Cadre · Europe
Cyber Resilience Act
Le Cyber Resilience Act fixe des exigences de cybersécurité pour les produits comportant des éléments numériques. L’obligation de notification s’applique depuis le 11 septembre 2026 ; les obligations principales entrent en vigueur le 11 décembre 2027.
Le cadre expliqué
Que change le CRA pour les produits numériques ?
De quoi s’agit-il ?
Le Cyber Resilience Act (règlement (UE) 2024/2847) fixe des exigences de cybersécurité pour le matériel et les logiciels comportant des éléments numériques mis sur le marché de l’UE. Les exigences portent sur le produit et sur la gestion des vulnérabilités pendant toute la période de support.
À qui s’adresse-t-elle ?
Le CRA s’applique aux fabricants, importateurs et distributeurs, avec des obligations différentes selon le rôle. L’application dépend du produit et de sa connexion à des appareils ou à des réseaux ; des composants vendus séparément peuvent aussi être concernés. Les exceptions, l’open source et le traitement de données à distance lié au produit doivent chacun faire l’objet d’un examen spécifique.
Pourquoi agir ?
Les obligations principales s’appliquent à partir du 11 décembre 2027. Les fabricants doivent notamment évaluer les risques liés au produit, constituer la documentation technique et mener l’évaluation de conformité applicable en vue de la déclaration UE de conformité et du marquage CE. Cela demande une préparation, tant pour le développement que pour la maintenance.
Par où commencer ?
- Dressez l’inventaire de vos produits, de vos composants et de votre rôle dans la chaîne.
- Mettez en place une analyse de risques propre au produit, la documentation et des processus de développement et de mise à jour sécurisés.
- Mettez dès maintenant en place votre procédure de notification : depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Une alerte précoce est requise dans les 24 heures suivant la prise de connaissance, suivie d’une notification dans les 72 heures.
- Planifiez la voie de conformité et la période de support de chaque produit en vue de décembre 2027.
Sources publiques · contenu vérifié le 5 octobre 2026
Commission européenne : le CRA et les obligations relatives aux produits Commission européenne : obligation de notification et plateforme EUR-Lex : règlement (UE) 2024/2847
Approche
Des preuves propres au produit
Le CRA exige des preuves au niveau du produit et de chaque version. Un ISMS à l’échelle de l’organisation ne suffit pas à lui seul.
- Nous identifions d’abord vos produits et votre rôle dans la chaîne d’approvisionnement.
- Ensuite, nous adaptons l’approche à ces produits.
- Notre offre dédiée au CRA est en cours d’élaboration. Lors d’un premier entretien, nous examinons le contexte de vos produits et les prochaines étapes adaptées.
Cadres
Découvrez les autres cadres
Chaque cadre a son propre périmètre et ses propres exigences de preuve. Souvent, plusieurs s’appliquent en même temps.
Envie de faire le point sur vos produits face au CRA ?
Dites-nous quels produits numériques vous proposez et quel rôle vous jouez dans la chaîne d’approvisionnement. Ensemble, nous identifions les questions pertinentes et les prochaines étapes.