Préparez vos produits au Cyber Resilience Act
Exigences de l’Annexe I, vulnérabilités, notifications à l’ENISA et dossier du marquage CE sur une seule plateforme, produit par produit.
Ce qu’est le Cyber Resilience Act et ce qu’on va vous demander
Le règlement (UE) 2024/2847, ou règlement sur la cyberrésilience, impose la cybersécurité à tout produit comportant des éléments numériques vendu dans l’UE : logiciels, objets connectés, composants. Sans elle, pas de marquage CE, et sans marquage CE le produit ne peut pas être mis sur le marché.
Il vise surtout le fabricant, mais aussi les importateurs et les distributeurs. Et quiconque vend un produit sous sa propre marque devient fabricant à part entière. Depuis le 11 septembre 2026, il faut déjà notifier les vulnérabilités activement exploitées et les incidents graves, y compris pour les produits déjà vendus. Le reste s’applique au 11 décembre 2027.
Pour le détail, lisez notre guide sur ce qu’est le Cyber Resilience Act et la partie pratique sur comment s’y conformer.
- Texte
- Règlement (UE) 2024/2847
- En vigueur
- 10 décembre 2024
- Notification
- Obligatoire depuis le 11 septembre 2026
- Application complète
- 11 décembre 2027
- Sanctions
- Jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial
1
Rôle et produits
Vous établissez si vous êtes fabricant, importateur ou distributeur et classez chaque produit.
2
Risques et écarts
Vous analysez le risque de chaque produit et le comparez à l’Annexe I.
3
Vulnérabilités
SBOM, correctifs et notifications à l’ENISA dans les délais pendant toute la période de support.
4
Marquage CE
Documentation technique, évaluation de la conformité et déclaration UE.
Comment un produit est classé
Par défaut
La plupart
Le fabricant évalue lui-même la conformité.
Classe I
Importants
Gestionnaires de mots de passe, VPN, routeurs… Normes harmonisées ou organisme notifié.
Classe II
Importants
Pare-feu, hyperviseurs, détection d’intrusion… Toujours avec un tiers.
Critiques
Critiques
Cartes à puce ou passerelles de compteurs. Peuvent exiger une certification européenne.
Délais de notification :
24 h · alerte précoce
72 h · notification
14 jours · rapport final sur la vulnérabilité
1 mois · rapport final sur l’incident
Le CRA dans GlobalSuite®
Chaque produit avec sa classe, ses exigences, ses vulnérabilités et son dossier. Et chaque exigence reliée à un contrôle, un responsable et une preuve.
Compliance›Cyber Resilience Act›Produits
Inventaire des produits23 produits · 7 importants
CodeProduitClasseStatut
PRD-014
Routeur domestique R2
Fabricant · support jusqu’en 2032
Classe IEn évaluationPRD-021
Appli maison connectée
Fabricant · support jusqu’en 2031
Par défautConformePRD-009
Passerelle industrielle G7
Importateur · support jusqu’en 2034
Classe IIÉcartPRD-030
Caméra IP extérieure
Marque propre · support jusqu’en 2031
Par défautPartielCompliance›Cyber Resilience Act›Annexe I · Routeur domestique R2
13
Exigences avec preuve
5
Partielles
3
Sans contrôle
CodeExigenceResponsableStatut
I.2.b
Configuration sécurisée par défaut
Partie I · exigences du produit
ProduitCouvertI.2.c
Mises à jour de sécurité automatiques
Partie I · exigences du produit
FirmwarePartielII.1
SBOM des composants
Partie II · gestion des vulnérabilités
PSIRTCouvertII.5
Politique de divulgation coordonnée
Partie II · gestion des vulnérabilités
CISOSans contrôleCompliance›Cyber Resilience Act›Vulnérabilités et notifications
Vulnérabilités et notifications9 ouvertes · 1 activement exploitée
VulnérabilitéResponsableDélaiStatut
Bibliothèque TLS du firmware · Routeur R2 · exploitéeMIM. Ibáñez72 h · reste 31 hNotification en attente
Alerte précoce à l’ENISA · Routeur R2MIM. Ibáñez24 h · dans les délaisEnvoyée
Identifiant par défaut · Caméra IPJRJ. RomeroCorrectif le 4 nov.En cours
Composant sans support dans le SBOM · Passerelle G7ALA. LeónRevue le 20 nov.En cours
Compliance›Cyber Resilience Act›Correspondances
CorrespondancesÉvaluations réutilisées d’autres référentiels
Exigence et contrôle associéStatutRéférentiel
I.2.d · Contrôle d’accèsRéutiliséeISO 27001
Art. 14 · Notification des incidents gravesRéutiliséeNIS2
I.2.f · Intégrité des données et du logicielRéutiliséeIEC 62443
II.1 · Composants tiersÀ revoirTiers
Des notifications dans les délais
Dès qu’une vulnérabilité est marquée comme exploitée, les compteurs démarrent, et chaque envoi à l’ENISA et au CSIRT est tracé.
