Règlement (UE) 2024/2847 · Chapitre VII
Article 64 : jusqu'à 15 millions d'euros d'amende, à partir du 11 décembre 2027
Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial : les plafonds d'amende du CRA, applicables le 11 décembre 2027, et leurs exceptions.
Ce que dit l’article
À partir du 11 décembre 2027, un manquement au règlement peut coûter jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Cet article du Cyber Resilience Act (CRA) fixe trois plafonds d'amende, selon l'obligation en cause. Chaque État membre bâtit sur cette base son régime de sanctions.
Un fabricant réalise 2 milliards d'euros de chiffre d'affaires mondial. Il vend un produit qui ne respecte pas les exigences de sécurité : son plafond monte à 50 millions d'euros, soit 2,5 % de ce chiffre. Une entreprise de 20 millions d'euros de chiffre d'affaires garde, elle, un plafond de 15 millions d'euros.
- 15 millions d'euros
- ou 2,5 % du chiffre d'affaires annuel mondial
- 10 millions d'euros
- ou 2 % du chiffre d'affaires annuel mondial
- 5 millions d'euros
- ou 1 % du chiffre d'affaires annuel mondial
Le premier plafond vise le produit lui-même et le signalement des failles. Les exigences de sécurité, les obligations du fabricant et le signalement exposent à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.
Le deuxième plafond vise les autres acteurs, et les preuves de la conformité. Mandataires, importateurs, distributeurs et organismes notifiés y répondent de leurs obligations. Il couvre aussi les règles propres de la déclaration UE, de l'apposition du marquage CE, de la documentation technique et de la procédure d'évaluation.
Le montant atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour le fabricant, ne pas établir la déclaration, ne pas apposer le marquage ou ne pas appliquer la procédure relève du premier plafond.
Le troisième plafond vise les informations inexactes. Vous répondez à une autorité de surveillance ou à un organisme notifié par une information inexacte, incomplète ou trompeuse ? L'amende peut atteindre 5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial.
Dans chaque cas, le plus élevé des deux montants est retenu. Le pourcentage ne vaut que pour une entreprise, et se calcule sur l'exercice précédent.
Le texte en détail : article 64, paragraphes 1 à 4
Le paragraphe 1 laisse aux États membres le régime des sanctions. Elles doivent être « effectives, proportionnées et dissuasives », et le régime est notifié à la Commission « sans retard ».
Le paragraphe 2 vise l'annexe I et les articles 13 et 14. L'article 13 comprend l'obligation d'appliquer la procédure d'évaluation, d'établir la documentation et la déclaration, et d'apposer le marquage (paragraphe 12).
Le paragraphe 3 vise les articles 18 à 23 et 28, et les paragraphes 1 à 4 des articles 30 et 31. Il vise aussi l'article 32, paragraphes 1 à 3, l'article 33, paragraphe 5, et les articles 39, 41, 47, 49 et 53.
Les articles 39, 41, 47 et 49 portent les obligations des organismes notifiés. L'article 53 ouvre aux autorités l'accès aux données et à la documentation interne.
Le paragraphe 4 vise les informations fournies « aux organismes notifiés et aux autorités de surveillance du marché en réponse à une demande ».
Le pourcentage s'applique « si l'auteur de l'infraction est une entreprise ». Il porte sur le chiffre d'affaires annuel mondial total « réalisé au cours de l'exercice précédent ».
Le plafond est un maximum : l'autorité fixe le montant au cas par cas. Elle tient compte de toutes les circonstances, et en particulier de trois éléments.
La gravité
La nature, la gravité et la durée du manquement, et ses conséquences.
Les antécédents
Une amende déjà infligée au même opérateur pour un manquement similaire, par la même autorité ou par une autre.
La taille
La taille de l'entreprise et sa part de marché, en particulier pour les micro, petites et moyennes entreprises.
L'amende peut s'ajouter aux autres mesures. L'autorité peut aussi exiger la mise en conformité du produit, son retrait ou son rappel.
