DIAGNOSTIC CRA
Diagnostic CRA : où en êtes-vous dans votre préparation au Cyber Resilience Act ?
Le Cyber Resilience Act introduit des obligations de cybersécurité pour les produits comportant des éléments numériques. Avant de construire un plan d'action, il est utile de situer les sujets déjà couverts et ceux à examiner. Accédez au diagnostic interactif CRA Manager depuis cette page Hoctave pour engager cette première réflexion.
Pourquoi réaliser un diagnostic CRA ?
Une démarche de préparation au CRA nécessite de qualifier les produits concernés, d'identifier les obligations applicables et d'organiser les travaux et justificatifs. Un diagnostic initial peut servir de point de départ à cette réflexion, sans remplacer une analyse juridique, technique ou de conformité propre à chaque produit.
Identifier le bon périmètre
Le règlement (UE) 2024/2847 vise les produits comportant des éléments numériques dans les conditions qu'il fixe. Le rôle de l'opérateur économique, la nature du produit et d'éventuelles exclusions doivent être examinés. Le fait qu'une solution soit numérique ne suffit pas à conclure automatiquement qu'elle relève du CRA.
Structurer la préparation
Une démarche CRA peut concerner la gestion des risques de cybersécurité, les vulnérabilités, les composants, la documentation technique et les procédures d'évaluation de la conformité. Les travaux nécessaires dépendent du produit et de la situation de l'organisation.
Identifier les prochaines vérifications
Le diagnostic est un point d'entrée. Ses résultats éventuels doivent être interprétés, confirmés et complétés par les personnes compétentes. Il ne constitue ni une certification, ni une attestation officielle de conformité, ni une autorisation d'apposer le marquage CE.
Un calendrier à anticiper
Les dispositions du CRA s'appliquent progressivement. Les obligations de signalement prévues à l'article 14 s'appliquent depuis le 11 septembre 2026. Les principales obligations du règlement s'appliqueront à partir du 11 décembre 2027. Les règles transitoires et les obligations propres à chaque acteur doivent être prises en compte.
Comprendre le Cyber Resilience ActPasser du diagnostic à un pilotage documenté
Un premier état des lieux ne remplace pas le suivi de la préparation dans la durée. CRA Manager est positionné comme une plateforme pour structurer les informations, les décisions et les justificatifs autour des produits concernés, sous réserve des fonctionnalités et éditions effectivement disponibles.
Questions fréquentes
Le diagnostic CRA délivre-t-il une certification de conformité ?
Non. Un diagnostic constitue une aide à l'orientation ou à la préparation. L'appréciation réglementaire et les obligations applicables doivent être analysées par les responsables compétents. Il ne délivre ni certification CRA, ni marquage CE.
Quels produits sont concernés par le Cyber Resilience Act ?
Le règlement vise, selon ses conditions et exclusions, les produits comportant des éléments numériques mis à disposition sur le marché de l'Union européenne. L'analyse doit prendre en compte le produit, ses fonctions et l'acteur économique concerné.
Que faire après un premier diagnostic ?
Documenter les hypothèses, vérifier l'applicabilité du règlement, identifier les écarts qui méritent un examen et définir les travaux avec les équipes produit, sécurité, qualité et conformité.