CRA : Cyber Resilience Act, exigences UE numérique

Hugues Orgitello mis à jour le 7 oct. 2026 20 min de lecture

Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), a été signé le 23 octobre 2024, publié au Journal officiel le 20 novembre 2024 et est entré en vigueur le 10 décembre 2024. Il fixe des exigences de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l'Union. Son chapitre sur les organismes notifiés s'applique depuis le 11 juin 2026, ses obligations de signalement depuis le 11 septembre 2026, et le reste s'applique le 11 décembre 2027. Ce guide suit le texte article par article : champ et exclusions, catégories des annexes III et IV telles que décrites par le règlement d'exécution (UE) 2025/2392, voies de conformité de l'article 32, exigences de l'annexe I, deux horloges de signalement de l'article 14, sanctions, et passage de relais de la RED 3.3 et de la série EN 18031 vers le CRA.

Jalons datés

Date	Événement	Base
23 octobre 2024	Signature du règlement à Strasbourg	Règlement 2024/2847
20 novembre 2024	Publication au Journal officiel (JO L, 2024/2847)	Règlement 2024/2847
10 décembre 2024	Entrée en vigueur (vingtième jour suivant la publication)	Article 71, paragraphe 1
1er décembre 2025	Publication du règlement d'exécution (UE) 2025/2392 : descriptions techniques des catégories des annexes III et IV	Article 7, paragraphe 4
20 avril 2026	Publication du règlement délégué (UE) 2026/881 : conditions dans lesquelles un CSIRT peut différer la diffusion d'une notification	Article 14, paragraphe 9
29 avril 2026	Publication du règlement délégué (UE) 2026/339 : abrogation de l'acte cybersécurité RED au 11 décembre 2027	Article 3, paragraphe 3, de la RED
11 juin 2026	Application du chapitre IV (articles 35 à 51) : autorités notifiantes et organismes notifiés	Article 71, paragraphe 2
27 juillet 2026	Publication des lignes directrices de la Commission C(2026) 5252 (non contraignantes)	Article 26
11 septembre 2026	Application du signalement de l'article 14 ; plateforme unique de signalement de l'ENISA opérationnelle	Article 71, paragraphe 2
11 décembre 2026	Les États membres s'efforcent de disposer d'un nombre suffisant d'organismes notifiés	Article 35, paragraphe 2
11 décembre 2027	Pleine application ; abrogation du règlement délégué 2022/30	Article 71, paragraphe 2, règlement 2026/339
11 juin 2028	Fin de validité des certificats d'examen UE de type en cybersécurité délivrés au titre d'autres législations d'harmonisation (sauf expiration antérieure ou disposition contraire de cette législation)	Article 69, paragraphe 1

Périmètre : les produits comportant des éléments numériques

L'article 3, point 1, définit un produit comportant des éléments numériques comme « un produit logiciel ou matériel et ses solutions de traitement des données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ». L'article 2, paragraphe 1, limite ensuite le règlement aux produits « dont la destination prévue ou l'utilisation raisonnablement prévisible comprend une connexion de données logique ou physique directe ou indirecte à un dispositif ou à un réseau ».

Cela englobe le matériel connecté (caméras, routeurs, capteurs IoT, jouets connectés, équipements industriels avec interface réseau), les logiciels mis sur le marché (systèmes d'exploitation, navigateurs, applications) et les composants vendus séparément pour intégration. Les solutions de traitement des données à distance du fabricant sont couvertes en tant que partie du produit. Les services cloud en tant que tels (SaaS, PaaS, IaaS) ne le sont pas : les considérants les renvoient à la directive NIS2 (UE) 2022/2555.

Le règlement s'applique aux produits mis à disposition sur le marché, c'est-à-dire fournis dans le cadre d'une activité commerciale, quels que soient le fabricant et son lieu d'établissement. Un fabricant hors UE qui vend dans l'Union est dans le champ ; ses signalements vont au CSIRT d'un État membre déterminé selon l'ordre fixé à l'article 14, paragraphe 7.

