Le Cyber Resilience Act — Règlement (UE) 2024/2847 — fait de la cybersécurité une exigence légale d'accès au marché européen pour tout produit connecté, avec le marquage CE comme preuve de conformité. Si vous devez d'abord définir le cadre — quels produits sont concernés, quel est votre rôle, comment classer votre portefeuille et quelles sont les sanctions —, commencez par Cyber Resilience Act (CRA) : qu'est-ce que c'est, qui est concerné et comment les produits sont classés.
Cette deuxième partie aborde le travail concret : ce qu'exige techniquement l'Annexe I, comment mettre en place le processus de notification des vulnérabilités et des incidents, ce que contient le dossier de marquage CE, comment le CRA s'articule avec NIS2 et ISO 27001 sans multiplier les efforts, et dans quel ordre aborder l'ensemble.
11 septembre 2026 — obligations de notification des vulnérabilités exploitées activement et des incidents graves, via la plateforme unique gérée par l'ENISA. Cela s'applique également aux produits déjà commercialisés, sans période transitoire. C'est la première exigence, et elle arrive dans quelques semaines.
11 décembre 2027 — exigences essentielles de l'Annexe I, évaluation de la conformité, documentation technique, déclaration UE de conformité et marquage CE.
Un avertissement sur le terrain : la Commission a proposé de reporter de deux mois les délais de la demande de normalisation. Les normes horizontales de gestion des vulnérabilités sont attendues vers la fin octobre 2026 et les normes verticales par produit tout au long de décembre 2026. Comme l'auto-évaluation des produits importants de classe I dépend de la possibilité d'appliquer des normes harmonisées, il convient de vérifier leur état avant de finaliser le plan de conformité.
Exigences essentielles de l'Annexe I : sécurité dès la conception et gestion des vulnérabilités
Le cœur technique du CRA est son Annexe I, divisée en deux parties correspondant à deux moments distincts du cycle de vie : comment le produit est conçu et livré, et comment il est maintenu une fois vendu.
Partie I — Propriétés de cybersécurité du produit
Le produit doit être conçu, développé et fabriqué de manière à garantir un niveau de cybersécurité adapté au risque. Parmi les autres exigences :
- Être commercialisé sans vulnérabilités exploitables connues.
- Être livré avec une configuration sécurisée par défaut, et avec la possibilité de la rétablir.
- Permettre la correction des vulnérabilités par des mises à jour, automatiques le cas échéant et avec notification à l'utilisateur.
- Protéger contre les accès non autorisés grâce à des mécanismes d'authentification, de gestion des identités et de contrôle d'accès.
- Garantir la confidentialité et l'intégrité des données et des commandes, avec un chiffrement au repos et en transit.
- Appliquer la minimisation des données : ne traiter que les données nécessaires à l'usage prévu.
- Protéger la disponibilité des fonctions essentielles et réduire la surface d'attaque.
- Enregistrer et surveiller l'activité interne pertinente pour la sécurité (logs).
- Permettre l'effacement sécurisé et la portabilité des données et des configurations.
Aucune de ces exigences n'est inhabituelle pour une équipe travaillant déjà avec des pratiques de développement sécurisé. La nouveauté n'est pas le « quoi », mais le fait qu'à partir de décembre 2027, il faudra pouvoir le démontrer par des documents, produit par produit, devant une autorité de surveillance du marché.
Partie II — Gestion des vulnérabilités pendant la période de support
La deuxième partie oblige à maintenir la sécurité du produit après la vente. C'est ici qu'apparaissent les trois nouveautés ayant le plus d'impact opérationnel :
Inventaire logiciel (Software Bill of Materials)
Le fabricant doit identifier et documenter les composants du produit et élaborer un SBOM dans un format lisible par machine couvrant, au minimum, les dépendances de premier niveau.
Période de support
Une période de support d'au moins cinq ans — ou la durée de vie prévue du produit, si elle est inférieure — doit être déclarée, avec une date de fin explicite (mois et année) connue au moment de l'achat.
Divulgation coordonnée
Il faut publier une politique de divulgation coordonnée des vulnérabilités, un point de contact pour les signaler et distribuer les correctifs de sécurité gratuitement et sans délai.
Ces trois éléments sont liés : sans SBOM, on ne sait pas si une vulnérabilité publiée affecte le produit ; sans le savoir, on ne peut pas corriger durant la période de support déclarée ; et sans correctif, il n'y a rien à communiquer dans les délais de notification qui suivent.
