LE RÈGLEMENT EUROPÉEN
Le Cyber Resilience Act (règlement (UE) 2024/2847) établit des exigences horizontales de cybersécurité pour des produits comportant des éléments numériques mis à disposition sur le marché de l'Union européenne, dans les conditions prévues par le texte. Il encadre notamment la conception sécurisée, la gestion des vulnérabilités, la documentation, l'évaluation de conformité et certaines notifications. L'article 14 s'applique depuis le 11 septembre 2026 ; l'application générale des principales obligations est prévue le 11 décembre 2027.
Le CRA vise la cybersécurité des produits comportant des éléments numériques tout au long de leur cycle de vie, selon les exigences et les responsabilités définies par le règlement. Il régit des produits et des opérateurs économiques identifiés, et non indistinctement toutes les organisations qui utilisent l'informatique.
L'analyse tient compte notamment de la nature du logiciel ou matériel, de sa mise à disposition sur le marché, de sa connexion directe ou indirecte à un dispositif ou réseau et des conditions du règlement. La qualification exige d'examiner le produit réel et sa fonction, sans conclure à partir d'une étiquette marketing.
Non. Le seul fait d'être proposé en SaaS ne suffit pas à déterminer l'applicabilité. Un SaaS autonome n'entre pas automatiquement dans le champ du CRA. En revanche, certains traitements à distance indispensables au fonctionnement d'un produit comportant des éléments numériques peuvent être inclus dans son périmètre. Les fonctions effectivement rendues, le lien avec le produit et les responsabilités doivent être examinés au cas par cas.
Le règlement distingue notamment les fabricants, les importateurs et les distributeurs, dont les obligations ne sont pas identiques. La qualification dépend du rôle réellement exercé et des circonstances de commercialisation. Des exclusions ou des règles particulières peuvent s'appliquer selon le type de produit ou son régime sectoriel.
Les fabricants concernés doivent analyser les exigences applicables à leurs produits, notamment la sécurité dès la conception, les risques de cybersécurité, les composants tiers, la gestion des vulnérabilités et des mises à jour, les informations pour les utilisateurs, la durée de support, les documents techniques et la procédure de conformité appropriée. Leur portée dépend du produit et des règles applicables : il n'existe pas de liste uniforme de démarches identiques pour tous les produits.
Le CRA prévoit des obligations relatives à la nomenclature des composants logiciels. Cela ne se traduit pas par une obligation générale de publier intégralement le SBOM auprès du public. Son contenu, ses conditions de tenue et ses accès doivent être appréciés dans le cadre des obligations précises du règlement.
Non. Les démarches d'évaluation de conformité et les obligations attachées au marquage CE dépendent du classement du produit et de la procédure réglementaire applicable. Un outil de pilotage ou un dossier prérempli ne délivre pas le marquage CE.
| Date | Portée |
|---|---|
| 10 décembre 2024 | Entrée en vigueur du règlement. |
| 11 juin 2026 | Application des dispositions du chapitre IV sur la notification des organismes d'évaluation de la conformité. |
| 11 septembre 2026 | Application des obligations de notification de l'article 14. |
| 11 décembre 2027 | Application générale des principales obligations du CRA. |
Dans les conditions de l'article 69(3), les obligations de notification de l'article 14 concernent également des produits du champ mis sur le marché avant le 11 décembre 2027. Il serait donc inexact d'écrire que toutes les obligations commencent en 2027.
Pour les événements relevant de l'article 14, un avertissement précoce intervient sans retard injustifié et au plus tard dans les 24 heures, et la notification dans les 72 heures selon les conditions et points de départ prévus par le règlement. Le rapport final d'une vulnérabilité activement exploitée suit un calendrier distinct : au plus tard 14 jours après disponibilité d'une mesure corrective ou d'atténuation. Pour un incident grave affectant la sécurité du produit, le rapport final intervient dans le mois qui suit la notification à 72 heures. La plateforme officielle de notification est la Single Reporting Platform de l'ENISA, sous la responsabilité du déclarant concerné.
Commencez par inventorier les produits, documenter le rôle de chaque opérateur, examiner l'applicabilité, organiser les risques, composants et preuves, puis prévoir le suivi des actions et des échéances. Ce travail facilite l'analyse par les équipes compétentes sans constituer en lui-même une validation de conformité.
Rédaction : équipe Hoctave
HOCTAVE
Découvrez comment Hoctave simplifie le pilotage de la conformité de vos produits numériques et échangez avec un expert sur vos enjeux.
HOCTAVE
Votre demande de démonstration a bien été enregistrée.
Notre équipe vous contactera sous 24 heures ouvrées afin de convenir d'un créneau adapté à vos besoins.
En attendant, nous vous invitons à poursuivre votre découverte de la plateforme et de nos ressources dédiées au Cyber Resilience Act.
