Quick wins for a faster PC:
Repair Windows errors before they cause bigger problemsFix Now →Scan for outdated or missing drivers - takes under a minuteDriver Scan →Le Cyber Resilience Act (CRA) renforce les exigences de cybersécurité applicables à certains produits matériels et logiciels vendus dans l’Union européenne. Il ne certifie pas pour autant la sécurité de toute l’entreprise qui les fabrique, les importe ou les utilise : les réseaux internes, les identités, les sauvegardes, les fournisseurs et la réponse aux incidents restent des sujets distincts.
Pour les entreprises françaises, l’enjeu est donc double : respecter les obligations qui s’appliquent à leurs produits et à leur rôle dans la chaîne de commercialisation, sans confondre cette conformité avec une protection globale contre les cyberattaques.
As an Amazon Associate I earn from qualifying purchases.
Que réglemente le Cyber Resilience Act ?
Le CRA est le règlement (UE) 2024/2847. Il harmonise les exigences de cybersécurité pour les produits comportant des éléments numériques mis sur le marché de l’Union européenne. C’est un règlement directement applicable dans les États membres : son application générale ne dépend pas de l’adoption d’une loi française de transposition. Le texte officiel sur EUR-Lex précise qu’il est « obligatoire dans tous ses éléments et directement applicable dans tout État membre ».
Do these 3 things before closing this tab:
1Scan for outdated or missing drivers - takes under a minute2Repair Windows errors before they cause bigger problems3Fix the driver behind crashes, sound loss and screen glitchesLe périmètre porte d’abord sur le produit et certains processus du fabricant. Il ne constitue pas une certification de la cybersécurité de l’organisation dans son ensemble ni une garantie qu’aucun incident ne se produira. Une entreprise peut donc commercialiser un produit conforme tout en restant exposée à des risques dans ses propres systèmes, opérations ou relations avec ses prestataires.
#1 Best Overall
Produits et services concernés
Le règlement vise les produits matériels et logiciels connectables qui comportent des éléments numériques. Certains traitements de données à distance entrent également dans le périmètre lorsqu’ils sont conçus et développés sous la responsabilité du fabricant et sont nécessaires à une fonction du produit.
Un service cloud autonome n’est pas automatiquement couvert comme un produit au titre de cette définition. Le CRA renvoie notamment à la directive NIS2 pour certains fournisseurs et modèles de services cloud, dont SaaS, PaaS et IaaS. Il faut donc examiner la fonction du service et son lien avec le produit plutôt que supposer que tout service en ligne relève du CRA.
Quelles obligations s’appliquent aux fabricants ?
Les exigences essentielles de cybersécurité de l’annexe I imposent une approche liée aux risques pendant la conception, le développement et la production. Le fabricant doit notamment mettre le produit à disposition sans vulnérabilité exploitable connue et avec une configuration sécurisée par défaut lorsque cela s’applique, traiter les vulnérabilités pendant le cycle de vie et documenter les éléments de cybersécurité utiles.
- Organiser un processus de traitement des vulnérabilités signalées par des sources internes ou externes.
- Adopter une politique de divulgation coordonnée des vulnérabilités.
- Fournir les informations nécessaires et conserver la documentation de conformité.
- Déterminer une période d’assistance cohérente avec l’usage attendu et les caractéristiques du produit.
Durée d’assistance et disponibilité des mises à jour
Le fabricant fixe la période d’assistance en tenant compte de la durée pendant laquelle le produit est censé être utilisé, des attentes raisonnables, de sa nature et du droit applicable. Le minimum général est de cinq ans, sauf si le produit est censé être utilisé moins longtemps.
Les mises à jour de sécurité publiées pendant cette période doivent ensuite rester accessibles au moins dix ans après leur émission, ou pendant la durée restante de la période d’assistance si celle-ci est plus longue. Ces délais concernent le support et l’accès aux mises à jour ; ils ne promettent ni l’absence de vulnérabilité future ni l’absence d’incident.
SBOM et visibilité sur les composants
Une nomenclature logicielle (SBOM) peut aider à identifier les composants d’un produit, à mieux suivre sa chaîne d’approvisionnement logicielle et à évaluer l’impact de vulnérabilités découvertes. Le règlement encourage l’identification et la documentation des composants, mais n’exige pas que la SBOM soit rendue publique.
Rank #3
Les obligations varient selon le rôle de l’entreprise
| Rôle | Ce que le CRA implique |
|---|---|
| Fabricant | Concevoir et produire le produit selon les exigences applicables, gérer les vulnérabilités, définir la période d’assistance, constituer la documentation requise et respecter les obligations de signalement. |
| Importateur | Vérifier certains éléments de conformité, afficher ses coordonnées, prendre des mesures correctives si un produit qu’il a mis sur le marché n’est pas conforme, avertir le fabricant lorsqu’il découvre une vulnérabilité et conserver des documents pour les autorités. |
| Distributeur | Le rôle dans la chaîne de commercialisation doit être distingué de celui du fabricant ou de l’importateur ; les obligations applicables dépendent des dispositions du règlement correspondant à sa situation. |
| Acheteur ou utilisateur | La conformité du produit ne remplace pas l’évaluation de son adéquation à l’usage prévu ni les exigences de cybersécurité propres à l’organisation. |
Une entreprise qui importe ou distribue des produits ne devrait donc pas traiter le CRA comme une question réservée aux fabricants. Il lui faut clarifier son rôle pour chaque produit et vérifier les responsabilités qui en découlent.