Notification des vulnérabilités et des incidents : 24 heures, 72 heures et 14 jours
Depuis le 11 septembre 2026, les fabricants doivent notifier simultanément le CSIRT désigné comme coordinateur — celui de l'État membre où ils ont leur établissement principal ; en Espagne, l'INCIBE-CERT — et l'ENISA, via la plateforme unique de notification. Deux cas sont à notifier : les vulnérabilités exploitées activement et les incidents graves affectant la sécurité du produit.
Alerte précoce
Dès que le fabricant en a connaissance. Il suffit d'indiquer l'existence du problème et, s'ils sont connus, les États membres concernés.
Notification
Informations générales sur le produit concerné, la nature du problème et les mesures correctives ou d'atténuation disponibles.
Rapport final
14 jours après la mise à disposition d'une mesure corrective pour les vulnérabilités exploitées activement. 1 mois après la notification pour les incidents graves.
Parallèlement à ces trois étapes, le fabricant doit informer sans délai indu les utilisateurs concernés — et, le cas échéant, le public — de l'incident et des mesures correctives à appliquer. Ce n'est pas un quatrième délai : c'est une obligation simultanée qu'il convient de scénariser, car elle implique la communication et le support, pas seulement la sécurité.
Les micro-entreprises et petites entreprises ne s'exposent pas à des amendes pour le non-respect spécifique du délai d'alerte précoce de 24 heures, mais elles conservent le reste des obligations de notification.
Marquage CE et évaluation de la conformité
Avant de commercialiser le produit — et avec une date limite au 11 décembre 2027 —, le fabricant doit compléter et conserver un dossier de conformité. Dans l'ordre :
- Réaliser et documenter une évaluation des risques de cybersécurité du produit.
- Suivre la procédure d'évaluation de la conformité correspondant à sa classe — auto-évaluation par contrôle interne, examen UE de type, assurance qualité complète ou certification européenne, selon la classification du produit.
- Élaborer la documentation technique attestant du respect des exigences de l'Annexe I.
- Émettre la déclaration UE de conformité.
- Apposer le marquage CE sur le produit, son emballage ou la documentation qui l'accompagne.
- Fournir des instructions d'utilisation et des informations à l'utilisateur, y compris la date de fin de la période de support.
Cette documentation doit être conservée pendant au moins dix ans — ou la durée de la période de support, si elle est plus longue — à la disposition des autorités de surveillance du marché.
En Espagne, la répartition institutionnelle prévue est la suivante :
| Fonction | Organisme |
|---|---|
| Autorité de surveillance du marché Inspecte, demande la documentation et peut ordonner le retrait du produit. |
Ministère de la Transformation Numérique et de la Fonction Publique |
| Autorité notifiante Désigne et supervise les organismes d'évaluation de la conformité. |
Centro Criptológico Nacional (CCN) |
| CSIRT coordinateur Récepteur des notifications de vulnérabilités et d'incidents, conjointement avec l'ENISA. |
INCIBE-CERT |
Devez-vous finaliser le processus de notification avant septembre 2026 ? Nous vous montrons comment gérer les délais de 24 h, 72 h et 14 jours avec un registre auditable de chaque communication.
Demander une démoCRA, NIS2 et ISO 27001 : comment s'articuler sans multiplier le travail
C'est la confusion la plus courante, et la réponse est claire : le CRA réglemente les produits ; NIS2 réglemente les organisations. Une entreprise peut être soumise aux deux — en tant qu'entité essentielle ou importante sous NIS2 et en tant que fabricant sous le CRA — et dans ce cas, les deux cadres se chevauchent en matière de gouvernance, de gestion des risques et de notification d'incidents, mais pas sur l'objet réglementé.
Approche en silos
- Un projet indépendant pour chaque norme : CRA, NIS2, ISO 27001, ENS.
- Inventaires d'actifs et de produits en double et non alignés.
- Preuves collectées trois fois pour des contrôles identiques.
- Notifications gérées par e-mail, sans traçabilité des délais.
- Aucune vision consolidée du risque pour la direction.
Approche intégrée
- Un cadre unique de contrôles avec traçabilité pour chaque exigence légale.
- Inventaire partagé des produits, composants et fournisseurs.
