Vue d’ensemble du règlement de l’UE sur la cyberrésilience

Objet et structure

Le CRA s’applique aux produits grand public et industriels qui remplissent ses conditions de champ d’application. Commencez par identifier le produit et vérifier si une exclusion s’applique. Les obligations du fabricant et les voies d’évaluation de la conformité disponibles dépendent ensuite de son rôle et de la classification du produit.

Les pages thématiques ci-dessous expliquent chacune de ces questions et fournissent les définitions juridiques, exemples et références aux sources nécessaires à une évaluation propre au produit.

Concepts fondamentaux

Choisir un parcours de lecture

Les responsables produit, les ingénieurs en sécurité et les équipes d’évaluation de la conformité ont besoin de parties différentes du règlement. Les parcours de lecture ci-dessous correspondent à ces responsabilités.

• Responsables produit et conformité : déterminez quels produits et versions sont fournis, si le CRA s’applique, le rôle juridique, la catégorie du produit et les dates d’application pertinentes.
• Équipes de sécurité et d’ingénierie : reliez l’architecture, les actifs, les limites de confiance, les composants et la conception des mises à jour à l’évaluation des risques de cybersécurité.
• Équipes de gestion des vulnérabilités : tenez à jour les dossiers des composants et des vulnérabilités, évaluez l’impact sur le produit, préparez des mesures correctives et examinez les critères de signalement de l’article 14 dès que des faits pertinents apparaissent.
• Équipes de documentation technique et d’évaluation : réunissez les preuves propres au produit, vérifiez les normes et la voie d’évaluation, et assurez la cohérence du dossier avec la version commercialisée.

Par exemple, un dispositif connecté peut dépendre d’un micrologiciel intégré, d’une application et d’un traitement à distance sous le contrôle du fabricant. La définition du produit vient en premier ; l’évaluation des risques, les dossiers des composants et la documentation s’appuient ensuite sur la même délimitation.

Ordre de lecture pour les fabricants

D’abord, déterminez si le produit relève du champ d’application. Les pages ci-dessous présentent ensuite les parties responsables, les catégories de produits et les exigences applicables. Vérifiez séparément les règles de signalement : l’article 14 s’applique à compter du 11 septembre 2026, avant les principales exigences applicables aux produits.

1. Commencez par Produits dans le champ d’application et Mise sur le marché .
2. Identifiez le rôle de l’opérateur économique dans Rôles et obligations .
3. Classez le produit à l’aide de Classification des produits et Descriptions techniques du règlement 2025/2392 .
4. Consultez les obligations relatives aux produits et aux processus dans Exigences essentielles de cybersécurité .
5. Consultez les normes pertinentes dans Normes et normes harmonisées et Normes de produits par catégorie .
6. Poursuivez avec Évaluation des risques de cybersécurité, Documentation technique et Informations et instructions destinées aux utilisateurs.
7. Préparez le signalement au titre de l’article 14 avec Signalement des vulnérabilités et Préparation au signalement au titre de l’article 14 .
8. Utilisez les dates clés pour distinguer les délais de signalement, des organismes notifiés, de transition et d’application complète.

Produits dans le champ d’application

Le présent règlement s’applique aux produits comportant des éléments numériques mis à disposition sur le marché, dont l’usage prévu ou raisonnablement prévisible comprend une connexion de données logique ou physique, directe ou indirecte, à un dispositif ou à un réseau.

Règlement (UE) 2024/2847, article 2, paragraphe 1

Un produit comportant des éléments numériques peut être un logiciel, un matériel, un composant logiciel ou matériel mis sur le marché séparément, ainsi que la solution de traitement de données à distance du produit. Le traitement à distance fait partie du produit uniquement s’il est conçu et développé par le fabricant ou sous sa responsabilité, et si le produit ne peut exécuter l’une de ses fonctions sans lui.

Le CRA ne transforme pas chaque service numérique en produit comportant des éléments numériques. Un site Web ou un service cloud qui n’entre pas dans la responsabilité produit du fabricant est différent d’un traitement à distance dont le produit a besoin pour fonctionner. La page sur le champ d’application traite des exclusions explicites ; la page sur les bases présente le contexte plus général du droit des produits.

Rôles et catégories de produits

Un fabricant, un importateur et un distributeur peuvent chacun avoir des obligations pour le même produit. La classification du produit répond à une autre question : quelles voies d’évaluation de la conformité sont disponibles ou obligatoires. Les catégories de produits importantes et critiques dépendent de la fonctionnalité principale du produit.

• Les produits par défaut restent soumis au CRA, mais relèvent généralement de la voie d’évaluation de conformité par contrôle interne.
• Les produits importants sont répertoriés à l’annexe III et répartis entre les classes I et II.
• Les produits critiques sont répertoriés à l’annexe IV et peuvent être soumis à une certification ou à des voies d’évaluation tierce plus strictes.
• Le règlement d’exécution (UE) 2025/2392 de la Commission fournit des descriptions techniques des catégories de produits importantes et critiques.

Un produit n’est pas important ou critique au seul motif qu’il contient un composant figurant dans une catégorie répertoriée. Il faut déterminer si le produit dans son ensemble possède la fonctionnalité principale de cette catégorie.

Exigences essentielles et normes

L’article 6 exige que le produit et les processus du fabricant en matière de vulnérabilités respectent tous deux l’annexe I. Ses deux parties énoncent ces exigences séparément. Une norme harmonisée dont la référence est publiée au Journal officiel peut donner une présomption de conformité pour les exigences qu’elle couvre.

Les pages détaillées expliquent la structure de l’annexe I et la manière dont les normes peuvent contribuer à démontrer la conformité. Exigences essentielles de cybersécurité et Normes et normes harmonisées.

Signalement et gestion des vulnérabilités

La gestion des vulnérabilités est une obligation qui s’inscrit dans le cycle de vie. Le signalement est une obligation plus limitée, déclenchée par un événement. À partir du 11 septembre 2026, l’article 14 s’applique dès qu’un fabricant a connaissance d’une vulnérabilité activement exploitée dans le produit ou d’un incident grave affectant sa sécurité.

• Alerte précoce : dans les 24 heures suivant le moment où le fabricant en a connaissance.
• Notification : dans les 72 heures suivant le moment où le fabricant en a connaissance, sauf si les informations pertinentes ont déjà été fournies.
• Rapport final sur une vulnérabilité activement exploitée : au plus tard 14 jours après qu’une mesure corrective ou d’atténuation est disponible.
• Rapport final sur un incident grave : dans le mois suivant la notification de l’incident dans les 72 heures.

Dates clés

Le CRA a été publié au Journal officiel le 20 novembre 2024 et est entré en vigueur le 10 décembre 2024. Son application est progressive : les obligations de signalement et les règles applicables aux organismes d’évaluation de la conformité interviennent avant son application complète.