Cyber Resilience Act et Monaco

Une échéance dont peu d'entreprises monégasques ont entendu parler

Le 11 septembre 2026, les premières obligations contraignantes du Cyber Resilience Act européen (règlement (UE) 2024/2847) entrent en application. À partir de cette date, les fabricants de produits comportant des éléments numériques devront signaler aux autorités européennes les vulnérabilités activement exploitées et les incidents de sécurité graves — dans des délais qui se comptent en heures, pas en semaines.

Le réflexe monégasque consiste à passer son chemin. Monaco n'est pas un État membre de l'Union européenne, et les règlements européens ne s'appliquent donc pas automatiquement aux entreprises monégasques. Ce réflexe est le plus souvent justifié. Ici, il l'est un peu moins, car le Cyber Resilience Act s'attache au lieu où le produit est mis sur le marché, pas au lieu d'immatriculation de l'entreprise.

Si votre société monégasque met un logiciel, une application ou un objet connecté sur le marché européen, vous êtes potentiellement concerné. Si vous exploitez un restaurant doté d'une page de réservation, vous ne l'êtes pas. C'est entre ces deux situations que se joue tout l'intérêt du sujet.

Pourquoi être hors de l'UE ne suffit pas à s'en affranchir

Le Cyber Resilience Act relève de la logique de mise sur le marché, la même famille juridique que le marquage CE. Il vise les produits comportant des éléments numériques mis à disposition sur le marché de l'Union, quel que soit le lieu d'établissement du fabricant. Une entreprise située hors de l'Union qui y vend entre dans le champ d'application.

Pour un fabricant non européen, la conséquence pratique est structurelle : quelqu'un, à l'intérieur de l'Union, doit porter les obligations de conformité. Cela suppose de désigner un mandataire établi dans l'UE, ou de s'appuyer sur un importateur qui assume les devoirs correspondants. Pour un éditeur de logiciels monégasque vendant à des clients français, italiens ou allemands, ce n'est pas une formalité à traiter au moment de la commercialisation : cela détermine qui signe quoi.

La position de Monaco est ici réellement singulière. Monaco fait partie du territoire fiscal français en matière de TVA, ce que l'on confond régulièrement avec une appartenance à l'Union. Ce n'est pas la même chose, et aucun de ces deux éléments ne tranche la question. Ce qui la tranche, c'est le fait de mettre ou non un produit comportant des éléments numériques sur le marché européen.

Ce qu'est un « produit comportant des éléments numériques »

C'est ici que la plupart des entreprises monégasques trouveront un soulagement — et que quelques-unes trouveront du travail.

Le règlement couvre le matériel connectable et les logiciels : les exemples donnés par la Commission vont des moniteurs pour bébés aux montres connectées, des applications aux programmes informatiques. Au-delà du produit lui-même, les solutions de traitement de données à distance nécessaires à son fonctionnement en sont considérées comme faisant partie et sont donc couvertes. Les produits sont ensuite répartis en catégories déterminant le mode d'évaluation de la conformité : la majorité relève d'une catégorie par défaut et peut être autoévaluée, des classes plus strictes visent gestionnaires de mots de passe, VPN, systèmes d'exploitation et pare-feux, et une petite catégorie critique — compteurs intelligents, éléments sécurisés — impose une certification.

Concrètement, pour une entreprise monégasque type :

• Un site vitrine, une page de réservation ou un site institutionnel ne sont pas la cible de ce règlement. Vos travaux de développement web ne deviennent pas un produit marqué CE.
• Une application mobile native que vous publiez et commercialisez relève d'une analyse nettement plus serrée, et mérite un examen sérieux.
• Le matériel connecté — un appareil vendu avec son logiciel compagnon — correspond exactement à ce que le règlement visait. Monaco en compte plus qu'on ne l'imagine, en particulier dans le yachting, les systèmes de sécurité et les technologies du bâtiment.
• Le SaaS pur occupe une position plus nuancée : le champ est construit autour de produits et non de services, mais les composants cloud liés au fonctionnement d'un produit y sont rattachés. Si votre chiffre d'affaires dépend de la réponse, demandez-la à un conseil qualifié.

