Mise en conformité CRA
(Cyber Resilience Act)
La règlementation pour les fabricants et éditeurs de produits numériques.
Qu’est-ce que le CRA (Cyber Resilience Act) ?
Le Cyber Resilience Act (CRA) est un règlement européen, adopté fin 2024, qui impose des exigences de cybersécurité aux produits comportant des éléments numériques mis sur le marché de l’Union européenne.
La mise en conformité CRA devient obligatoire pour :
- les éditeurs de logiciels
- fabricants de produits connectés
- industriels intégrant du numérique.
Le CRA fonctionne comme une réglementation produit classique.
Avant de mettre un produit sur le marché européen, un fabricant doit prouver qu'il respecte certaines exigences.
Êtes-vous concerné par la mise en conformité CRA ?
Vous êtes concerné par CRA si :
Vous commercialisez un logiciel (licence ou SaaS) en Europe
Vous fabriquez un produit connecté (IoT, firmware, système embarqué)
Vous intégrez des composants numériques dans un produit
Vous vendez sur le marché européen, même si vous êtes hors UE
Attention, certains produits ne sont pas concernés par le CRA.
En effet le Cyber Resilience Act ne s’applique pas lorsque la cybersécurité du produit est déjà intégralement couverte par une réglementation sectorielle spécifique (dispositifs médicaux à usage humain, équipements marins, systèmes automobiles...)
Calendrier : Dates clés du Cyber Resilience Act (CRA) à retenir pour les entreprises
En vigueur depuis le 11 septembre 2026
Obligation de notification des vulnérabilités activement exploitées et des incidents de sécurité graves.
Tous les fabricants doivent maintenant notifier via la plateforme unique de signalement (SRP).
11 décembre 2027
Application complète des obligations CRA pour tous les produits mis sur le marché.
Tout nouveau produit commercialisé après cette date devra être conforme au CRA.
À savoir : si vous avez commercialisé votre produit avant le 11 décembre 2027, mais que vous effectuez une modification substantielle après cette date, alors il devient soumis à l'ensemble du CRA.
Notification des vulnérabilités CRA : que devez-vous mettre en place ?
La notification des vulnérabilités activement exploitées constitue une obligation pour tous les fabricants, quelle que soit la catégorie de leur produit :
un processus documenté de gestion des vulnérabilités
une capacité de détection et qualification rapide
une organisation interne permettant de tenir les délais de notification (24h, 72h, rapport final)
une traçabilité des décisions et des correctifs
La notification CRA n’est pas une option.
C’est une obligation réglementaire depuis septembre 2026.
Où déclarer ? La plateforme unique de signalement (SRP) de l'ENISA
Depuis le 11 septembre 2026, vos vulnérabilités activement exploitées et vos incidents graves se déclarent sur la plateforme unique de l'ENISA : une seule déclaration, transmise automatiquement à toutes les autorités concernées.
Mais avoir un compte ne suffit pas. Le compte à rebours de 24 heures démarre dès que vous prenez connaissance du fait, week-end compris. L'ENISA recommande d'ailleurs de vous inscrire au moment où vous avez une notification à soumettre, pas de façon préventive.
Ce qui se prépare en amont, c'est un compte EU Login avec authentification multifacteur, l'identification de votre CSIRT coordinateur, un processus de détection et une astreinte.
Comment réussir votre mise en conformité CRA ?
La mise en conformité CRA repose sur 4 étapes :
Étape 1 : Qualification du périmètre
Déterminer si votre produit est réellement concerné par le CRA et identifier sa fonction principale.
Objectif : savoir si vous entrez dans le champ d’application.
Étape 2 : Classification CRA
Votre produit est classé dans l’une des 4 catégories prévues par le CRA :
Catégorie par défaut
Produit important (classe I)
Produit important (classe II)
Produit critique
Ce classement dépend uniquement de la fonction principale du produit (et non du type de client ou du secteur).
Pourquoi c’est important ?
Parce que la catégorie détermine le niveau d’exigence réglementaire et le type d’évaluation obligatoire.
Étape 3 : Choix du module d’évaluation
Une fois la catégorie déterminée, vous savez comment vous devez prouver votre conformité.
Selon votre cas :
-
Auto-évaluation (Module A) : vous constituez votre dossier et déclarez la conformité.
-
Évaluation par un organisme notifié (Module B + C) : la conception est examinée avant mise sur le marché.
-
Audit système qualité (Module H) : contrôle renforcé avec surveillance continue.
Plus votre produit est classé “élevé”, plus l’intervention d’un tiers devient obligatoire.
Étape 4 : Construction du dossier de conformité CRA
-
analyse de risques cybersécurité
-
exigences “secure by design” et “secure by default”
-
gestion des vulnérabilités
-
documentation technique
-
déclaration UE de conformité
-
préparation au marquage CE
Besoin d'un coup de main sur cette étape ? Contactez-nous !
Mise en conformité CRA : pourquoi se faire accompagner ?
La mise en conformité CRA est un projet structurant qui impacte :
-
votre cycle de développement
-
votre gouvernance vulnérabilités
-
votre documentation produit
-
votre stratégie commerciale en Europe
Une mauvaise classification ou une documentation insuffisante peut entraîner :
-
un refus de mise sur le marché
-
un retrait produit
-
des sanctions financières
Vous vendez un logiciel, un SaaS ou un produit connecté en Europe ?
La mise en conformité au Cyber Resilience Act (CRA) devient indispensable pour continuer à opérer sur le marché européen à partir de 2026 et 2027.
Anticipez les obligations de notification et préparez votre conformité produit dès maintenant.