Selon le pays, l'amende peut être prononcée par un juge plutôt que par une autorité administrative. Chaque État décide aussi si ses autorités et organismes publics peuvent en recevoir une. L'autorité qui inflige une amende en informe celles des autres États.
Le texte en détail : article 64, paragraphes 5 à 9, et considérants 120 et 121
Le paragraphe 5 énumère les trois éléments, après « toutes les caractéristiques propres à chaque cas ». Selon le considérant 120, une amende déjà infligée dans un autre État peut aggraver ou atténuer la suivante.
Le paragraphe 6 fait passer l'information par le système d'information et de communication de l'article 34 du règlement (UE) 2019/1020.
Le paragraphe 7 renvoie à chaque État les amendes des autorités et organismes publics. Le paragraphe 8 permet qu'elles soient imposées par les juridictions, avec un effet équivalent.
Le paragraphe 9 permet le cumul avec « toute autre mesure corrective ou restrictive » pour la même infraction. Ces mesures relèvent des articles 54 à 58.
Pour une personne qui n'est pas une entreprise, le considérant 121 fait tenir compte de ses revenus.
Une micro ou petite entreprise qui fabrique n'échappe qu'à une amende : celle d'une alerte précoce envoyée après 24 heures. L'alerte reste due, comme la notification et le rapport final. Une moyenne entreprise ne bénéficie pas de cette exception.
Une petite entreprise compte moins de 50 personnes, et un chiffre d'affaires ou un bilan annuel de 10 millions d'euros au plus. Une microentreprise compte moins de 10 personnes, avec 2 millions d'euros au plus.
L'intendant de logiciels ouverts ne reçoit aucune amende administrative. C'est une organisation qui soutient durablement un logiciel libre destiné à un usage commercial, sans en être le fabricant. Ses obligations demeurent pour autant.
Le texte en détail : article 64, paragraphe 10, et rectificatif du 2 juillet 2025
Les fabricants micro ou petites entreprises échappent aux amendes « en cas de non-respect du délai » de l'alerte précoce (article 64, paragraphe 10, point a).
Le considérant 120 le confirme : « une amende administrative ne peut être infligée à une microentreprise ou une petite entreprise » pour ce retard. Le délai vise une vulnérabilité comme un incident grave (article 14, paragraphes 2 et 4, points a).
Elles ne s'appliquent pas non plus « à toute violation du présent règlement par les intendants de logiciels ouverts » (point b).
Le rectificatif du 2 juillet 2025 fait lire « Par dérogation aux paragraphes 2 à 9 », au lieu de « 3 à 9 ». Sans lui, l'exception n'aurait pas couvert le paragraphe 2, celui des amendes de l'article 14.
Le considérant 120 ajoute qu'il convient de ne leur imposer « aucun autre type de sanction de nature pécuniaire ».
Les catégories d'entreprises sont celles de la recommandation 2003/361/CE, entreprises partenaires et liées comprises (article 3, point 19).
À qui il s’applique
Cet article vise tous les acteurs du règlement, organismes notifiés compris.
Chacun répond de ses propres obligations.
Fabricant
Exigences de sécurité, obligations du fabricant, signalement : le premier plafond.
Mandataire, importateur, distributeur
Leurs obligations propres : le deuxième plafond. L'importateur ou le distributeur qui vend sous sa marque répond comme un fabricant.
Organisme notifié
Ses obligations d'indépendance, de fonctionnement et d'information : le deuxième plafond.
Intendant de logiciels ouverts
Aucune amende administrative. L'autorité peut lui demander des mesures correctives.
Vous revendez sous votre marque un boîtier fabriqué en Asie ? Vous êtes fabricant, et le premier plafond vous vise : voyez les quatre rôles.
Le texte en détail : articles 21, 52 et 64
L'importateur ou le distributeur qui met un produit sur le marché sous son nom ou sa marque est considéré comme un fabricant (article 21). Il est alors soumis aux articles 13 et 14.
L'autorité de surveillance du marché qui constate un manquement d'un intendant lui demande de prendre les mesures correctives appropriées (article 52, paragraphe 3).
