CRA för franska tillverkare: ANSSI, ANFR och CE-märkning

Franska tillverkare har samma skyldigheter enligt cyberresiliensförordningen som alla andra EU-tillverkare. Den här sidan är en landöversikt för Frankrike: hur anmälningar om sårbarheter och incidenter routas via CERT-FR (ANSSI:s operativa CSIRT), hur organ för bedömning av överensstämmelse väntas utses inom den franska uppdelningen (ANSSI anmäler, COFRAC ackrediterar), hur ANFR är huvudkandidat för CRA-marknadskontroll i väntan på det formella instrumentet i Journal Officiel (en roll som ofta felaktigt tillskrivs DGCCRF), vad det franska språkkravet faktiskt innebär, och vilka av Bpifrances och France 2030:s linjer som är öppna för efterlevnadsinvesteringar. För det fullständiga tillverkarskyldighetsutbudet, se klusterguiden för tillverkare.

När den här guiden gäller för dig

Du är målgruppen om din tillverkares "huvudsakliga etablering i unionen" finns i Frankrike. Det innebär den plats där beslut om cybersäkerheten för dina produkter med digitala element huvudsakligen fattas. En franskregistrerad säljdotterbolag med teknikutveckling utomlands är inte den huvudsakliga etableringen. Om ditt teknikteam, din SDLC-styrning och de personer som godkänner säkerhetsuppdateringar finns i Frankrike är den här guiden för dig.

Om din huvudsakliga etablering finns i ett annat EU-land och du enbart säljer till Frankrike routas dina CRA-rapporter via CSIRT i din etableringsmedlemsstat, inte CERT-FR. Det franska språkkravet för användarriktad information gäller ändå för varje produkt som placeras på den franska marknaden.

ANSSI och CERT-FR: den franska CSIRT-vägen

CRA-anmälningar routas via den CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen. För en tillverkare med huvudsaklig etablering i Frankrike är denna CSIRT CERT-FR, den operativa armen inom ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI är knutet till SGDSN och driver de franska nationella certifieringsprogrammen (CSPN, Visa de Sécurité) och de ackrediterade utvärderingscentren (CESTI). CERT-FR publicerar franskspråkiga sårbarhetsrådgivningar och driver det nationella samordningsflödet för sårbarheter.

CERT-FR kontakt: webbplats https://www.cert.ssi.gouv.fr, e-post cert-fr@ssi.gouv.fr. ANSSI: https://www.ssi.gouv.fr.

Den tekniska kanalen för rapporteringskadensen 24h / 72h / 14 dagar är ENISA:s gemensamma rapporteringsplattform, som tas i drift den 11 september 2026. En fransk tillverkare lämnar in via den plattformen med CERT-FR som mottagande samordnare. CSIRT-utpekandet är routingen. Plattformen är transporten.

Anmälda organ: ANSSI anmäler, COFRAC ackrediterar

För Important Class I-produkter där ingen harmoniserad standard tillämpas, Important Class II-produkter och kritiska produkter krävs ett anmält organ för bedömning av överensstämmelse (modul B+C eller modul H).

Den franska institutionella uppdelningen är:

• ANSSI är den anmälande myndigheten som formellt utser franska anmälda organ till Europeiska kommissionen under cyberresiliensförordningen. ANSSI utvärderar, kontrollerar och notifierar organen för bedömning av överensstämmelse.
• COFRAC (Comité français d'accréditation) är det franska nationella ackrediteringsorganet och bedömer den tekniska kompetensen hos ett kandidatorgan innan ANSSI notifierar det.

CRA-ramverket för anmälda organ gäller från den 11 juni 2026, med ANSSI:s ackrediterings- och notifieringsfas löpande från juni till december 2026. Den 11 juni 2026 visar NANDO fortfarande noll anmälda organ utsedda i hela EU under cyberresiliensförordningen. Verifiera det slutliga franska Journal Officiel-instrumentet innan du förlitar dig på nationella utpekanden.

En fransk tillverkare kan använda vilket som helst EU-notifierat organ, inte bara franskutsedda. Att välja ett franskutsett organ (LNE, LCIE Bureau Veritas, SGS France och andra historiskt ackrediterade organ) är en upphandlingspreferens, inte ett krav enligt cyberresiliensförordningen. Slutliga CRA-utpekanden publiceras i Europeiska kommissionens NANDO-databas.

ANFR: CRA-marknadskontrollmyndigheten

CRA-marknadsövervakning för produkter med digitala element på den franska marknaden väntas åvila ANFR (Agence nationale des fréquences), inte DGCCRF. ANSSI bekräftar denna institutionella riktning på sin officiella CRA-sida på cyber.gouv.fr, och ANSSI ger tekniskt stöd till ANFR inom ramen för marknadskontroll. Kontrollera det slutliga utpekandet i Journal Officiel innan formella inlagor.

