Sécurité offensive
Gouvernance & conformité
Protection des données
Référentiels & règlementsMise en conformité CRA – Cyber Resilience Act
Gouvernance & conformité
Mise en conformité CRA – Cyber Resilience Act
Le Cyber Resilience Act impose des exigences de cybersécurité aux produits comportant des éléments numériques. Le signalement des vulnérabilités exploitées s’applique depuis le 11 septembre 2026, l’ensemble des exigences le 11 décembre 2027. Digitemis évalue vos produits au regard du règlement et prépare leur mise en conformité.
Le champ du règlement
Le règlement (UE) 2024/2847, dit CRA, est entré en vigueur le 10 décembre 2024. Il s’applique aux produits comportant des éléments numériques mis sur le marché européen dès lors qu’ils se connectent, directement ou indirectement, à un appareil ou à un réseau : logiciels, objets connectés, équipements réseau, micrologiciels, composants. Le fabricant doit notamment :
- concevoir le produit selon les exigences essentielles de l’annexe I, à partir d’une analyse des risques de cybersécurité ;
- identifier et documenter ses composants, dont une nomenclature logicielle (SBOM) ;
- traiter les vulnérabilités et fournir des mises à jour de sécurité pendant toute la période d’assistance, d’au moins cinq ans sauf durée d’utilisation plus courte ;
- tenir une documentation technique, établir la déclaration de conformité UE et apposer le marquage CE ;
- signaler les vulnérabilités activement exploitées et les incidents graves.
Les dispositifs médicaux, les véhicules et l’aéronautique civile relèvent de leurs propres règles. Un manquement aux exigences essentielles expose à une amende pouvant atteindre 15 M€ ou 2,5 % du chiffre d’affaires mondial, et au retrait du produit du marché.
Calendrier
Les échéances
Le règlement s’applique par étapes : d’abord le signalement, ensuite l’ensemble des exigences.
L’alerte précoce et la notification se comptent à partir du moment où le fabricant a connaissance de la vulnérabilité ou de l’incident.
- 10 déc. 2024
Entrée en vigueur du règlement
- 11 juin 2026
Règles applicables aux organismes d’évaluation de la conformité
- 11 sept. 2026
Signalement des vulnérabilités activement exploitées et des incidents graves, y compris pour les produits déjà commercialisés
- 11 déc. 2027
Application de l’ensemble des exigences aux produits mis sur le marché
Délais de signalement
- 24 h
Alerte précoce
Signalement initial, en indiquant les États membres où le produit est disponible.
- 72 h
Notification
Informations générales, mesures correctives ou d’atténuation prises.
- 14 j / 1 mois
Rapport final
14 jours après la mise à disposition d’un correctif pour une vulnérabilité, un mois après la notification pour un incident grave.
La chaîne de contrôle française
Le règlement laissait à chaque État le soin d’organiser sa chaîne de contrôle. La foire aux questions de l’ANSSI sur le CRA précise la répartition française.
- L’ANSSI est l’autorité notifiante : elle désigne les organismes qui évalueront la conformité des produits, sur la base d’une accréditation. L’accréditation doit ouvrir au second semestre 2026, et les premières notifications sont attendues fin 2026.
- Les signalements se déposent sur la plateforme unique opérée par l’ENISA, l’agence de l’Union européenne pour la cybersécurité. Ils parviennent au CSIRT coordinateur de l’État de l’établissement principal du fabricant, le CERT-FR pour la France, qui les diffuse aux autres États concernés.
- L’ANFR, l’Agence nationale des fréquences, est l’autorité de surveillance du marché : elle contrôle les produits mis sur le marché et peut exiger des mesures correctives ou leur retrait.
La conformité ne dépend pas de la publication des normes harmonisées. Ces normes ouvriront une présomption de conformité et faciliteront la démonstration, mais leur usage reste volontaire.
Démarche
Notre accompagnement CRA
Trois temps, de l’état des lieux au dossier de preuves.
État des lieux
Cadrage avec vos équipes développement, produit et sécurité, puis entretiens et questionnaire couvrant toutes les exigences du règlement.
Livrable : bilan par exigence et plan d’action priorisé selon les deux échéances.
Mise en conformité produit
Revue d’architecture, modélisation des menaces, choix des bibliothèques, analyses de code automatisées, nomenclature logicielle, documentation technique, processus de signalement des vulnérabilités et plan d’assistance.
Validation et preuves
Tests d’intrusion sur le micrologiciel, l’API ou l’application, audit de code, vérification de la chaîne de correctifs.
Livrable : rapport de sécurité, plan de gestion des vulnérabilités et résultats de tests.
Pourquoi Digitemis
Nos consultants réunissent la sécurité du développement logiciel et la conformité réglementaire. L’état des lieux examine vos pratiques de développement, de gestion des vulnérabilités et de documentation. Pour les tests d’intrusion et les audits de code, Digitemis est qualifié PASSI LPM par l’ANSSI.
Ils nous font confiance
informations
Contactez-nous
Vous lancez un nouveau produit connecté, devez préparer votre dossier technique CRA ou souhaitez tester votre pipeline de correctifs ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Le CRA s’applique-t-il à un logiciel en SaaS ?
Pas en tant que tel : le règlement exclut les services fournis entièrement à distance. Il s’applique en revanche à une solution de traitement de données à distance lorsque le produit ne peut pas remplir une de ses fonctions sans elle, et à tout logiciel installé chez le client : application, agent, client lourd, micrologiciel.
Notre certification ISO 27001 ou IEC 62443 suffit-elle ?
Elle aide, mais le CRA ajoute des obligations propres au produit : exigences essentielles de l’annexe I, nomenclature logicielle, traitement des vulnérabilités pendant toute la période d’assistance, signalement, documentation technique, déclaration de conformité et marquage CE.
Que faire pour les produits déjà sur le marché ?
Un produit mis sur le marché avant le 11 décembre 2027 n’est soumis aux exigences du règlement que s’il fait ensuite l’objet d’une modification substantielle. L’obligation de signaler les vulnérabilités activement exploitées et les incidents graves s’applique en revanche à tous les produits du champ, déjà commercialisés compris, depuis le 11 septembre 2026.
Quelle évaluation de la conformité pour notre produit ?
La plupart des produits relèvent d’une autoévaluation par le fabricant. Les produits importants de l’annexe III (gestionnaires de mots de passe, VPN, pare-feu, systèmes d’exploitation…) passent par des normes harmonisées ou par un organisme notifié selon leur classe, et les produits critiques de l’annexe IV peuvent se voir imposer une certification européenne. L’état des lieux situe chacun de vos produits.
cas client
Découvrez notre approche
cas client
