LES SANCTIONS · ARTICLE 64
Amendes du CRA : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial
Amendes du CRA dès le 11 décembre 2027 : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Plafonds, allègements, retrait du produit.
Sur cette page
- Quel est le montant des amendes du CRA ?
- Comment le montant de l'amende est-il fixé ?
- Depuis quand les amendes du CRA s'appliquent-elles ?
- Les petites entreprises échappent-elles aux amendes du CRA ?
- Que risque votre produit, au-delà de l'amende ?
- Qui sanctionnera les manquements au CRA en France ?
- Que pouvez-vous préparer dès maintenant ?
Au 20 octobre 2026, les amendes du Cyber Resilience Act (CRA) ne s'appliquent pas encore : elles arrivent le 11 décembre 2027.
Article 64, paragraphes 2 à 4
Quel est le montant des amendes du CRA ?
Selon le manquement, l'amende peut atteindre 15, 10 ou 5 millions d'euros, ou un pourcentage du chiffre d'affaires s'il est plus élevé.
- 15 millions d'euros
- ou 2,5 % du chiffre d'affaires annuel mondial
- 10 millions d'euros
- ou 2 %
- 5 millions d'euros
- ou 1 %
Le produit et le fabricant
Les exigences de sécurité, les obligations du fabricant, dont établir la déclaration UE, apposer le marquage CE et appliquer la procédure d'évaluation. Le signalement des failles.
15 millions d'euros ou 2,5 %
Les règles de forme et les autres acteurs
Le contenu de la déclaration UE, l'apposition du marquage CE, la documentation technique, la procédure d'évaluation. Les obligations des importateurs, distributeurs et mandataires.
10 millions d'euros ou 2 %
Les informations inexactes
Une réponse inexacte, incomplète ou trompeuse à une autorité ou à un organisme notifié.
5 millions d'euros ou 1 %
Une entreprise réalise 1 milliard d'euros de chiffre d'affaires mondial ? À 2,5 %, son plafond monte à 25 millions d'euros. Une PME de 8 millions d'euros garde un plafond de 15 millions d'euros, car le plus élevé des deux montants l'emporte.
Vous importez ou revendez ? Le deuxième plafond vous vise, voyez l'importateur et le distributeur.
Le texte en détail : article 64, paragraphes 2 à 4
Le premier plafond vise l'annexe I et les articles 13 et 14 (article 64, paragraphe 2). L'article 13 comprend l'obligation du fabricant d'établir la documentation technique et la déclaration UE, et d'apposer le marquage CE (paragraphe 12).
Le deuxième vise les articles 18 à 23 et 28, et les paragraphes 1 à 4 des articles 30 et 31. S'y ajoutent l'article 32, paragraphes 1 à 3, l'article 33, paragraphe 5, et les articles 39, 41, 47, 49 et 53 (paragraphe 3).
Le troisième vise les informations inexactes, incomplètes ou trompeuses fournies sur demande (paragraphe 4).
Le pourcentage porte sur l'exercice précédent, « si l'auteur de l'infraction est une entreprise ».
Article 64, paragraphe 5
Comment le montant de l'amende est-il fixé ?
L'autorité fixe le montant au cas par cas, sous ce plafond.
Trois éléments pèsent en particulier.
La gravité
La nature, la gravité et la durée du manquement, et ses conséquences.
Les antécédents
Une amende déjà infligée au même opérateur, pour un manquement similaire.
La taille
La taille de l'entreprise et sa part de marché, en particulier pour les micro, petites et moyennes entreprises.
Le texte en détail : article 64, paragraphes 5 et 6
Toutes les caractéristiques propres à chaque cas sont prises en considération (article 64, paragraphe 5). L'amende infligée est communiquée aux autorités des autres États membres (paragraphe 6).
Articles 64 et 71
Depuis quand les amendes du CRA s'appliquent-elles ?
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027.
La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
- Le règlement est en vigueur
- L'obligation de signaler
- Les amendes du règlement
Le règlement est en vigueur depuis le 10 décembre 2024, et s'applique par étapes. Le signalement vise aussi vos produits déjà en vente, vérifiez ce qui s'applique déjà.
Vous faites fabriquer un produit et le vendez sous votre marque ? Vous êtes fabricant, donc déjà tenu de signaler. Voyez les quatre rôles.
Le texte en détail : articles 3 et 71
L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV, articles 35 à 51 : l'article 64 n'en fait pas partie. Le texte ne dit pas comment serait sanctionné un manquement antérieur.
Est fabricant qui fait fabriquer un produit et le commercialise sous sa marque (article 3, point 13). Les articles 21 et 22 s'appliquent le 11 décembre 2027.
Article 64, paragraphe 10
Les petites entreprises échappent-elles aux amendes du CRA ?
Non : une micro ou petite entreprise n'échappe qu'à une amende, celle d'une alerte précoce envoyée après 24 heures.
Cet allègement s'applique à partir du 11 décembre 2027. L'alerte reste due, seule l'amende tombe.
Une petite entreprise compte moins de 50 personnes, avec un chiffre d'affaires ou un bilan annuel de 10 millions d'euros au plus.
L'intendant de logiciels ouverts, lui, ne reçoit aucune amende administrative. Il soutient durablement un logiciel libre destiné à des activités commerciales, sans en être le fabricant.