Les exclusions, paragraphe par paragraphe

Article	Exclu	Remarque
2, paragraphe 2, points a et b	Produits auxquels s'applique le règlement (UE) 2017/745 (MDR) ou 2017/746 (IVDR)	Les objets portés de santé hors MDR/IVDR figurent en classe I de l'annexe III
2, paragraphe 2, point c	Produits auxquels s'applique le règlement (UE) 2019/2144 (sécurité générale des véhicules)	C'est ainsi que les véhicules soumis à UNECE R155/R156 restent hors champ ; voir le guide ISO 21434 et R155/R156
2, paragraphe 3	Produits certifiés au titre du règlement (UE) 2018/1139 (aviation)	Pas « l'aviation civile » dans son ensemble
2, paragraphe 4	Équipements relevant de la directive 2014/90/UE (équipements marins)
2, paragraphe 5	Produits couverts par d'autres règles de l'Union, lorsqu'un acte délégué limite ou exclut le CRA	Uniquement par acte délégué
2, paragraphe 6	Pièces de rechange remplaçant des composants identiques, fabriquées selon les mêmes spécifications
2, paragraphe 7	Produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou conçus pour traiter des informations classifiées

Le logiciel libre et open source ne fait pas l'objet d'un article d'exemption distinct : il est hors du règlement lorsqu'il n'est pas mis à disposition dans le cadre d'une activité commerciale. Les considérants donnent les indices d'une activité commerciale (prix facturé, support technique facturé au-delà du recouvrement des coûts, intention de monétiser). L'article 24 crée l'intendant de logiciels open source (open-source software steward), qui doit tenir une politique de cybersécurité documentée et coopérer avec les autorités de surveillance du marché, et l'article 64, paragraphe 10, exclut les amendes administratives pour toute infraction commise par un intendant.

Produits par défaut, importants et critiques

La classe dépend de la fonctionnalité essentielle du produit (article 7, paragraphe 1, et article 8, paragraphe 1). L'intégration d'un composant de l'annexe III ne rend pas à elle seule le produit hôte important (article 7, paragraphe 1, deuxième phrase) : un thermostat construit autour d'un microcontrôleur de classe I n'est pas un produit de classe I du fait de cette puce.

Annexe III, classe I (19 catégories)

Systèmes de gestion des identités et logiciels et matériels de gestion des accès à privilèges (y compris lecteurs d'authentification et de contrôle d'accès, lecteurs biométriques compris) ; navigateurs autonomes et intégrés ; gestionnaires de mots de passe ; logiciels qui recherchent, suppriment ou mettent en quarantaine des logiciels malveillants ; produits ayant une fonction de réseau privé virtuel (VPN) ; systèmes de gestion de réseau ; systèmes de gestion des informations et des événements de sécurité (SIEM) ; gestionnaires d'amorçage ; logiciels d'infrastructure à clés publiques et de délivrance de certificats numériques ; interfaces réseau physiques et virtuelles ; systèmes d'exploitation ; routeurs, modems destinés à la connexion à internet et commutateurs ; microprocesseurs dotés de fonctionnalités liées à la sécurité ; microcontrôleurs dotés de fonctionnalités liées à la sécurité ; circuits intégrés spécifiques (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité ; assistants virtuels domestiques intelligents à usage général ; produits domestiques intelligents dotés de fonctionnalités de sécurité (serrures connectées, caméras de sécurité, systèmes de surveillance pour bébés, systèmes d'alarme) ; jouets connectés relevant de la directive 2009/48/CE dotés de fonctions d'interaction sociale ou de localisation ; produits portables personnels ayant une finalité de suivi de la santé non couverts par le MDR ou l'IVDR, ou destinés aux enfants.

Annexe III, classe II (4 catégories)

Hyperviseurs et systèmes d'exécution de conteneurs ; pare-feux, systèmes de détection et de prévention des intrusions ; microprocesseurs inviolables ; microcontrôleurs inviolables.