Den franska genomförandevägen skulle ge ANFR sanktionsbefogenheter upp till 15 miljoner euro eller 2,5 procent av global årsomsättning för de allvarligaste CRA-överträdelserna, inom de EU-tak som fastställs av förordningen.

DGCCRF behåller sin allmänna inspektionsroll för konsumentproduktsäkerhet och kommer att fortsätta att identifiera icke-kompatibla varor vid gränsen eller i butiker, men den väntade CRA-marknadskontrollrollen för digitala produkter är ANFR:s. Planera mot ANFR, men kontrollera den slutliga JO-texten innan formella inlagor.

Det franska språkkravet i praktiken

Cyberresiliensförordningen kräver att användarriktad produktinformation är på ett språk som lätt förstås av användare och den lokala marknadskontrollmyndigheten. För produkter på den franska marknaden är det franska. Loi Toubon (loi n° 94-665) kräver oberoende av detta franska i all konsumentinformation, så CRA-skyldigheten harmonierar med en sedan länge gällande nationell regel.

Måste vara på franska:

• Bruksanvisningar och produktinformation som följer med produkten.
• Tillverkarens kontaktuppgifter (namn, adress, e-post eller annan digital kontakt) oavsett var de visas, inklusive på produkten, förpackningen eller medföljande dokument.
• Upplysningen om supportperiodens slutdatum vid inköpsstället.

Kan vara flerspråkigt:

• Produktetiketten och CE-märkningen.
• Text på förpackningen.
• Onlinedokumentation, förutsatt att en fransk version är tillgänglig.

Engelska accepteras normalt för:

• Intern teknisk dokumentation. ANFR eller någon annan medlemsstats marknadskontrollmyndighet kan begära en fransk översättning om de gör en motiverad begäran, så planera för det även om du inte översätter proaktivt.

EU-försäkran om överensstämmelse måste göras tillgänglig på de språk som krävs av den medlemsstat där produkten släpps ut eller tillhandahålls på marknaden. För Frankrike bör du planera en fransk version i stället för att behandla översättning som enbart en inspektionsrisk.

Gränsöverskridande försäljning från Frankrike

Franska tillverkare som säljer till Belgien, Spanien, Tyskland, Italien eller ett annat EU-land följer samma enroutningsregel: dina rapporter går fortfarande till CERT-FR, eftersom routingen följer den huvudsakliga etableringen, inte leveransdestinationen. Du lämnar inte in till belgisk, spansk, tysk eller italiensk CSIRT.

Språkskyldigheten sprider sig däremot per marknad. En produkt som säljs till den spanska marknaden behöver spansk användarriktad information. En produkt till den tyska marknaden behöver tyskt innehåll. Den franska språkpaketen täcker inte dessa marknader.

Varje mottagande medlemsstats marknadskontrollmyndighet kan också begära din tekniska dokumentation på ett språk som den lätt förstår. Om din distribution är bred över EU, räkna med begäran på minst ett allmänt använt arbetsspråk, och se tidig översättning av de mest efterfrågade sektionerna i den tekniska dokumentationen som en praktisk försiktighetsåtgärd.

Nationella finansieringsprogram

Till skillnad från den spanska Plan de Recuperación som stänger sitt NextGenEU-fönster under 2026 är franska nationella program för cybersäkerhetsinvesteringar öppna och aktiva 2026 och framåt.

• Bpifrance driver Diagnostic Cybersécurité (en subventionerad cybersäkerhetsrevision för SME) och Cyber PME-programmet. Cyber PME fas B tog emot ansökningar fram till den 26 november 2025 för företag vars plan för cybersäkerhet lämnades in efter den 1 januari 2024. Fas A och efterföljande utlysningar fortsätter att genomföras.
• France 2030 är den nationella investeringsplanen med cybersäkerhetsspecifika utlysningar som drivs gemensamt av SGPI, Bpifrance och ANSSI. Utlysningar för cybersäkerhetsproduktutveckling samfinansieras med EU Digital Europe Programme, och nyligen genomförda utlysningar har erbjudit upp till 2 miljoner euro i kombinerat stöd. CRA-driven säkerhetsforskning passar in där inriktningen är genuint produktutvecklande innovation.
• France Num erbjuder regionala diagnostikvouchers via handels- och industrikamrarna. Användbart för en inledande Plan de Cybersécurité men inte för en fullständig CRA-verktygsinsats.
• Prêt Innovation och Aide pour le développement de l'innovation är Bpifrances lån- och bidragslinjer som kan täcka SBOM-verktyg, uppbyggnad av kapacitet för sårbarhetshantering och avgifter för bedömning av överensstämmelse där cybersäkerhetsarbetet har en genuint innovativ komponent.

Behörighetsfönster och budgettak ändras årligen. Bekräfta den aktuella utlysningen innan du planerar någon post mot dessa program.

Den här artikeln är endast avsedd för informationsändamål och utgör inte juridisk rådgivning. Konsultera kvalificerade juridiska rådgivare för specifik CRA-efterlevnadsvägledning.