Quelles échéances sont déjà applicables ?
| Date | Application |
|---|---|
| 11 juin 2026 | Application du chapitre IV, articles 35 à 51, relatif aux organismes d’évaluation de la conformité. |
| 11 septembre 2026 | Application de l’article 14 sur le signalement des vulnérabilités activement exploitées et des incidents graves affectant la sécurité des produits. |
| 11 décembre 2027 | Application générale du règlement. |
Ces dates sont celles du calendrier du règlement (UE) 2024/2847. Elles distinguent les dispositions entrées en application avant le régime général des obligations qui s’appliqueront à partir de décembre 2027.
Signalements à partir du 11 septembre 2026
Les délais de l’article 14 concernent les fabricants et la sécurité des produits concernés. Pour une vulnérabilité activement exploitée, le fabricant doit notifier le CSIRT coordinateur et l’ENISA via la plateforme unique dans les 72 heures suivant sa prise de connaissance, puis transmettre un rapport final au plus tard 14 jours après qu’une mesure corrective ou d’atténuation est disponible.
Pour un incident grave ayant un impact sur la sécurité du produit, le règlement prévoit une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures, puis un rapport final dans le mois suivant la notification d’incident. Ces délais ne doivent pas être confondus avec les obligations de notification d’un incident touchant l’entreprise au titre d’autres régimes.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.La conformité CRA suffit-elle pour acheter ou déployer un produit ?
Non. Le règlement reconnaît que les acheteurs publics et privés peuvent imposer des exigences plus strictes ou plus spécifiques pour l’achat ou l’usage d’un produit que celles requises pour sa mise sur le marché. Un produit conforme au socle réglementaire peut donc ne pas répondre aux besoins de sécurité d’un environnement particulier.
Free tools Windows power users keep installed
One-click scans. No signup required.
Un acheteur peut traduire ses besoins en exigences contractuelles adaptées : par exemple, celles qui concernent les preuves de traitement des vulnérabilités, les modalités de support, les conditions de mise à jour ou les éléments nécessaires à l’intégration dans son propre dispositif de sécurité. Le niveau attendu doit être défini selon l’usage et les risques de l’organisation, et non déduit du seul fait que le produit est conforme au CRA.
Best Value
Que doivent préparer les PME françaises ?
Le cadre européen prévoit des mesures d’accompagnement qui peuvent viser les microentreprises et les petites entreprises : sensibilisation, formation, canal dédié pour obtenir des conseils et soutien aux activités d’essai et d’évaluation de conformité. Les frais de certaines procédures d’évaluation doivent aussi tenir compte de leurs besoins spécifiques et être réduits proportionnellement.
Il s’agit de mesures de soutien, pas d’une exemption générale des obligations. Une PME devrait donc commencer par déterminer si elle fabrique, importe ou distribue un produit concerné, puis attribuer clairement les tâches de conformité et de gestion des vulnérabilités.
Quick Recap
Une méthode de préparation sans confondre produit et organisation
- Cartographier les produits. Recenser les produits matériels et logiciels mis sur le marché de l’Union, puis déterminer si un service à distance est nécessaire à une fonction du produit et relève de la responsabilité du fabricant.
- Clarifier le rôle de l’entreprise. Pour chaque produit, établir si l’entreprise agit comme fabricant, importateur, distributeur ou acheteur/utilisateur et identifier les obligations correspondantes.
- Documenter le cycle de vie produit. Formaliser l’analyse des risques, le processus de traitement des vulnérabilités, la politique de divulgation coordonnée, la documentation technique et la période d’assistance.
- Préparer la visibilité sur les composants. Organiser l’identification des composants et l’usage d’une SBOM lorsqu’elle est pertinente pour suivre les dépendances et les vulnérabilités.
- Mettre en place le circuit de signalement. Pour les fabricants, définir qui qualifie les vulnérabilités et incidents affectant les produits, qui déclenche les notifications et comment respecter les délais de l’article 14 à partir du 11 septembre 2026.
- Traiter séparément la sécurité de l’entreprise. Évaluer les réseaux internes, les identités et accès, les sauvegardes, les fournisseurs, les opérations et la réponse aux incidents dans le cadre de la gestion des risques de l’organisation.
- Relier conformité et achats. Définir les preuves ou garanties supplémentaires nécessaires lorsque le produit est destiné à un usage sensible ou doit satisfaire aux exigences internes d’un acheteur.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