Annexe IV, produits critiques (3 catégories)

Dispositifs matériels avec boîtiers de sécurité ; passerelles de compteurs intelligents au sein de systèmes intelligents de mesure (directive (UE) 2019/944) et autres dispositifs destinés à des fins de sécurité avancées, y compris le traitement cryptographique sécurisé (annexe IV, point 2) ; cartes à puce ou dispositifs similaires, y compris les éléments sécurisés.

L'échelle du silicium dans le règlement d'exécution 2025/2392

Adopté le 28 novembre 2025 au titre de l'article 7, paragraphe 4, le règlement d'exécution (UE) 2025/2392 distingue les catégories de puces selon le niveau d'analyse de vulnérabilité des Critères communs pour lequel elles sont conçues. C'est le tableau le plus utile pour un fabricant électronique :

Catégorie	Classe CRA	Description technique (2025/2392)
Microcontrôleur ou microprocesseur doté de fonctionnalités liées à la sécurité	Important, classe I	Fournit des fonctions telles que chiffrement, authentification, stockage sécurisé de clés, génération de nombres aléatoires ou environnement d'exécution de confiance, visant à sécuriser d'autres produits, réseaux ou services au-delà de la puce elle-même
Microcontrôleur ou microprocesseur inviolable	Important, classe II	La puce de classe I, avec détection, résistance ou réponse à l'effraction, conçue pour une protection de niveau AVA_VAN 2 ou 3
Élément sécurisé (cartes à puce ou dispositifs similaires)	Critique, annexe IV	Conçu pour une protection d'au moins AVA_VAN.4 ; inclut les modules de plateforme sécurisée (TPM) et l'UICC embarquée
Dispositifs matériels avec boîtiers de sécurité	Critique, annexe IV	Matériel à composants multiples avec une enveloppe physique assurant détection, résistance ou réponse à l'effraction ; inclut les terminaux de paiement physiques, les modules matériels de sécurité (HSM) et les tachygraphes répondant à cette description

Le même acte décrit les routeurs comme des produits qui « établissent et contrôlent le flux de données entre différents réseaux » à l'aide de protocoles de routage, filaires ou sans fil, virtuels ou physiques, avec ou sans modem.

Voies d'évaluation de la conformité (article 32)

Produit	Module A (contrôle interne)	Module B + C	Module H	Certificat européen de cybersécurité
Par défaut	Oui	Oui	Oui	Lorsqu'il existe au titre de l'article 27, paragraphe 9
Important, classe I	Seulement si des normes harmonisées, des spécifications communes ou un schéma de niveau « substantiel » sont intégralement appliqués (article 32, paragraphe 2)	Oui	Oui	Oui, au moins « substantiel »
Important, classe II	Non	Oui	Oui	Oui, au moins « substantiel » (article 32, paragraphe 3)
Critique (annexe IV)	Non	Oui, tant qu'aucun acte délégué de l'article 8, paragraphe 1, ne s'applique	Oui, même condition	Obligatoire dès qu'un acte délégué de l'article 8, paragraphe 1, l'impose (au moins « substantiel »)
Produit libre et open source de l'annexe III	Oui, si la documentation technique est rendue publique (article 32, paragraphe 5)	Oui	Oui	Oui

Sur la page de mise en œuvre de la Commission (mise à jour le 27 juillet 2026), l'acte délégué conférant au schéma EUCC (règlement d'exécution (UE) 2024/482) une présomption de conformité au titre du CRA figure comme prévu au quatrième trimestre 2026. Aucun acte de l'article 8, paragraphe 1, rendant un certificat obligatoire pour une catégorie de l'annexe IV n'y figure comme adopté : les produits critiques suivent donc actuellement les procédures de la classe II. Pour la mécanique des modules d'une directive à l'autre, voir auto-déclaration vs organisme notifié.

