Impact sur l'activité
Le risque d’accès au marché
C’est le risque principal, et il n’est pas graduel : sans marquage CE, un produit ne peut pas être mis sur le marché de l’Union.
Calcul à produire pour le comité :
| Ligne | Valeur |
|---|---|
| Chiffre d’affaires réalisé dans l’Union européenne | _____ M€ |
| Part réalisée par des produits comportant des éléments numériques | _____ % |
| Chiffre d’affaires exposé | _____ M€ |
| Part de ce chiffre d’affaires portée par des produits de classe II ou Critique | _____ % |
| Chiffre d’affaires dépendant d’un organisme notifié | _____ M€ |
La dernière ligne est celle qui doit déclencher la décision : c’est le chiffre d’affaires dont la continuité dépend d’un tiers dont vous ne maîtrisez pas le délai.
L’exposition financière
Trois composantes, détaillées dans Exposition et registre des risques :
- Administrative — jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial.
- Commerciale — chiffre d’affaires perdu pendant une interdiction ou un retrait, plus le coût d’un rappel pour un produit matériel.
- Contractuelle — pénalités, résiliations et indemnisations prévues par vos contrats.
À quoi s’ajoute l’exposition en responsabilité civile : la directive (UE) 2024/2853 inclut le logiciel et prend en compte l’absence de mises à jour de sécurité dans l’appréciation du défaut.
Le coût de la conformité
| Poste | Nature | Horizon |
|---|---|---|
| Outillage | Investissement puis abonnement | Récurrent |
| Effectifs | PSIRT, conformité, ingénierie sécurité | Récurrent |
| Astreinte | Rotation technique et juridique | Récurrent |
| Organismes notifiés | Évaluation initiale et maintien | Par produit, par cycle |
| Certification des produits critiques | Laboratoire d’évaluation, maintenance du certificat | Par produit, cycle long |
| Maintien du support 5 à 10 ans | Chaînes de compilation, rétroportages, archivage | Le plus sous-estimé |
| Formation | Développement, juridique, achats | Ponctuel puis récurrent |
Le poste le plus sous-estimé est le dernier de la colonne : maintenir la capacité de produire un correctif pour une version livrée il y a huit ans suppose des environnements de construction conservés, des compétences disponibles et une organisation qui y consacre du temps sans revenu associé.
Les opportunités
Elles sont réelles et rarement mises en avant, alors qu’elles portent une partie du financement.
Le SBOM est devenu un argument commercial. Les grands comptes et les acheteurs publics le demandent déjà dans leurs appels d’offres. Le produire répond à une obligation et raccourcit les cycles de vente.
Les questionnaires de sécurité clients se répondent en heures au lieu de semaines lorsque les preuves existent. Sur un volume significatif d’appels d’offres, l’économie est mesurable.
Les diligences d’acquisition et de levée de fonds intègrent désormais le CRA. Un dossier propre évite une garantie de passif ou une retenue de prix.
La dette technique devient visible et chiffrable. L’inventaire révèle les composants abandonnés, les versions figées, les dépendances à mainteneur unique. C’est la première fois que ces informations sont disponibles à l’échelle du portefeuille.
Le temps de réponse à un incident majeur passe de plusieurs semaines à quelques heures. La valeur de ce gain se mesure au coût du dernier incident de chaîne d’approvisionnement public.
L’effet d’entraînement
La conformité au CRA couvre une large part de ce qui est attendu par ailleurs :
| Exigence externe | Couverte par les travaux CRA |
|---|---|
| NIS 2 — sécurité de la chaîne d’approvisionnement, gestion des incidents | Largement |
| DORA — pour vos clients du secteur financier | Partiellement |
| Questionnaires clients de sécurité | Largement |
| ISO/IEC 27001 — maîtrise des actifs et des vulnérabilités | Partiellement |
| Audits de licences | Largement, via le SBOM |
| Diligences d’acquisition | Largement |
Présenter le projet comme un socle de preuves mutualisées plutôt que comme un silo réglementaire change la façon dont il est financé.
Le message à retenir
Le CRA transforme une bonne pratique en condition d’accès au marché. Le coût de la conformité est réel et récurrent ; le coût de la non-conformité est discontinu et potentiellement fatal pour une ligne de produits. L’arbitrage ne porte pas sur « faire ou ne pas faire », mais sur le rythme et le périmètre.