Depuis quand
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027.
La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
- Le règlement est en vigueur
- L'obligation de signaler
- Les amendes du règlement
Le règlement est en vigueur depuis le 10 décembre 2024, et s'applique par étapes. Le signalement des failles exploitées s'applique déjà : voyez le signalement en 24 heures.
Le règlement a été rectifié le 2 juillet 2025, dans toutes les langues. L'exception portait sur les amendes des « paragraphes 3 à 9 », et laissait de côté celles du signalement. Le rectificatif fait lire « 2 à 9 ». La note placée sous le texte officiel, plus bas, le montre.
En France, la loi qui désignerait l'autorité chargée de sanctionner n'est pas adoptée à ce jour. Selon le projet de loi, l'Agence nationale des fréquences (ANFR) contrôlerait le respect du règlement. Elle mettrait d'abord en demeure, puis pourrait infliger une amende administrative graduée.
Le Sénat a adopté ce texte le 18 février 2026. Au 20 octobre 2026, aucune séance publique n'est constatée à l'Assemblée nationale.
Le texte en détail : article 71, rectificatif et projet de loi
L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV, articles 35 à 51. L'article 64 n'en fait pas partie : il s'applique le 11 décembre 2027.
Le Journal officiel du 20 novembre 2024 portait, en français, « Par dérogation aux paragraphes 3 à 9 ». Le rectificatif du 2 juillet 2025, publié en vingt-quatre langues, fait lire « 2 à 9 ».
Le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne est le texte n° 2518 de l'Assemblée nationale. Son article 32 confierait à l'ANFR le contrôle du respect du règlement (UE) 2024/2847.
Ce que vous devez faire
Préparez dès maintenant ce que l'autorité vous demandera, en commençant par le signalement.
- Votre signalement Il s'applique déjà, quelle que soit votre taille. Voyez le signalement en 24 heures.
- Votre taille Vérifiez si vous êtes une micro ou petite entreprise, liens de groupe compris : l'exception en dépend.
- Vos preuves de conformité Documentation technique, déclaration UE de conformité, procédure d'évaluation : l'autorité les demandera.
- Vos réponses aux autorités Une réponse inexacte, incomplète ou trompeuse a son propre plafond. Faites relire avant d'envoyer.
Les mesures sur le produit, et le détail des plafonds, sont sur la page des sanctions.
Le dossier vous donne le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité. Vous signez la déclaration, et vous en répondez.
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Notes sur le texte français
Rectificatif du 2 juillet 2025 (JO L, 2025/90555), vingt-quatre langues, dont le français
Paragraphe 10, phrase introductive. Au lieu de « Par dérogation aux paragraphes 3 à 9, les amendes administratives visées auxdits paragraphes ne s’appliquent pas: », lire « Par dérogation aux paragraphes 2 à 9, les amendes administratives visées auxdits paragraphes ne s’appliquent pas: ».
Texte officiel de l’article 64
Article 64
Sanctions
1. Les États membres déterminent le régime des sanctions applicables aux violations du présent règlement et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Ces sanctions doivent être effectives, proportionnées et dissuasives. Les États membres informent la Commission, sans retard, du régime ainsi déterminé et des mesures ainsi prises, de même que, sans retard, de toute modification apportée ultérieurement à ce régime ou à ces mesures.
