[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:cra-annexe-i-les-22-exigences-essentielles-en-liste-de-controle":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","cra-annexe-i-les-22-exigences-essentielles-en-liste-de-controle","CRA annexe I : les 22 exigences essentielles, en liste de contrôle","L'annexe I du règlement sur la cyberrésilience est ce que votre produit doit respecter à partir du 11 décembre 2027 et ce que le dossier technique doit démontrer. La partie I compte 14 exigences sur le produit, dont 13 « le cas échéant » sur la base de votre évaluation des risques ; la partie II compte 8 exigences de gestion des vulnérabilités qui s'appliquent toujours. Les voici en un seul tableau, avec ce que chacune demande et si vous pouvez l'exclure.","2026-09-11","\nLe règlement sur la cyberrésilience, règlement (UE) 2024\u002F2847, ne certifie pas les produits contre une norme. Il exige que tout produit comportant des éléments numériques dans son champ respecte les **exigences essentielles de cybersécurité de l'annexe I**, et il exige du fabricant qu'il le démontre, dans un dossier technique, par la voie d'évaluation de la conformité que [le palier du produit autorise](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act). L'annexe I est donc la liste à laquelle toute autre obligation se rattache : l'évaluation des risques est une évaluation des risques au regard d'elle, la documentation technique la documente, l'organisme notifié la vérifie.\n\nElle tient sur deux pages du règlement et mérite d'être présentée en un seul tableau. Le voici, avec la lecture qui décide si une exigence peut être exclue.\n\n## La structure, et la seule distinction qui compte\n\nL'annexe I a deux parties.\n\n**Partie I, « Exigences de cybersécurité relatives aux propriétés des produits comportant des éléments numériques ».** Le point 1 est l'exigence générale : un niveau de cybersécurité approprié aux risques. Le point 2 énumère treize propriétés précises, a) à m), et s'ouvre par les mots « sur la base de l'évaluation des risques de cybersécurité visée à l'article 13, paragraphe 2, et le cas échéant ». Cette formule fait tout le travail. Une exigence du point 2 de la partie I peut être laissée de côté pour un produit, mais seulement sur la base de l'évaluation des risques et avec la justification inscrite dans la documentation technique. « Nous n'y avons pas pensé » n'est pas une exclusion.\n\n**Partie II, « Exigences en matière de gestion des vulnérabilités ».** Huit exigences sur ce que le fabricant fait pendant la période d'assistance du produit, et non sur le produit lui-même. Aucune n'est « le cas échéant ». Elles s'appliquent à tout produit dans le champ, y compris le plus petit.\n\nCette distinction est la première chose à faire correctement dans un dossier technique, et c'est celle que la [détermination gratuite du champ d'application](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act) ne couvre pas, parce qu'elle appartient au produit, pas à la question de savoir si le règlement s'applique.\n\n## Partie I : propriétés du produit\n\n| Référence | Exigence | Ce qui doit être vrai | S'applique |\n| --- | --- | --- | --- |\n| Partie I, point 1 | Niveau de cybersécurité approprié dès la conception | Le produit est conçu, développé et fabriqué de manière à garantir un niveau de cybersécurité approprié aux risques, sur la base de l'évaluation des risques de cybersécurité. | toujours |\n| Partie I, point 2 a) | Aucune vulnérabilité exploitable connue à la mise à disposition | Le produit est mis à disposition sur le marché sans vulnérabilité exploitable connue. | le cas échéant |\n| Partie I, point 2 b) | Configuration sécurisée par défaut | Le produit est livré avec une configuration sécurisée par défaut, y compris la possibilité de le rétablir dans son état d'origine, sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure. | le cas échéant |\n| Partie I, point 2 c) | Mises à jour de sécurité | Les vulnérabilités peuvent être traitées par des mises à jour de sécurité, y compris des mises à jour automatiques par défaut avec un refus clair et une notification aux utilisateurs, le cas échéant. | le cas échéant |\n| Partie I, point 2 d) | Protection contre l'accès non autorisé | Des mécanismes de contrôle appropriés, y compris l'authentification, la gestion des identités et des accès, et le signalement des accès non autorisés possibles. | le cas échéant |\n| Partie I, point 2 e) | Confidentialité des données | Les données stockées, transmises ou autrement traitées, personnelles ou autres, sont protégées, par exemple par chiffrement au repos et en transit avec des mécanismes à l'état de l'art. | le cas échéant |\n| Partie I, point 2 f) | Intégrité des données, des commandes et de la configuration | Les données, commandes, programmes et configurations stockés, transmis ou traités sont protégés contre toute manipulation ou modification non autorisée par l'utilisateur, et les corruptions sont signalées. | le cas échéant |\n| Partie I, point 2 g) | Minimisation des données | Seules les données adéquates, pertinentes et limitées à ce qui est nécessaire à la finalité prévue sont traitées. | le cas échéant |\n| Partie I, point 2 h) | Disponibilité des fonctions essentielles et de base | Les fonctions essentielles et de base restent disponibles, y compris après un incident, avec résilience et atténuation face aux attaques par déni de service. | le cas échéant |\n| Partie I, point 2 i) | Aucune incidence négative sur les autres appareils et réseaux | Le produit réduit au minimum sa propre incidence négative sur la disponibilité des services fournis par d'autres