Organismes notifiés

Le chapitre IV s'applique depuis le 11 juin 2026 afin que les États membres puissent notifier des organismes avant décembre 2027, et l'article 35, paragraphe 2, leur demande de s'efforcer de disposer d'un nombre suffisant d'organismes au 11 décembre 2026. Un organisme notifié au titre de l'acte délégué RED doit être de nouveau évalué et notifié au titre du CRA (considérant 100). La base NANDO ne recensait aucun organisme notifié au titre du règlement 2024/2847 le 7 octobre 2026 : voir comment choisir un organisme notifié dans NANDO.

Exigences essentielles de l'annexe I

La partie I s'ouvre sur une obligation générale, au point 1 : un niveau de cybersécurité approprié fondé sur les risques. Le point 2 énumère ensuite treize propriétés, appliquées « sur la base de l'évaluation des risques en matière de cybersécurité visée à l'article 13, paragraphe 2, et le cas échéant ».

Point	Exigence (annexe I, partie I, point 2)
a	Aucune vulnérabilité exploitable connue lors de la mise à disposition
b	Configuration sécurisée par défaut, y compris la possibilité de rétablir l'état d'origine (sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure)
c	Vulnérabilités corrigibles par des mises à jour de sécurité, avec mises à jour automatiques activées par défaut le cas échéant, mécanisme clair de désactivation, notification aux utilisateurs et possibilité de report
d	Protection contre l'accès non autorisé (authentification, gestion des identités ou des accès) et signalement des accès non autorisés possibles
e	Confidentialité des données stockées, transmises ou traitées, par exemple par chiffrement au repos ou en transit selon l'état de l'art
f	Intégrité des données, commandes, programmes et configuration contre toute manipulation non autorisée, et signalement des corruptions
g	Minimisation des données
h	Disponibilité des fonctions essentielles et de base, y compris après un incident, notamment par la résilience aux attaques par déni de service
i	Réduction de l'impact négatif sur la disponibilité des services fournis par d'autres dispositifs ou réseaux
j	Limitation des surfaces d'attaque, y compris les interfaces externes
k	Réduction de l'impact d'un incident par des mécanismes d'atténuation de l'exploitation
l	Enregistrement et surveillance de l'activité interne pertinente, avec possibilité de désactivation par l'utilisateur
m	Possibilité pour l'utilisateur de supprimer définitivement, de manière sûre et simple, toutes les données et paramètres, et de transférer les données de manière sécurisée lorsqu'elles peuvent l'être

Partie II, gestion des vulnérabilités

Huit obligations : (1) recenser et documenter les vulnérabilités et composants, y compris par une nomenclature logicielle (SBOM) dans un format couramment utilisé et lisible par machine couvrant au minimum les dépendances de premier niveau ; (2) corriger sans délai, les mises à jour de sécurité étant distinctes des mises à jour fonctionnelles lorsque c'est techniquement possible ; (3) tests et examens de sécurité réguliers ; (4) divulgation publique des vulnérabilités corrigées une fois la mise à jour disponible ; (5) une politique de divulgation coordonnée des vulnérabilités ; (6) une adresse de contact pour le signalement des vulnérabilités ; (7) une distribution sécurisée des mises à jour ; (8) des mises à jour de sécurité diffusées sans délai et gratuitement (sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure).

L'article 13 ajoute les durées que les résumés courants donnent souvent de travers :

Obligation	Durée	Article
Période d'assistance	Au moins cinq ans, ou la durée d'utilisation prévue si le produit doit être utilisé moins longtemps	13, paragraphe 8
Chaque mise à jour de sécurité reste disponible	Au moins 10 ans après sa publication, ou le reste de la période d'assistance si elle est plus longue	13, paragraphe 9
Conservation de la documentation technique et de la déclaration UE	Au moins 10 ans après la mise sur le marché, ou la période d'assistance si elle est plus longue	13, paragraphe 13
Date de fin d'assistance indiquée à l'achat	Au moins le mois et l'année	13, paragraphe 19

Obligations de signalement (article 14)