2. Le non-respect des exigences de cybersécurité énoncées à l’annexe I et avec les obligations énoncées aux articles 13 et 14 fait l’objet d’une amende administrative pouvant aller jusqu’à 15 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 2,5 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
3. Le non-respect des obligations établies aux articles 18 à 23, à l’article 28, à l’article 30, paragraphes 1 à 4, à l’article 31, paragraphes 1 à 4, à l’article 32, paragraphes 1, 2 et 3, à l’article 33, paragraphe 5, et aux articles 39, 41, 47, 49 et 53 fait l’objet d’une amende administrative pouvant aller jusqu’à 10 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 2 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
4. La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés et aux autorités de surveillance du marché en réponse à une demande fait l’objet d’une amende administrative pouvant aller jusqu’à 5 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 1 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
5. Pour décider du montant de l’amende administrative dans chaque cas d’espèce, toutes les caractéristiques propres à chaque cas sont prises en considération et il est dûment tenu compte des éléments suivants:
a) la nature, la gravité et la durée de l’infraction et de ses conséquences;
b) la question de savoir si des amendes administratives ont déjà été imposées par les mêmes ou d’autres autorités de surveillance du marché au même opérateur économique pour une infraction similaire;
c) la taille, en particulier en ce qui concerne les microentreprises, les petites et moyennes entreprises, y compris les jeunes entreprises, et la part de marché de l’opérateur économique qui commet l’infraction.
6. Les autorités de surveillance du marché qui appliquent des amendes administratives communiquent ces informations aux autorités de surveillance du marché des autres États membres au moyen du système d’information et de communication visé à l’article 34 du règlement (UE) 2019/1020.
7. Chaque État membre établit les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics établis sur son territoire.
8. En fonction du système juridique des États membres, les règles relatives aux amendes administratives peuvent être appliquées de telle sorte que les amendes sont imposées par les juridictions nationales compétentes ou d’autres organismes, en fonction des compétences établies au niveau national dans ces États membres. L’application de ces règles dans ces États membres a un effet équivalent.
9. Des amendes administratives peuvent être imposées, en fonction des circonstances propres à chaque cas, en plus de toute autre mesure corrective ou restrictive appliquée par les autorités de surveillance du marché pour la même infraction.
10. Par dérogation aux paragraphes 3 à 9, les amendes administratives visées auxdits paragraphes ne s’appliquent pas: voir la note 1
a) aux fabricants considérés comme des microentreprises ou des petites entreprises en cas de non-respect du délai visé à l’article 14, paragraphe 2, point a), ou à l’article 14, paragraphe 4, point a);
b) à toute violation du présent règlement par les intendants de logiciels ouverts.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Les amendes du CRA s'appliquent-elles déjà ?
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
Quel plafond s'applique à une procédure d'évaluation manquée ?
Deux dispositions se recoupent. L'article 32, paragraphes 1 à 3, relève du plafond de 10 millions d'euros ou 2 % (art. 64, paragraphe 3). L'obligation d'appliquer la procédure figure aussi à l'article 13, paragraphe 12, qui relève de 15 millions d'euros ou 2,5 % (paragraphe 2).
Une petite entreprise peut-elle recevoir une amende ?
Oui, pour tout manquement sauf le retard de l'alerte précoce de 24 heures (article 64, paragraphe 10, point a). L'autorité tient compte de sa taille pour fixer le montant (paragraphe 5, point c).
Pourquoi lit-on parfois « paragraphes 3 à 9 » ?
C'est le texte français publié au Journal officiel le 20 novembre 2024. Le rectificatif du 2 juillet 2025 le corrige en « 2 à 9 ». Le texte authentique affiché sur EUR-Lex reste celui du Journal officiel : la correction figure dans un acte séparé.
Un organisme notifié peut-il recevoir une amende ?
Oui. Ses obligations des articles 39, 41, 47 et 49 relèvent du plafond de 10 millions d'euros ou 2 % (art. 64, paragraphe 3).
Qui infligera les amendes en France ?
La loi qui le dirait n'est pas adoptée au 20 octobre 2026. Le projet de loi confierait ce contrôle à l'ANFR, avec une mise en demeure préalable.
L'amende remplace-t-elle le retrait du produit ?
Non, elle peut s'y ajouter. L'amende peut être imposée « en plus de toute autre mesure corrective ou restrictive » prise pour la même infraction (art. 64, paragraphe 9).
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Rectificatif du 2 juillet 2025 au règlement (UE) 2024/2847, articles 64 et 69
- Recommandation 2003/361/CE, définition des micro, petites et moyennes entreprises
- Règlement (UE) 2019/1020, article 34, système d'information et de communication
- Assemblée nationale, projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.