Les sanctions
Le barème
| Manquement | Plafond |
|---|---|
| Non-respect des exigences essentielles de l’annexe I et des obligations des articles 13 et 14 (obligations du fabricant, signalement) | 15 000 000 € ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent — le montant le plus élevé étant retenu |
| Non-respect de toute autre obligation du règlement | 10 000 000 € ou 2 % |
| Fourniture d’informations incorrectes, incomplètes ou trompeuses aux organismes notifiés et aux autorités de surveillance du marché | 5 000 000 € ou 1 % |
Deux précisions structurantes :
- les sponsors de logiciel libre ne sont pas passibles d’amendes administratives — voir Le sponsor de logiciel libre ;
- la situation des micro, petites et moyennes entreprises, y compris des jeunes pousses, est prise en compte dans la détermination du montant.
Les États membres fixent le régime national de sanctions dans ces plafonds et le notifient à la Commission.
Les critères de modulation
Le montant n’est pas mécanique. Sont pris en compte, notamment :
- la nature, la gravité et la durée de l’infraction, ainsi que ses conséquences ;
- le caractère intentionnel ou négligent du manquement ;
- les mesures prises pour atténuer le préjudice subi par les utilisateurs ;
- les infractions antérieures du même opérateur ;
- le degré de coopération avec les autorités ;
- les avantages financiers tirés du manquement, ou les pertes évitées ;
- la taille de l’entreprise, notamment s’il s’agit d’une PME.
Ce que cela dit de votre posture. Un dossier documenté, des décisions tracées et une coopération immédiate déplacent le curseur bien plus que la perfection technique. Le registre des décisions — signaler ou ne pas signaler, corriger ou documenter en VEX — est la pièce défensive centrale.
Les sanctions non pécuniaires
Elles sont souvent plus lourdes que l’amende, et elles interviennent plus vite.
| Mesure | Effet |
|---|---|
| Injonction de mise en conformité dans un délai imparti | Mobilisation d’urgence, arbitrages de feuille de route |
| Restriction ou interdiction de mise à disposition sur le marché de l’Union | Arrêt des ventes |
| Retrait du marché | Retrait des stocks et des canaux de distribution |
| Rappel du produit | Coût logistique, coût de remplacement, exposition médiatique |
| Publication de la décision | Effet réputationnel durable |
| Mesures d’urgence à l’échelle de l’Union | En cas de risque significatif, via la procédure de sauvegarde |
Une interdiction de mise à disposition sur le marché de l’Union pendant quelques mois coûte, pour la plupart des acteurs, plusieurs fois le montant maximal de l’amende.
Chiffrer votre exposition
Le calcul à porter en comité tient en trois lignes :
- Exposition administrative : 2,5 % du chiffre d’affaires consolidé du dernier exercice, comparé à 15 M€ — retenir le plus élevé.
- Exposition commerciale : part du chiffre d’affaires réalisée dans l’Union, multipliée par la durée plausible d’une interdiction de mise à disposition.
- Exposition contractuelle : pénalités et résiliations prévues par vos contrats clients en cas de non-conformité réglementaire.
Le détail méthodologique figure dans Exposition et risques.
Responsabilité civile
Le CRA se combine avec la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, qui inclut désormais explicitement le logiciel et prend en compte l’absence de mises à jour de sécurité dans l’appréciation du défaut.
Conséquence : un manquement au CRA — période de support non tenue, correctif non diffusé, vulnérabilité connue non traitée — devient un élément à charge dans une action en responsabilité, indépendamment de toute sanction administrative.
Assurance
Deux points à instruire avec le courtier :
- les clauses d’exclusion des polices cyber en cas de non-respect d’une obligation réglementaire connue ;
- la couverture des frais de rappel et de mise en conformité forcée, qui relèvent rarement des polices cyber standard.