L'article 14 s'applique depuis le 11 septembre 2026, et l'article 69, paragraphe 3, l'étend à tout produit dans le champ, y compris les produits mis sur le marché avant le 11 décembre 2027. Les notifications passent par la plateforme unique de signalement de l'ENISA vers le CSIRT désigné comme coordinateur de l'État membre d'établissement principal, et sont accessibles simultanément à l'ENISA (article 14, paragraphe 7). Il y a deux horloges, et leurs rapports finaux diffèrent :

Étape	Vulnérabilité activement exploitée (14, paragraphe 2)	Incident grave (14, paragraphe 4)
Alerte précoce	Sous 24 heures après en avoir pris connaissance, avec les États membres où le produit est disponible	Sous 24 heures, en indiquant si des actes illicites ou malveillants sont soupçonnés
Notification	Sous 72 heures : produit, nature de l'exploit et de la vulnérabilité, mesures prises et mesures que les utilisateurs peuvent prendre	Sous 72 heures : nature de l'incident, évaluation initiale, mesures
Rapport final	Au plus tard 14 jours après qu'une mesure corrective ou d'atténuation est disponible	Dans un délai d'un mois après la notification de l'incident
Utilisateurs	Informer les utilisateurs concernés, le cas échéant tous les utilisateurs, et des mesures d'atténuation (14, paragraphe 8)	Idem

Un incident est grave lorsqu'il affecte ou peut affecter la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes, ou lorsqu'il a conduit ou peut conduire à l'introduction ou à l'exécution de code malveillant (article 14, paragraphe 5). Le CSIRT coordinateur peut demander un rapport intermédiaire (article 14, paragraphe 6). Le règlement délégué (UE) 2026/881 fixe les conditions dans lesquelles un CSIRT peut différer la diffusion d'une notification aux autres CSIRT coordinateurs.

La plateforme est opérationnelle depuis le 11 septembre 2026, dans ce que l'ENISA appelle une capacité opérationnelle initiale. Selon la FAQ de l'ENISA, aucune API n'est fournie lors de la version initiale, le signalement volontaire de l'article 15 n'est pas encore mis en œuvre, les représentants doivent disposer d'un compte EU Login avec authentification multifacteur, il ne peut y avoir qu'un seul représentant désigné principal par fabricant et jusqu'à 20 représentants secondaires invités par lui, et la plateforme n'existe qu'en anglais au lancement. Voir la plateforme de signalement est en ligne, mais inachevée et le signalement a démarré le 11 septembre.

Normes harmonisées et présomption de conformité

Selon l'article 27, paragraphe 1, la présomption de conformité découle de normes harmonisées dont les références sont publiées au JO au titre de ce règlement. La demande de normalisation M/606 de la Commission (C(2025) 618) couvre 41 normes, horizontales et spécifiques à des produits. Tant que des références ne sont pas citées, la Commission ne peut adopter de spécifications communes que dans les conditions de l'article 27, paragraphe 2, et un certificat ou une déclaration de conformité UE délivré au titre d'un schéma désigné par acte délégué donne la présomption pour les exigences qu'il couvre (article 27, paragraphes 8 et 9). Les projets de normes ETSI spécifiques à des produits sont passés en enquête publique en août 2026 : voir 17 projets de normes ETSI en enquête.

Le passage de relais de la RED 3.3

Le règlement délégué 2022/30 applique l'article 3, paragraphe 3, points d, e et f de la RED à certains équipements radio depuis le 1er août 2025, avec les normes EN 18031-1, EN 18031-2 et EN 18031-3 (CEN-CENELEC, publiées en août 2024) citées avec restrictions au JOUE en janvier 2025. Le considérant 30 du CRA indique que l'annexe I inclut tous les éléments de ces exigences RED. Le règlement délégué (UE) 2026/339 abroge donc le règlement 2022/30 avec effet au 11 décembre 2027, afin d'éviter qu'un équipement radio relève des deux. Son considérant 5 maintient la surveillance du marché RED pour les équipements radio mis sur le marché entre le 1er août 2025 et le 10 décembre 2027.