- Une seule preuve satisfait à la fois le CRA, NIS2 et ISO 27001.
- Flux de notification avec délais de 24 h/72 h et registre auditable.
- Tableau de bord unique de risque et de conformité pour le comité.
La bonne nouvelle est qu'un Système de Management de la Sécurité de l'Information basé sur l'ISO/CEI 27001:2022 couvre une grande partie du terrain commun avec la Partie I et la Partie II de l'Annexe I : analyse des risques, gestion des vulnérabilités techniques, sécurité dans le développement, relations avec les fournisseurs et gestion des incidents. Pour le cycle de vie du produit, la référence sectorielle est la série CEI 62443 (notamment 62443-4-1 et 4-2) et, pour le développement logiciel sécurisé, l'ISO/CEI 27034. Aucune certification ne remplace à elle seule la conformité au CRA, mais toutes réduisent considérablement l'effort d'analyse d'écarts qui suit.
Comment se préparer au CRA : feuille de route en 7 étapes
Avec septembre 2026 qui approche à grands pas et décembre 2027 comme horizon d'application pleine, voici l'ordre de travail le plus efficace :
Inventoriez et classez votre portefeuille
Listez tous les produits comportant des éléments numériques que vous commercialisez dans l'UE et classez-les selon l'Annexe III/IV et le Règlement d'exécution 2025/2392. Déterminez également votre rôle : fabricant, importateur ou distributeur.
Réalisez une analyse d'écarts par rapport à l'Annexe I
Comparez chaque exigence essentielle avec vos processus de développement actuels. Identifiez ce qui est couvert par votre SMSI, ce qui exige des changements d'ingénierie et ce qui nécessite une nouvelle documentation.
Priorisez le bloc de notification
C'est la première exigence. Définissez le processus, les rôles d'astreinte, les modèles et les délais de 24 h, 72 h et 14 jours, et testez-le avant septembre 2026.
Générez le SBOM et la traçabilité des composants
Automatisez la génération du SBOM dans un format lisible par machine et intégrez-le à la surveillance des vulnérabilités de vos dépendances.
Fixez et publiez la période de support
Décidez de la période par famille de produits, documentez les critères et coordonnez la communication commerciale : la date de fin doit être visible au moment de l'achat.
Étendez les exigences à votre chaîne d'approvisionnement
Transférez les exigences du CRA dans les contrats avec les fournisseurs de composants et de logiciels tiers, et demandez des SBOM et des engagements de correction. Votre conformité dépend de la leur.
Préparez le dossier et la voie de conformité
Constituez la documentation technique, la déclaration UE de conformité et, si votre produit est important de classe II ou critique, contactez à l'avance l'organisme notifié ou le schéma de certification.
Comment un logiciel GRC peut-il aider à respecter le Cyber Resilience Act ?
Chez GlobalSuite Solutions, nous abordons le CRA pour ce qu'il est réellement : un problème de gouvernance, de risque et de conformité avec des délais légaux fixés, et non un simple tableur d'exigences techniques. Notre plateforme GlobalSuite® permet de tracer chaque exigence essentielle de l'Annexe I jusqu'à un contrôle, un responsable et une preuve concrète, en réutilisant ce que vous avez déjà mis en place dans votre SMSI basé sur l'ISO 27001, afin que l'analyse d'écarts ne soit plus un document isolé mais devienne un plan d'action avec des responsables et des alertes d'échéance. Sur cette même base sont gérés l'analyse des risques de cybersécurité du produit, le cycle de vie des vulnérabilités lié à l'inventaire des composants et au SBOM, l'évaluation des fournisseurs et de la chaîne d'approvisionnement, ainsi que les flux de notification avec les délais de 24 h, 72 h et 14 jours et un registre auditable de chaque communication à l'INCIBE-CERT et à l'ENISA. Et parce que presque aucune organisation n'affronte le CRA seule, l'approche multi-normes de la plateforme permet de mapper une seule fois les contrôles communs avec NIS2, ISO 27001, CEI 62443, DORA ou l'ENS, de sorte qu'une preuve serve à plusieurs cadres et que la direction dispose d'un tableau de bord unique de l'état de conformité et du risque résiduel, prêt pour un audit ou une inspection de l'autorité de surveillance du marché.
Questions fréquentes sur la conformité au CRA
Qu'est-ce que le SBOM et pourquoi le CRA l'exige-t-il ?
