Le Règlement sur la Cyber-résilience de l'UE (CRA) exige que tous les produits comportant des éléments numériques vendus dans l'UE répondent aux exigences de cybersécurité d'ici décembre 2027. Les obligations clés comprennent : la tenue des SBOMs (nomenclatures logicielles), le signalement des vulnérabilités exploitées à l'ENISA dans les 24 heures (à partir de septembre 2026) et la conservation de la documentation technique pendant 10 ans. Les sanctions peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. CRA Evidence aide les fabricants, importateurs et distributeurs à atteindre la conformité grâce à la gestion des SBOMs, l'analyse des vulnérabilités et la génération de dossiers techniques.
Règlement UE sur la Cyber-résilience (CRA)
Le règlement UE 2024/2847 définit les exigences de cybersécurité pour les produits comportant des éléments numériques. Voici ce que vous devez savoir.
Qu'est-ce que le Règlement sur la Cyber-résilience ?
Le CRA exige des entreprises qu’elles documentent leur chaîne d’approvisionnement logicielle, surveillent les vulnérabilités tout au long du cycle de vie d’un produit et conservent les dossiers techniques pendant 10 ans. C’est beaucoup de paperasse.
Publié en tant que Règlement (UE) 2024/2847, il couvre les produits matériels et logiciels vendus dans l'UE : appareils IoT, systèmes de contrôle industriel, logiciels autonomes, et plus encore.
Le règlement impose des Software Bills of Materials (SBOMs), des processus de gestion des vulnérabilités, des évaluations des risques et de la documentation technique. Pour les produits matériels, des HBOMs sont également requis. Les documents VEX communiquent le statut des vulnérabilités aux utilisateurs en aval.
Dates limites clés de conformité
11 septembre 2026
Début du signalement des vulnérabilités
Les fabricants doivent signaler les vulnérabilités activement exploitées à l'ENISA et aux autorités nationales dans les 24 heures suivant leur découverte. Les rapports détaillés sont dus dans les 72 heures.
11 décembre 2027
Application complète du CRA
Tous les produits comportant des éléments numériques doivent respecter les exigences essentielles de cybersécurité. Les produits non conformes ne peuvent pas être vendus sur le marché de l'UE.
Sanctions pour non-conformité
Le CRA introduit des sanctions financières importantes pour non-conformité. Les autorités de surveillance du marché peuvent également ordonner des rappels de produits et interdire les ventes sur le marché de l'UE.
Classification des produits
Le CRA classe les produits en fonction de leur niveau de risque en matière de cybersécurité. Les produits à risque plus élevé font face à des exigences évaluation de la conformité plus strictes.
| Catégorie | Exemples | Évaluation de la conformité |
|---|---|---|
| Par défaut | La plupart des applications logicielles, appareils IoT, électronique grand public | Auto-évaluation autorisée |
| Important Classe I | Gestion d'identité, navigateurs, gestionnaires de mots de passe, VPN, gestion de réseau | Auto-évaluation si utilisation de normes harmonisées ; sinon évaluation par un tiers |
| Important Classe II | Hyperviseurs, environnements de conteneurs, pare-feu, détection d'intrusion, éléments sécurisés | Évaluation de conformité par un tiers requise |
| Critique | Modules de sécurité matériels, lecteurs de cartes à puce, systèmes de démarrage sécurisé | Exigences les plus strictes (Annexe IV) |
Exigences documentaires (Annexe VII)
Les fabricants doivent compiler et maintenir une documentation technique qui démontre la conformité aux exigences essentielles. Cette documentation doit être conservée pendant au moins 10 ans après la mise sur le marché du produit.
Évaluation des risques
Évaluation des risques de cybersécurité couvrant les menaces potentielles, les vulnérabilités et les mesures prises pour y remédier.
Déclaration UE de conformité
Une déclaration formelle que le produit répond à toutes les exigences CRA applicables, signée par un représentant autorisé.
Documentation utilisateur
Instructions pour l'installation, l'utilisation et la maintenance sécurisées. Doit inclure des informations sur la période de support et les mises à jour de sécurité.
Politique de gestion des vulnérabilités
Processus documenté pour identifier, suivre et corriger les vulnérabilités. Doit inclure des procédures de divulgation coordonnée.
Rapports de tests
Preuves de tests de sécurité, y compris tests de pénétration, revues de code et vérification des exigences essentielles.
Signalement des vulnérabilités à l'ENISA
À partir de septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées à ENISA (Agence de l'Union européenne pour la cybersécurité) et à leur CSIRT national en respectant des délais stricts.
Le non-respect des délais de signalement peut entraîner des sanctions importantes et des dommages réputationnels.
Dans les 24 heures
Alerte précoce - Notification initiale d'une vulnérabilité activement exploitée ou d'un incident grave. Informations de base sur la menace.
Dans les 72 heures
Rapport détaillé - Détails techniques, produits affectés, évaluation de la gravité et premières mesures correctives.
Dans les 14 jours
Rapport final (Vulnérabilités) - Analyse complète, cause racine, correction complète et enseignements tirés.
Dans le mois
Rapport final (Incidents) - Pour les incidents de sécurité graves, un rapport final est dû dans le mois.
Comment CRA Evidence vous aide
Le CRA s'applique différemment selon votre rôle dans la chaîne d'approvisionnement. CRA Evidence s'adapte à chacun.
Les obligations CRA varient selon le rôle dans la chaîne d'approvisionnement
Fabricants
L’article 13 impose les obligations les plus lourdes : SBOM, gestion des vulnérabilités, mises à jour de sécurité, documentation technique.
- Validation SBOM (TR-03183)
- Surveillance des vulnérabilités
- Export des dossiers techniques
- Déclaration de conformité
Importateurs
L’article 19 vous rend responsable de la vérification de la conformité du fabricant avant de vendre dans l’UE.
- Listes de vérification
- Suivi des fabricants
- Stockage des preuves
- Piste d’audit
Distributeurs
Les obligations de l'Article 20 sont plus légères : vérifier marquage CE et traiter correctement les produits non conformes.
- Listes de diligence requise
- Suivi des fournisseurs
- Vérification CE
- Escalade des incidents
Commencez à vous préparer maintenant
Décembre 2027 est plus proche qu’il n’y paraît. Préparez vos produits et votre documentation.