Conséquence pratique : jusqu'au 10 décembre 2027, un produit radio connecté suit la RED 3.3 et les normes EN 18031 (plus le signalement de l'article 14, déjà applicable) ; à partir du 11 décembre 2027, sa cybersécurité est évaluée au titre du CRA, et les normes EN 18031 ne donnent aucune présomption CRA tant qu'elles ne sont pas citées au titre du règlement 2024/2847. Voir l'actualité sur l'abrogation RED, les pages directive RED, normes harmonisées RED, tests RED et la checklist RED.

Marquage CE et déclaration

Le CRA est une législation d'harmonisation de l'Union avec marquage CE (articles 29 et 30). La déclaration UE de conformité suit l'annexe V ; une déclaration simplifiée (annexe VI) indiquant l'adresse internet de la déclaration complète peut accompagner le produit à la place (article 13, paragraphe 20). Lorsque d'autres actes comme la RED, la directive CEM ou la directive basse tension exigent aussi une déclaration, une déclaration unique les couvre tous (article 28, paragraphe 3). La documentation technique suit l'annexe VII et doit inclure l'évaluation des risques de cybersécurité (article 13, paragraphe 4). Voir le guide marquage CE et la procédure CE.

Sanctions (article 64)

Palier	Infractions	Amende maximale
Article 64, paragraphe 2	Exigences essentielles de l'annexe I ; obligations du fabricant des articles 13 et 14	15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu
Article 64, paragraphe 3	Articles 18 à 23, 28, 30, paragraphes 1 à 4, 31, paragraphes 1 à 4, 32, paragraphes 1 à 3, 33, paragraphe 5, 39, 41, 47, 49 et 53	10 millions d'euros ou 2 %
Article 64, paragraphe 4	Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés et aux autorités de surveillance du marché en réponse à une demande	5 millions d'euros ou 1 %

Les États membres fixent le régime de sanctions (article 64, paragraphe 1). L'article 64, paragraphe 10, exclut ces amendes administratives pour les microentreprises et petites entreprises qui manquent le délai de 24 heures de l'alerte précoce, ainsi que pour les intendants de logiciels open source. La surveillance du marché s'exerce au titre du règlement (UE) 2019/1020. Une fois un correctif disponible, l'ENISA ajoute la vulnérabilité publiquement connue, en accord avec le fabricant, à la base européenne de données sur les vulnérabilités instituée par NIS2 (article 17, paragraphe 5).

Produits déjà sur le marché

Article 69, paragraphe 2 : les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au CRA que s'ils font l'objet d'une modification substantielle à partir de cette date. L'article 69, paragraphe 3, fait exception : le signalement de l'article 14 s'applique à tous. L'article 22 fait de toute personne qui modifie substantiellement un produit et le met à disposition un fabricant, pour la partie concernée ou pour l'ensemble du produit si sa cybersécurité globale est affectée.

