CRA : cybersécurité des produits comportant des éléments numériques
Le Cyber Resilience Act oblige les fabricants, importateurs et distributeurs de produits comportant des éléments numériques à assurer la cybersécurité sur tout le cycle de vie — du développement jusqu’à la fin du support. Contrairement à NIS2 et DORA, il ne s’attache pas à des secteurs, mais à votre rôle dans la chaîne d’approvisionnement.
Un droit du produit, pas un droit de l’exploitant.
Le Cyber Resilience Act (règlement (UE) 2024/2847) est entré en vigueur le 10 décembre 2024 et s’applique directement dans toute l’UE. Il traite la cybersécurité comme la sécurité des produits : un produit comportant des éléments numériques ne peut être mis sur le marché de l’UE que s’il satisfait aux exigences essentielles de l’annexe I — démontré par une procédure d’évaluation de la conformité et visible par le marquage CE.
C’est la différence décisive avec NIS2 et DORA. Ces deux textes obligent des entités selon leur secteur et leur taille. Le CRA oblige des opérateurs économiques selon leur rôle : fabricants, mandataires, importateurs et distributeurs. Celui qui se contente d’exploiter ou d’utiliser un produit n’est pas concerné — pour lui, c’est NIS2 qui s’applique. Votre assujettissement ne dépend donc pas de votre secteur, mais du fait que vous mettiez ou non des logiciels ou des appareils connectés sur le marché.
Le règlement distingue trois niveaux de risque. Le cas général est l’auto-évaluation par le fabricant. Les produits importants (annexe III, répartis en classes I et II — gestionnaires de mots de passe, VPN, pare-feu, microprocesseurs notamment) et les produits critiques (annexe IV — modules matériels de sécurité et cartes à puce notamment) exigent des procédures plus strictes, allant jusqu’à l’intervention d’un organisme notifié. Sont exclus notamment les dispositifs médicaux (MDR/IVDR), les technologies automobiles réceptionnées par type, l’aviation civile et les produits destinés exclusivement à la sécurité nationale ou à la défense.
Échéances clés
Le CRA entre en vigueur
Règlement (UE) 2024/2847, publié au Journal officiel le 20.11.2024. Entrée en vigueur le vingtième jour suivant ; les obligations elles-mêmes s’appliquent de manière échelonnée.
Le chapitre relatif aux organismes d’évaluation de la conformité devient applicable
À partir de cette date, des organismes notifiés peuvent être désignés — l’infrastructure qui devra plus tard évaluer les produits importants et critiques se met en place dans cette fenêtre.
Les obligations de notification de l’art. 14 deviennent applicables
Les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents de sécurité graves : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours ou un mois — via la plateforme de notification unique, au CSIRT compétent et à l’ENISA. Cette échéance arrive 15 mois avant la pleine application.
Toutes les autres obligations deviennent applicables
Exigences essentielles de l’annexe I, évaluation de la conformité et marquage CE, documentation technique, nomenclature logicielle (SBOM), gestion des vulnérabilités et période de support d’au moins cinq ans.
Ce que le CRA exige de vous.
Sécurité dès la conception (annexe I, partie I)
Les produits sont livrés sans vulnérabilité exploitable connue, avec une configuration par défaut sécurisée, une protection des accès, le chiffrement des données au repos et en transit, et la possibilité de supprimer les données utilisateur de manière sûre.
Gestion des vulnérabilités sur la période de support (annexe I, partie II)
Documenter les vulnérabilités, y remédier sans délai, livrer les mises à jour de sécurité gratuitement et séparément des mises à jour fonctionnelles, exploiter un point de contact pour les signalements et publier une politique de divulgation coordonnée. La période de support est d’au moins cinq ans ou correspond à la durée de vie attendue du produit.
Obligations de notification (art. 14) — à partir du 11.09.2026
Notifier les vulnérabilités activement exploitées et les incidents de sécurité graves : 24 heures pour l’alerte précoce, 72 heures pour la notification, rapport final sous 14 jours ou un mois. Les destinataires sont le CSIRT compétent et l’ENISA, via une plateforme de notification commune.
Nomenclature logicielle et documentation technique
Une SBOM dans un format lisible par machine couvrant au moins les dépendances de premier niveau, ainsi qu’une documentation technique conforme à l’annexe VII — à conserver dix ans ou pendant toute la période de support.
Évaluation de la conformité et marquage CE
Pour le cas général, le contrôle interne par le fabricant suffit. Les produits importants de l’annexe III et les produits critiques de l’annexe IV exigent des procédures plus strictes, avec intervention d’un organisme notifié pour la classe II et l’annexe IV. Au bout : la déclaration UE de conformité et le marquage CE.
Obligations des importateurs et des distributeurs
Celui qui importe un produit d’un pays tiers dans l’UE ou le revend doit vérifier que l’évaluation de la conformité, le marquage CE et la documentation sont bien présents — et ne doit pas mettre un produit à disposition s’il a des raisons de penser qu’il n’est pas conforme. Celui qui commercialise un produit sous son propre nom ou le modifie substantiellement est lui-même considéré comme fabricant.
Registre des produits, compte à rebours et preuves au même endroit.
ReportAct tient un registre des produits dans lequel chaque produit comportant des éléments numériques porte sa classification CRA — cas général, important au titre de l’annexe III ou critique au titre de l’annexe IV. De cette classification découlent la procédure d’évaluation applicable et les preuves que vous devez tenir.
Pour les obligations de notification de l’art. 14, c’est le même compte à rebours que pour NIS2 et DORA : dès qu’un incident est saisi, les délais de l’alerte précoce à 24 heures et de la notification à 72 heures démarrent visiblement — CSIRT et ENISA compris comme destinataires. Si vous gérez déjà NIS2 ou DORA, vous n’obtenez pas ici un second processus, mais le même.
Le catalogue de contrôles CRA repose sur la même chaîne de preuves scellée que les six autres référentiels. Une preuve que vous tenez de toute façon pour ISO 27001 ou NIS2 compte également ici. Et le registre des fournisseurs permet de relier un produit à ses fournisseurs de composants — la base de tout ce que le CRA exige le long de la chaîne d’approvisionnement.
Affirmation produit/positionnement, pas un conseil juridique. Le module CRA couvre aujourd’hui le registre des produits, la classification, le compte à rebours et les preuves de contrôle ; le traitement de la SBOM lisible par machine et le parcours de conformité CE sont en cours.
À lire directement
ReportAct n’est pas un cabinet de conseil. Cette page ne remplace pas un conseil juridique et ne prétend pas à l’exhaustivité. Seul le texte du règlement dans sa version applicable fait foi. Nos CGV s’appliquent.
La première échéance CRA est le 11 septembre 2026.
Créez votre registre des produits, classez selon les annexes III et IV, et ayez le compte à rebours en place avant que le premier incident ne le déclenche.