Normes Européennes de Cybersécurité Produits

Cyber Resilience Act

La cybersécurité européenne, en toute clarté.

Accompagnement complet pour fabricants, importateurs et distributeurs d'éléments numériques. Diagnostiquez vos produits, gérez vos SBOM/VEX, préparez vos alertes ENISA et éditez votre Passeport Numérique de Produit (DPP).

Échéance Proche

11 Septembre 2026

Obligation de signalement des vulnérabilités exploitées sous 24h (ENISA).

Application Intégrale

11 Décembre 2027

Marquage CE obligatoire, SBOM et dossier technique complet pour mise sur le marché.

Période d'Archivage

10 Ans

Durée obligatoire de conservation de la documentation technique et des SBOMs.

Sanctions Maxima

15 M€ ou 2.5 %

Amendes administratives sur le chiffre d'affaires mondial annuel.

Champ d'Application par Rôle Économique

Sélectionnez votre profil dans la chaîne de valeur pour consulter vos obligations spécifiques.

Produits Concernés (In-Scope)

Logiciels autonomes, applications mobiles, microgiciels (firmwares).
Objets connectés (IoT), caméras, routeurs, équipements domotiques.
Systèmes d'exploitation, pare-feux, gestionnaires de mots de passe, VPN.
Composants matériels ou logiciels vendus pour intégration commerciale.

Exclusions & Régimes Spécifiques

Dispositifs médicaux soumis au Règlement MDR (UE) 2017/745.
Véhicules automobiles certifiés sous le Règlement (UE) 2018/858.
Systèmes d'aviation civile certifiés par l'AESA.
Logiciels libres/open source développés hors activité commerciale.

Règlement (UE) 2024/2847 · Sources primaires

Référentiel CRA opérationnel

Point de départ pour structurer une conformité produit. Ce site n’est ni un organisme notifié, ni une attestation de conformité, ni un avis juridique : le texte EUR-Lex et les actes applicables prévalent.

Depuis le 11 septembre 2026.
Les fabricants notifient les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits concernés.

À partir du 11 décembre 2027.
Application générale des exigences de cybersécurité, de l’évaluation de conformité, de la déclaration UE et du marquage CE.

De l’obligation à la preuve

Sujet	Preuves actionnables	Références
Périmètre et rôle	Usage prévu, connexions directes/indirectes, acteur économique, produit ou unité mise sur le marché, date de première mise à disposition et modification substantielle.	Art. 2, 3, 69
Catégorie / voie d’évaluation	Fonctionnalité principale, justification de qualification, normes harmonisées pertinentes et évaluation de conformité choisie.	Art. 7–8, 32 ; annexes III, IV, VIII
Secure-by-design et vulnérabilités	Analyse de risques, architecture, exigences, résultats de tests, politique de divulgation, correctifs et communication utilisateur.	Art. 13 ; annexe I
SBOM et chaîne logicielle	SBOM lisible par machine, au minimum pour les dépendances de premier niveau ; provenances, composants tiers et internes, décisions de triage versionnées.	Art. 13 ; annexe I, partie II
Signalement	Horodatage de prise de connaissance, qualification, alertes, notifications, rapports finaux et accusés de dépôt.	Art. 14, 16, 71
Documentation	Dossier technique, évaluation, déclaration UE, informations utilisateur, durée de support et conservation.	Art. 13, 28–33 ; annexes II, V, VII

Cas industriel embarqué

Pour un contrôleur ou une passerelle : lier la variante matérielle, le firmware livré, l’OS, les bibliothèques, les modules internes réutilisés et les interfaces réseau. À chaque release, conserver le manifeste parent/enfant, l’analyse de vulnérabilités, les essais, les décisions de correction et la période de support. IEC 62443 structure utilement des preuves, mais un niveau SL2 ne constitue pas à lui seul une conformité CRA.

Points à ne pas surinterpréter

Le CRA n’impose pas en règle générale une SBOM publique.
Il n’impose pas un passeport numérique générique.
Il ne désigne pas nommément CycloneDX ou SPDX comme unique format.
Une CVE ne vaut pas automatiquement notification Art. 14 : qualifier exploitation active et impact produit.

Sources officielles

Contenu éditorial à revoir au fil des actes, normes harmonisées et guides publiés.

Cyber Resilience Act

Champ d'Application par Rôle Économique

Produits Concernés (In-Scope)

Exclusions & Régimes Spécifiques

Évaluateur de Catégorie de Produit CRA

Checklist de Conformité Technique CRA

Nomenclature Logicielle (SBOM) & HBOM

Générateur VEX (CSAF / CycloneDX)

Calculateur de Délais de Signalement ENISA / CSIRT

Éditeur de Passeport Numérique de Produit (DPP)

Dossier Technique (Annexe VII)

Automatisations CI/CD (GitHub Actions)

Kit CRA à Télécharger

Guides

Checklists

Processus

Modèles

Références

Référentiel CRA opérationnel

De l’obligation à la preuve

Cas industriel embarqué

Points à ne pas surinterpréter

Sources officielles

Atelier de preuves par release

Nouvelle fiche

Registre

Nous Contacter