Affirmations que les textes contredisent

Affirmation courante (y compris dans des versions antérieures de cette page)	Ce que dit le texte
Le rapport final est dû un mois après l'alerte précoce, pour tout signalement	Pour une vulnérabilité exploitée, 14 jours après qu'une mesure corrective ou d'atténuation est disponible (14, paragraphe 2, point c) ; le délai d'un mois après la notification ne vaut que pour les incidents graves (14, paragraphe 4, point c)
Les manquements au signalement relèvent du palier de 10 millions d'euros	L'article 14 relève du palier de 15 millions d'euros ou 2,5 % (64, paragraphe 2)
La période d'assistance est laissée au fabricant, « en général » cinq ans	Au moins cinq ans, sauf si le produit doit être utilisé moins longtemps (13, paragraphe 8)
L'article 12 crée une présomption croisée avec d'autres actes de l'Union	L'article 12 porte sur les systèmes d'IA à haut risque ; la présomption découle de normes harmonisées citées, de spécifications communes ou d'une certification européenne (article 27)
L'aviation civile est exclue	Seuls les produits certifiés au titre du règlement 2018/1139 le sont (2, paragraphe 3)
UNECE R155/R156 fondent l'exclusion des véhicules	L'exclusion vise le règlement (UE) 2019/2144 (2, paragraphe 2, point c), qui rend lui-même R155/R156 obligatoires pour la réception par type
Les microcontrôleurs avec éléments de sécurité et les lecteurs de cartes à puce sont en classe II	Les microcontrôleurs dotés de fonctionnalités liées à la sécurité sont en classe I ; la classe II vise les microcontrôleurs inviolables (AVA_VAN 2 ou 3) ; les éléments sécurisés (au moins AVA_VAN.4) sont critiques
« HSM » est une catégorie nommée de l'annexe IV	L'annexe IV vise les dispositifs matériels avec boîtiers de sécurité ; le règlement 2025/2392 y inclut les modules matériels de sécurité, les terminaux de paiement et les tachygraphes
RED 3.3 et CRA s'appliquent en parallèle après 2027, avec une consolidation d'ici 2028	Le règlement 2026/339 abroge l'acte RED le 11 décembre 2027, jour de pleine application du CRA
Les normes EN 18031 donneront la présomption au titre du CRA	La présomption CRA exige des références citées au titre du règlement 2024/2847 (27, paragraphe 1)
Une SBOM doit lister tous les composants	Le minimum est les dépendances de premier niveau (annexe I, partie II, point 1)
L'ENISA tient un registre public de toutes les vulnérabilités signalées	L'ENISA ajoute les vulnérabilités publiquement connues à la base européenne de données sur les vulnérabilités après correctif, en accord avec le fabricant (17, paragraphe 5)
Le CRA ne touche pas les produits vendus avant décembre 2027	Le signalement de l'article 14 s'y applique (69, paragraphe 3), et une modification substantielle les fait entrer pleinement dans le champ (69, paragraphe 2)

Préparer un produit conforme au CRA

1. Classification : comparer la fonctionnalité essentielle du produit aux annexes III et IV telles que décrites par le règlement d'exécution 2025/2392. Documenter la décision.
2. Évaluation des risques : réaliser et documenter l'évaluation des risques de cybersécurité de l'article 13, paragraphe 2 ; elle détermine quels points de l'annexe I, partie I, point 2, s'appliquent et comment.
3. Cartographie des exigences : pour chaque point de l'annexe I, consigner le contrôle, la preuve et la justification lorsqu'un point ne s'applique pas (article 13, paragraphe 4).
4. SBOM : produire une SBOM lisible par machine couvrant au moins les dépendances de premier niveau ; CycloneDX et SPDX sont des formats couramment utilisés (le règlement n'impose aucun format ; l'article 13, paragraphe 24, permet à la Commission d'en préciser un).
5. Divulgation et contact : publier une politique de divulgation coordonnée des vulnérabilités et un point de contact unique (article 13, paragraphe 17).
6. Signalement : enregistrer le représentant désigné principal sur la plateforme de l'ENISA et répéter les étapes 24 heures, 72 heures et rapport final ; l'obligation s'applique déjà.
7. Mises à jour : distribution sécurisée, mises à jour de sécurité distinctes des mises à jour fonctionnelles lorsque c'est possible, gratuites, chacune disponible au moins 10 ans.
8. Période d'assistance : la fixer (au moins cinq ans sauf utilisation prévue plus courte), consigner le raisonnement dans la documentation technique et afficher la date de fin à l'achat.
9. Voie d'évaluation : pour la classe I sans normes intégralement appliquées, la classe II et les produits critiques, prévoir un organisme notifié (ON) ou une certification ; aucun n'était notifié au titre du CRA le 7 octobre 2026.
10. Documentation et déclaration : dossier technique selon l'annexe VII, déclaration selon l'annexe V, déclaration unique avec RED, CEM et basse tension le cas échéant.

Les fabricants qui mènent déjà une démarche RED 3.3 disposent d'un socle réutilisable : analyse de risques cybersécurité, signature firmware, gestion des secrets, OTA signée. L'effort supplémentaire porte sur la SBOM, la gestion formalisée des vulnérabilités, les engagements de période d'assistance et le signalement.