Vos fournisseurs inclus
Les composants du SBOM sont reliés au module de risque tiers : vous savez qui fournit chaque pièce et si elle est toujours supportée.
Le dossier se constitue tout seul
Risques, contrôles et preuves sont déjà dans la plateforme. La documentation technique en sort directement, pas d’un dossier isolé.
Le CRA s’intègre à ce que vous faites déjà
Cyber Resilience Act
Produits, exigences de l’Annexe I, vulnérabilités, notifications et marquage CE.
Vous êtes iciNIS2
La directive pour les organisations. Le CRA fait de même pour les produits qu’elles vendent.
Voir la solution →ISO 27001
Si vous avez déjà un SMSI, une bonne partie des contrôles du CRA est faite.
Voir la solution →Risque tiers
Vos fournisseurs et les composants qu’ils vous vendent, évalués et suivis.
Voir la solution →
Questions fréquentes sur le Cyber Resilience Act
Suis-je concerné si je ne fabrique rien ?
Peut-être. Les importateurs et les distributeurs ont leurs propres obligations, et si vous vendez un produit sous votre marque ou le modifiez de façon substantielle, le règlement vous traite comme fabricant.
Qu’est-ce qui est déjà obligatoire ?
Depuis le 11 septembre 2026, il faut notifier les vulnérabilités activement exploitées et les incidents graves, y compris pour les produits déjà en vente. Les exigences de l’Annexe I, l’évaluation de la conformité et le marquage CE s’appliquent au 11 décembre 2027.
Le logiciel en tant que service est-il concerné ?
Le SaaS pur est exclu, car NIS2 le couvre. Mais si le service cloud fait partie du fonctionnement d’un produit, comme l’appli qui pilote un appareil, il entre en tant que solution de traitement de données à distance de ce produit.
Combien de temps dois-je assurer le support ?
Pendant la durée d’utilisation prévue du produit, avec un minimum de cinq ans sauf si sa durée de vie est plus courte. Pendant cette période, vous devez corriger les vulnérabilités et publier des mises à jour de sécurité.
Quel lien avec NIS2 ?
Ils se complètent. NIS2 exige la cybersécurité de l’organisation, et le CRA celle des produits qu’elle met sur le marché. Beaucoup de mesures se recoupent : dans GlobalSuite®, vous les traitez une fois et elles comptent pour les deux.
Qu’est-ce que le SBOM ?
La nomenclature logicielle : les composants et bibliothèques que contient le produit. Le CRA impose de la tenir à jour pour savoir, quand une vulnérabilité apparaît, quels produits sont touchés.
Le Cyber Resilience Act est le règlement (UE) 2024/2847 du Parlement européen et du Conseil, publié au Journal officiel de l’Union européenne.
Vos produits prêts
pour le CRA.
Nous vous montrons l’Annexe I, les vulnérabilités et les notifications dans GlobalSuite®.