The Cyber Resilience Act (CRA) should not be seen as just another layer of European compliance. It marks a deeper shift in which trust becomes a prerequisite for competitiveness, business continuity and, eventually, market access. For industrial firms and software vendors, the regulation requires security by design and continuous vulnerability management across the entire product lifecycle.

Most CRA provisions will apply from 11 December 2027, but the real countdown starts earlier: on 11 September 2026, when obligations to report actively exploited vulnerabilities and serious security incidents take effect. With an initial alert due within 24 hours and a detailed notification within 72 hours, the CRA makes obsolete the still-common approach of treating vulnerabilities as a technical backlog to be addressed whenever operations allow. Response speed will become a marker of maturity and credibility across the digital supply chain.

This regulatory shift comes as artificial intelligence is dramatically accelerating cybersecurity. Advanced AI models such as Mythos, Claude and Microsoft’s MDash can speed up analysis of complex software components and uncover flaws that previously would have taken weeks to identify. That is both an opportunity and a warning: organizations will gain more visibility into weaknesses, but they will also have to assess, prioritize, fix and document a much larger volume of vulnerabilities. Attackers, meanwhile, can use the same technologies to find flaws faster, improve phishing campaigns and industrialize their operations. The issue is no longer simply detecting a vulnerability, but turning it into a decision and then into action quickly enough.

In France, the urgency is already visible. According to ANSSI’s Panorama de la cybermenace 2025, the agency handled 3,586 security events in 2025, with the main targets being education and research (34%), ministries and local authorities (24%), healthcare (10%) and telecommunications (9%). Ransomware, exploitation of known vulnerabilities and supply-chain attacks remain concrete risks for companies, public bodies and essential operators.

Against that backdrop, the CRA must engage executive leadership, not only IT and compliance teams. Service outages, data leaks or product unavailability are not merely technical incidents; they directly affect revenue, reputation, customer relationships and liability toward partners. Product security is becoming a governance issue for the entire value chain. Companies need to know which software components they develop or integrate, identify critical dependencies and assess their real exposure when a vulnerability is disclosed. Documentation-based compliance alone will not protect operations or customer trust.

Prevention remains essential, but it will never stop every intrusion. The real differentiator will be the ability to keep essential functions running, meet notification requirements and restore operations without reintroducing the attack. That means preserving access to the data, logs and configurations needed for investigation, even during a major incident, and protecting, isolating and testing backups. Restoring from compromised data, exposed credentials or systems with a backdoor is not recovery; it is preparing the next breach.

Resilience therefore has to become a measurable, regularly tested capability: which services must restart first, how long it really takes to bring a critical application back online, whether restored data is trustworthy, and whether security, IT and operations teams can work from shared procedures. With the CRA and AI reshaping the threat landscape, more vulnerabilities will be found, attacks will move faster and regulatory deadlines will tighten. The strongest companies will not be those promising zero risk, but those that make cyber resilience a management capability on par with quality, business continuity and customer trust.

Le Cyber Resilience Act (CRA) ne doit pas être perçu comme une nouvelle couche de conformité européenne. Il traduit un changement beaucoup plus profond : la confiance devient une condition de compétitivité, de continuité d’activité et, demain, d’accès au marché.

Pour les industriels et éditeurs de produits logiciels, le règlement impose une sécurité dès la conception (secure by design) et une gestion continue des vulnérabilités tout au long du cycle de vie des produits. La majorité de ses dispositions sera applicable à partir du 11 décembre 2027. Mais le véritable compte à rebours commence dès le 11 septembre 2026, avec l’entrée en vigueur des obligations de signalement des vulnérabilités activement exploitées et des incidents de sécurité graves.

Avec une alerte attendue sous 24 heures, suivie d’une notification détaillée sous 72 heures, le CRA rend obsolète une approche encore trop répandue : traiter les vulnérabilités comme une liste technique à résorber lorsque les contraintes opérationnelles le permettent. Désormais, la réactivité face à une faille deviendra un indicateur de maturité et de crédibilité pour toute la chaîne numérique.