Pour la pratique d'ingénierie derrière ces contrôles, secure boot, signature firmware, génération de SBOM et divulgation coordonnée des vulnérabilités sur produits réels, voir le guide AESTECHNO sur la conformité CRA des produits IoT.

Le glossaire spilma reprend les termes-clés (PDE, SBOM, EUCC, divulgation coordonnée) avec leurs définitions de référence.

Voir aussi

• Cybersécurité produit : obligation, évaluation, label
• DO-326A et ED-202A: cybersécurité avionique
• PSA Certified: sécurité IoT pilotée par Arm
• SESIP: méthodologie d'évaluation cybersécurité IoT
• IEC 62443 (ISA-99), cybersécurité des systèmes industriels
• ETSI EN 303 645 : cybersécurité IoT consommateur
• NISTIR 8425 et US Cyber Trust Mark : label IoT US
• NIST SP 800-213 et 8259A: socle cybersécurité IoT américain
• ISO/SAE 21434 et UNECE R155/R156 : cybersécurité automobile
• Comment choisir un organisme notifié dans NANDO
• Calendrier du CRA

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Points de vigilance

Risque	Conséquence	Action
Traiter le signalement comme un sujet 2027	L'article 14 s'applique depuis le 11 septembre 2026, y compris aux produits déjà sur le marché	S'enregistrer sur la plateforme de l'ENISA et mettre en place dès maintenant le processus interne de 24 heures
Classer par composant plutôt que par fonctionnalité essentielle	Voie d'évaluation sur- ou sous-estimée	Appliquer l'article 7, paragraphe 1, et les descriptions du règlement 2025/2392
Supposer que les normes EN 18031 couvrent le CRA	Aucune présomption CRA après le 11 décembre 2027	Suivre les normes citées au titre du règlement 2024/2847
Compter tardivement sur un organisme notifié	Aucun notifié au 7 octobre 2026	Anticiper les évaluations de classe II et des produits critiques
Confondre support sécurité et support fonctionnel	Des mises à jour de sécurité payantes ou liées à un contrat enfreignent la partie II, point 8	Les distinguer dans la politique commerciale
Oublier la déclaration unique	DoC incomplète	Une déclaration selon l'annexe V citant tous les actes applicables

Un cas concret de le cadrage CRA et la cartographie des écarts pour un produit numérique ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Sources & références

1. Règlement (UE) 2024/2847 (Cyber Resilience Act), articles 2, 7, 8, 13, 14, 27, 32, 35, 64, 69, 71 et annexes I, III, IV, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
2. Règlement d'exécution (UE) 2025/2392, description technique des catégories de produits importants et critiques, EUR-Lex eur-lex.europa.eu/eli/reg_impl/2025/2392/oj
3. Règlement délégué (UE) 2026/881, report de la diffusion des notifications, EUR-Lex eur-lex.europa.eu/eli/reg_del/2026/881/oj
4. Règlement délégué (UE) 2026/339, abrogation du règlement délégué 2022/30 au 11 décembre 2027, EUR-Lex eur-lex.europa.eu/eli/reg_del/2026/339/oj
5. Règlement délégué (UE) 2022/30, activation de l'article 3, paragraphe 3, points d, e et f de la RED, EUR-Lex eur-lex.europa.eu/eli/reg_del/2022/30/oj
6. Commission européenne, page Cyber Resilience Act, Commission européenne digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
7. Commission européenne, mise en œuvre du Cyber Resilience Act (actes adoptés et prévus), Commission européenne digital-strategy.ec.europa.eu/en/factpages/cyber-resilience-act-implementation
8. Commission européenne, normalisation CRA (demande M/606, C(2025) 618), Commission européenne digital-strategy.ec.europa.eu/en/policies/cra-standardisation
9. Commission européenne, lignes directrices sur l'application du CRA, C(2026) 5252 (27 juillet 2026), Commission européenne digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
10. ENISA, questions fréquentes sur la plateforme unique de signalement, ENISA www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp/frequently-asked-questions