Le compte à rebours de 24 et 72 heures

L'obligation de septembre est plus étroite que la conformité complète, mais exigeante sur le plan opérationnel. Pour une vulnérabilité activement exploitée ou un incident grave affectant la sécurité de votre produit :

1. Alerte précoce sous 24 heures après en avoir eu connaissance.
2. Notification complète sous 72 heures.
3. Rapport final sous 14 jours après la mise à disposition d'une mesure corrective pour une vulnérabilité, ou sous un mois pour un incident grave.

Les signalements passent par la plateforme de signalement unique du CRA vers le CSIRT compétent, l'objectif étant de déclarer une seule fois plutôt qu'auprès de chaque État membre.

Ce sont les 24 heures qui doivent retenir l'attention. Ce délai ne laisse pas le temps de déterminer qui décide, qui rédige et qui détient les accès à la plateforme. Ces questions doivent être réglées avant l'incident — c'est la leçon que les entreprises monégasques ont tirée de l'obligation de notification sous 72 heures prévue par la loi n° 1.565, et une bonne raison de traiter les deux sujets dans un même chantier. Si vous disposez déjà d'une procédure interne pour les notifications liées à la protection des données APDP, étendez-la plutôt que de repartir de zéro.

Que faire avant le 11 septembre

• Déterminez si vous êtes concerné. Mettez par écrit ce que vous vendez, sous quelle forme, à qui et dans quels pays. La plupart des entreprises monégasques boucleront l'exercice en un après-midi avec une réponse négative claire, et cette réponse écrite a une valeur en soi.
• Identifiez votre opérateur économique dans l'UE. Vendre des produits dans l'Union sans mandataire ni dispositif d'importation est la première lacune à combler.
• Désignez un responsable et un circuit. Une personne redevable de l'alerte sous 24 heures, avec un accès documenté à la plateforme et un suppléant pour les congés.
• Sachez d'où vient votre logiciel. Signaler des vulnérabilités exploitées suppose de connaître ses composants. Pour la plupart des équipes, cela signifie un inventaire des dépendances et une veille régulière — ce qui relève d'un contrat suivi de maintenance et support de site, pas d'un audit ponctuel.

La véritable échéance est le 11 décembre 2027

Septembre 2026 déclenche les obligations de signalement. Les exigences de fond — sécurité dès la conception, gestion des vulnérabilités sur toute la période de support, documentation technique, évaluation de conformité et marquage CE — s'appliquent à compter du 11 décembre 2027. À noter : les obligations de signalement visent aussi des produits déjà présents sur le marché européen, si bien qu'une application commercialisée il y a plusieurs années n'en sort pas automatiquement.

Quinze mois paraissent confortables et ne le sont pas si votre produit exige une procédure d'évaluation de conformité, une revue de sécurité dès la conception, ou une refonte de votre manière de livrer les mises à jour. Les entreprises qui verront dans septembre une invitation à cartographier leur exposition passeront 2027 à exécuter. Celles qui attendront le passeront à improviser.

Une réserve honnête : le texte est récent, les lignes directrices continuent d'être publiées, et les questions de périmètre aux marges — en particulier sur le SaaS — méritent une lecture juridique sérieuse. Lorsque la réponse conditionne votre feuille de route produit ou votre capacité à vendre dans l'Union, faites-la valider par un professionnel qualifié. Rien de ce qui précède ne constitue un conseil juridique.

Pour la plupart des entreprises monégasques, la bonne issue de cette lecture est un « hors champ » court et documenté. Pour la minorité qui développe des logiciels et des produits connectés destinés à des clients européens, c'est le début d'un vrai projet — qui s'articule naturellement avec vos arbitrages de stratégie digitale sur les marchés à adresser.

Pour déterminer de quel côté de cette ligne se situe votre activité, contactez-nous : un échange bref suffit généralement à trancher.