L’IA fait exploser le facteur temps

Cette évolution réglementaire intervient au moment où l’intelligence artificielle transforme la cybersécurité à une vitesse inédite. Les modèles d’IA de pointe, tels que Mythos, Claude ou MDash de Microsoft, permettent d’accélérer l’analyse de composants logiciels complexes et mettre en évidence des failles qui auraient auparavant nécessité des semaines de travail.

C’est à la fois une opportunité et un avertissement. Les organisations disposeront de davantage d’informations sur leurs faiblesses, mais devront également évaluer, hiérarchiser, corriger et documenter un volume de vulnérabilités bien supérieur. Dans le même temps, les attaquants peuvent exploiter ces technologies pour accélérer la recherche de failles, améliorer leurs campagnes d’hameçonnage et industrialiser leurs opérations.

Le sujet n’est donc plus seulement de détecter une vulnérabilité. Il est de savoir à quelle vitesse une entreprise peut la transformer en décision, puis en action.

En France, l’urgence est déjà là

La menace est déjà tangible, l’ANSSI ayant traité 3586 événements de sécurité en 2025, selon le Panorama de la cybermenace 2025, principalement centrée autour de l’éducation et la recherche (34 %), les ministères et les collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). Les ransomware, l’exploitation de vulnérabilités connues et les attaques visant les chaînes d’approvisionnement restent des risques concrets pour les entreprises, les collectivités et les opérateurs essentiels.

Dans ce contexte, le CRA doit mobiliser les directions générales, et pas seulement les équipes IT ou conformité. Une interruption de service, une fuite de données ou l’indisponibilité d’un produit ne sont jamais de simples incidents techniques : ce sont des risques de chiffre d’affaires, de réputation, de relation client et de responsabilité vis-à-vis des partenaires.

La sécurité des produits numériques devient ainsi un enjeu de gouvernance de la chaîne de valeur. Les entreprises doivent pouvoir connaître les composants logiciels qu’elles développent ou intègrent, identifier leurs dépendances critiques et évaluer leur exposition réelle lorsqu’une vulnérabilité est révélée. La conformité documentaire, à elle seule, ne protégera ni l’activité ni la confiance des clients.

Restaurer vite, mais restaurer sainement

La prévention demeure indispensable, mais elle ne pourra jamais empêcher toutes les intrusions. La véritable différence se jouera dans la capacité à maintenir les fonctions essentielles, à répondre aux exigences de notification et à restaurer les activités sans réintroduire l’attaque.

Cela suppose de conserver l’accès aux données, aux journaux et aux configurations nécessaires à l’investigation, y compris pendant un incident majeur. Cela implique aussi de protéger, d’isoler et de tester les sauvegardes. Restaurer un environnement à partir de données compromises, d’identifiants exposés ou de systèmes contenant une porte dérobée ne constitue pas une reprise : c’est préparer la prochaine compromission.

La résilience doit donc devenir une capacité mesurable et régulièrement éprouvée : quels services doivent être redémarrés en premier ? Combien de temps faut-il réellement pour remettre en route une application critique ? Les données restaurées sont-elles fiables ? Les équipes sécurité, IT et opérations sont-elles capables de travailler selon des procédures partagées ?

Le CRA et l’IA créent une nouvelle réalité : davantage de vulnérabilités seront découvertes, les attaques gagneront en vitesse et les délais réglementaires se resserreront.

Les entreprises les plus solides ne seront pas celles qui promettent le risque zéro. Ce seront celles qui auront fait de la cyber résilience une capacité de pilotage, au même titre que la qualité, la continuité d’activité ou la confiance client.

*Guillaume Gamelin est Directeur Général France chez Commvault

Photo : © DR

The post Cyber Resilience Act : la conformité ne protégera pas les entreprises françaises appeared first on Silicon.fr.