pas à ce jour. Le CRA est un règlement européen récent ; en l’absence d’accord spécifique, un fabricant suisse est traité comme tout fabricant établi hors de l’UE.

Vous êtes au Locle : intervenez-vous en dehors du canton de Neuchâtel ?🔗

Oui. Depuis Le Locle, nous couvrons toute la Suisse romande (Neuchâtel, Vaud, Jura, Berne, Fribourg, Genève) en nous déplaçant, et nous travaillons à distance pour le reste de la Suisse et les clients établis dans l’UE.

Références🔗