B. RISQUES DE SURTRANSPOSITION ET MARGES DE MANoeUVRE LÉGISLATIVES
Le texte n'est pas la transposition d'une directive mais l'adaptation d'un règlement, ce qui limite les marges de manoeuvre législatives.
Le règlement CRA dispose ainsi dans son considérant (13) que « conformément à l'objectif du présent règlement consistant à éliminer les obstacles à la libre circulation des produits comportant des éléments numériques, les États membres ne devraient pas empêcher, pour les aspects relevant du présent règlement, la mise à disposition sur le marché de produits comportant des éléments numériques conformes au présent règlement. Par conséquent, en ce qui concerne les questions harmonisées par le présent règlement, les États membres ne peuvent pas imposer d'exigences de cybersécurité supplémentaires pour la mise à disposition sur le marché de produits comportant des éléments numériques. Cependant, toute entité, qu'elle soit publique ou privée, peut imposer des exigences, en plus de celles prévues par le présent règlement, pour l'achat de produits comportant des éléments numériques ou leur utilisation à des fins qui lui sont propres, et peut donc choisir d'utiliser des produits comportant des éléments numériques répondant à des exigences de cybersécurité plus strictes ou plus spécifiques que celles qui s'appliquent à la mise à disposition sur le marché en vertu du présent règlement ».
C. INITIATIVES RÉCENTES OU À VENIR DE LA COMMISSION SUR CETTE THÉMATIQUE
Le schéma de cybersécurité de l'Union européenne est régulièrement complété et enrichi. La Commission européenne a ainsi présenté le 20 janvier 2026 une révision du règlement sur la cybersécurité. La réforme de ce règlement de 2019 doit instaurer un « mécanisme de sécurité des chaînes d'approvisionnement technologiques ». Ce mécanisme vise à évaluer les risques sécuritaires pesant sur certains composants de chaînes de valeurs critiques, comme le cloud ou les semi-conducteurs. En outre, il permettra d'exclure des fournisseurs considérés comme étant à « haut risque ».