Le Software Bill of Materials (SBOM) est la liste des composants et dépendances qui intègrent un produit logiciel, dans un format lisible par machine. L'Annexe I, partie II, du CRA exige de l'élaborer et de le maintenir — en couvrant au moins les dépendances de premier niveau — car sans connaître les composants, il est impossible de savoir si une vulnérabilité publiée affecte le produit et d'agir dans les délais de notification.
Combien de temps le fabricant doit-il maintenir la sécurité du produit ?
Pendant la période de support, qui doit être d'au moins cinq ans — ou égale à la durée de vie prévue du produit si celle-ci est inférieure — et dont la date de fin (mois et année) doit être connue de l'acheteur au moment de l'acquisition. Durant cette période, le fabricant gère les vulnérabilités et distribue les correctifs de sécurité gratuitement.
À qui faut-il notifier une vulnérabilité exploitée et dans quel délai ?
Simultanément au CSIRT désigné comme coordinateur — celui de l'État membre de l'établissement principal ; en Espagne, l'INCIBE-CERT — et à l'ENISA, via la plateforme unique de notification. Les délais sont de 24 heures pour l'alerte précoce, 72 heures pour la notification détaillée du produit et des mesures, et 14 jours après la mise à disposition d'une mesure corrective pour le rapport final (1 mois dans le cas d'incidents graves). En parallèle, il faut informer les utilisateurs concernés.
Quelle documentation technique faut-il conserver et pendant combien de temps ?
L'évaluation des risques de cybersécurité, la documentation technique attestant de la conformité à l'Annexe I, les résultats de la procédure d'évaluation de la conformité et la déclaration UE de conformité. Elle doit être conservée au moins dix ans après la mise sur le marché du produit — ou pendant la période de support, si elle est plus longue — et être à la disposition des autorités de surveillance du marché.
Quelle est la différence entre le CRA et NIS2 ?
Le CRA réglemente les produits et NIS2 réglemente les organisations. Le CRA impose des exigences de cybersécurité à ce qui est fabriqué et vendu, avec le marquage CE comme preuve de conformité ; NIS2 oblige les entités essentielles et importantes des secteurs critiques à mettre en œuvre des mesures de gestion des risques et à notifier les incidents. Une entreprise peut être soumise aux deux et il convient de les aborder de manière intégrée pour ne pas multiplier les contrôles ni les preuves.
L'ISO 27001 permet-elle de se conformer au CRA ?
Elle ne remplace pas la conformité au CRA, mais elle facilite grandement le parcours. Un SMSI conforme à l'ISO/CEI 27001:2022 couvre déjà la gestion des risques, la gestion des vulnérabilités techniques, la sécurité dans le développement, les relations avec les fournisseurs et la gestion des incidents. Pour les exigences spécifiques au cycle de vie du produit, il convient de le compléter par la série CEI 62443 et par des pratiques de développement sécurisé.
La conformité au CRA repose sur trois blocs. L'Annexe I fixe les propriétés de cybersécurité du produit (Partie I) et la gestion des vulnérabilités pendant la période de support (Partie II), avec le SBOM, cinq ans minimum de support et une politique de divulgation coordonnée comme nouveautés ayant le plus d'impact opérationnel. La notification impose des délais de 24 heures, 72 heures et 14 jours auprès de l'INCIBE-CERT et de l'ENISA. Et le dossier de marquage CE — évaluation des risques, documentation technique et déclaration UE de conformité — doit être conservé dix ans.
L'ordre est important : d'abord le bloc de notification, car il est exigible dès le 11 septembre 2026 et s'applique également aux produits déjà vendus ; ensuite l'analyse d'écarts par rapport à l'Annexe I, le SBOM, la période de support, la chaîne d'approvisionnement et le dossier, en vue du 11 décembre 2027. Plus l'approche sera intégrée avec NIS2 et ISO 27001, plus le coût total sera réduit : une seule preuve peut servir à plusieurs cadres.
Préparez votre conformité au CRA sur une plateforme unique
Traçabilité de l'Annexe I jusqu'au contrôle, au responsable et à la preuve ; gestion des vulnérabilités liée au SBOM ; flux de notification avec délais de 24 h et 72 h et registre auditable ; évaluation des fournisseurs et mapping multi-normes avec NIS2 et ISO 27001. Nous vous le montrons avec un cas réel.
Demander une démo