Le texte en détail : articles 3 et 64
Le point a) vise l'alerte précoce de 24 heures, pour une vulnérabilité comme pour un incident grave (article 64, paragraphe 10, point a). Le considérant 120 le confirme : « une amende administrative ne peut être infligée à une microentreprise ou une petite entreprise » pour ce retard.
Le rectificatif du 2 juillet 2025 fait porter la dérogation sur les paragraphes 2 à 9, au lieu de 3 à 9. Sans lui, elle n'aurait pas couvert le paragraphe 2, qui porte les amendes des articles 13 et 14.
Le point b) vise toute violation commise par un intendant de logiciels ouverts.
Les catégories d'entreprises sont celles de la recommandation 2003/361/CE, entreprises partenaires et liées comprises (article 3, point 19).
Articles 54, 57 et 58
Que risque votre produit, au-delà de l'amende ?
L'autorité peut faire retirer ou rappeler votre produit, et c'est souvent le vrai risque.
Prenez une caméra connectée non conforme, qui présente un risque de cybersécurité important. L'autorité vous fixe un délai pour la corriger, la retirer ou la rappeler. Sinon, elle agit elle-même, de l'interdiction au rappel.
Un produit non conforme et risqué
Il ne respecte pas le règlement et présente un risque de cybersécurité important.
Un produit conforme, mais dangereux
Un risque de cybersécurité important doublé, par exemple, d'un risque pour la santé. Les mesures vont jusqu'au retrait ou au rappel.
Un dossier incomplet
Marquage CE, déclaration UE ou documentation technique absents ou défaillants. La vente peut être restreinte ou interdite.
La mesure ne s'arrête pas à la frontière, car vous corrigez tous les produits concernés vendus dans l'Union. Ces mesures s'appliquent à partir du 11 décembre 2027, avec l'essentiel du CRA.
Le texte en détail : articles 54 à 58 et 64
Faute de mesures dans le délai prescrit, l'autorité adopte des mesures provisoires (article 54, paragraphes 1 et 5). Sans objection en trois mois, tous les États membres suivent (paragraphes 8 et 9).
Le produit conforme doit aussi présenter un risque pour les personnes, les droits fondamentaux, les entités essentielles ou l'intérêt public (article 57).
L'article 58 vise six cas de non-conformité formelle. Amendes et mesures peuvent se cumuler (article 64, paragraphe 9).
Article 64, paragraphe 1, et droit français
Qui sanctionnera les manquements au CRA en France ?
À ce jour, la loi qui désignerait l'autorité de contrôle du CRA en France n'est pas adoptée.
Selon le projet de loi, ce rôle reviendrait à l'ANFR, l'Agence nationale des fréquences. Le Sénat a adopté ce texte le 18 février 2026, et aucune séance publique n'est constatée à ce jour à l'Assemblée nationale.
Depuis un décret du 9 octobre 2026, l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, est l'autorité notifiante. Elle désigne et contrôle les organismes qui évaluent certains produits, et non les fabricants.
Le texte en détail : articles 36 et 64, décret et projet de loi
Les sanctions doivent être « effectives, proportionnées et dissuasives », et notifiées à la Commission « sans retard » (article 64, paragraphe 1).
Le décret n° 2026-944 du 9 octobre 2026, paru au Journal officiel du 11 octobre, désigne l'ANSSI (article 36).
Le projet de loi est le texte n° 2518 de l'Assemblée nationale. Son article 32 vise l'ANFR.
En pratique
Que pouvez-vous préparer dès maintenant ?
Un dossier prêt avant décembre 2027 vous permet de répondre à la première demande d'une autorité, ou d'un client, le jour même.
Le dossier vous donne le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité, à 490 € HT par produit. Vous signez la déclaration, et vous en répondez.
Une question sur votre cas ? DATIVO vous répond sous deux jours ouvrés, par le formulaire de contact. Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Questions fréquentes
Quel est le montant maximal d'une amende du CRA ?
15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 64, paragraphe 2).
Une PME risque-t-elle vraiment 15 millions d'euros ?
Sous 600 millions d'euros de chiffre d'affaires, le plafond reste de 15 millions d'euros. Mais l'autorité tient compte de votre taille (art. 64, paragraphe 5, point c).
Un importateur peut-il recevoir une amende ?
Oui, jusqu'à 10 millions d'euros ou 2 % pour ses obligations propres (art. 64, paragraphe 3). S'il vend sous sa marque, il répond des obligations du fabricant (art. 21).
Un intendant de logiciels ouverts peut-il recevoir une amende ?
Non (art. 64, paragraphe 10, point b). Ses obligations demeurent, et l'autorité peut lui demander des mesures correctives (art. 52, paragraphe 3).
Qui infligera les amendes en France ?
La loi qui le dirait n'est pas adoptée à ce jour. Le projet de loi confierait ce contrôle à l'ANFR.
Le CRA s'applique-t-il à mon produit ?
Faites le diagnostic, sans frais et sans compte.
Le règlement commenté
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Rectificatif du 2 juillet 2025 au règlement (UE) 2024/2847, articles 64 et 69
- Recommandation 2003/361/CE, définition des micro, petites et moyennes entreprises
- Décret n° 2026-944 du 9 octobre 2026, Légifrance
- Assemblée nationale, projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.