appareils ou réseaux. | le cas échéant |\n| Partie I, point 2 j) | Surface d'attaque limitée | Les surfaces d'attaque, y compris les interfaces externes, sont limitées. | le cas échéant |\n| Partie I, point 2 k) | Incidence réduite des incidents | L'incidence d'un incident est réduite au moyen de mécanismes et techniques appropriés d'atténuation de l'exploitation. | le cas échéant |\n| Partie I, point 2 l) | Journalisation et surveillance de sécurité | Des informations liées à la sécurité sont fournies par l'enregistrement et la surveillance de l'activité interne pertinente, y compris l'accès aux données, services ou fonctions ou leur modification, avec possibilité de refus pour l'utilisateur. | le cas échéant |\n| Partie I, point 2 m) | Suppression sûre et aisée des données et des paramètres | Les utilisateurs peuvent supprimer de façon sûre et aisée, et définitivement, l'ensemble des données et paramètres, et lorsque des données peuvent être transférées vers un autre produit, cela se fait de façon sûre. | le cas échéant |\n\n## Partie II : gestion des vulnérabilités\n\n| Référence | Exigence | Ce qui doit être vrai |\n| --- | --- | --- |\n| Partie II, point 1 | Recenser et documenter vulnérabilités et composants, avec une SBOM | Les vulnérabilités et composants du produit sont recensés et documentés, y compris une nomenclature logicielle dans un format lisible par machine couramment utilisé couvrant au moins les dépendances de premier niveau. |\n| Partie II, point 2 | Corriger les vulnérabilités sans retard | Les vulnérabilités sont traitées et corrigées sans retard, y compris par des mises à jour de sécurité ; lorsque c'est techniquement faisable, les mises à jour de sécurité sont séparées des mises à jour fonctionnelles. |\n| Partie II, point 3 | Tests et examens réguliers | Des tests et examens efficaces et réguliers de la sécurité du produit sont appliqués. |\n| Partie II, point 4 | Divulguer les vulnérabilités corrigées | Une fois une mise à jour de sécurité disponible, les informations sur les vulnérabilités corrigées sont partagées et divulguées publiquement : description, produits touchés, incidences, gravité et façon dont les utilisateurs remédient ; la divulgation peut être différée lorsque le risque de sécurité de la publication l'emporte sur l'avantage. |\n| Partie II, point 5 | Politique de divulgation coordonnée des vulnérabilités | Une politique de divulgation coordonnée des vulnérabilités est mise en place et appliquée. |\n| Partie II, point 6 | Un contact pour signaler les vulnérabilités | Le partage d'informations sur des vulnérabilités potentielles est facilité, y compris une adresse de contact pour signaler les vulnérabilités découvertes dans le produit. |\n| Partie II, point 7 | Distribution sûre et rapide des mises à jour | Des mécanismes existent pour distribuer les mises à jour de façon sûre afin que les vulnérabilités soient corrigées ou atténuées en temps utile et, lorsque cela s'applique aux mises à jour de sécurité, automatiquement. |\n| Partie II, point 8 | Correctifs de sécurité gratuits, accompagnés d'avis | Les correctifs ou mises à jour de sécurité sont diffusés sans retard et, sauf accord contraire pour un produit sur mesure, gratuitement, accompagnés de messages d'avis donnant aux utilisateurs les informations pertinentes, y compris sur les mesures à prendre éventuellement. |\n\n## Lire la liste\n\n**Les mots sont paraphrasés ; les références ne le sont pas.** La colonne « Ce qui doit être vrai » est notre lecture courte de chaque point en langage clair. Classez d'après le libellé du règlement, que les références vous font trouver en quelques secondes, et citez-le dans le dossier.\n\n**La partie II présume que quatre documents existent.** Une politique de divulgation coordonnée des vulnérabilités (point 5), un contact public pour les signalements (point 6), une nomenclature logicielle (point 1) et un moyen de distribuer les mises à jour de façon sûre et gratuite (points 7 et 8). La plupart des petits fabricants n'ont rédigé aucun des quatre. Ils ne sont pas difficiles à écrire ; il est difficile de penser à les écrire avant qu'on les demande.\n\n**« Sans vulnérabilité exploitable connue » est un état à la mise à disposition, pas une promesse.** Le point 2 a) de la partie I porte sur le moment où le produit est mis à disposition. Ce qui se passe ensuite relève de la partie II, et l'obligation de notification de l'article 14, [en vigueur depuis le 11 septembre 2026](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware), s'y ajoute pour les vulnérabilités activement exploitées.\n\n**La période d'assistance fait partie de la réponse.** L'article 13, paragraphe 8, impose au fabricant de déterminer une période d'assistance pendant laquelle la partie II est assurée, d'au moins cinq ans sauf si le produit est censé être utilisé moins longtemps, et de l'indiquer. Un dossier qui liste les exigences de la partie II sans dire pour combien de temps est incomplet.\n\n**Les exclusions sont un argument, pas une case cochée.** Pour chaque exigence du point 2 de la partie I que vous ne mettez pas en œuvre, le dossier doit contenir la raison tirée de l'évaluation des risques. Un organisme notifié, ou une autorité de surveillance du marché une fois que [votre État membre en aura nommé une](\u002Farticles\u002Fwho-enforces-the-cyber-resilience-act-in-your-member-state), lira ces raisons avant toute autre chose.\n\n## Quoi en faire\n\nPour chaque produit dans le champ, une ligne par exigence : mise en œuvre, comment, et où se trouve la preuve ; ou exclue, sur la base de quelle conclusion de l'évaluation des risques. Vingt-deux lignes. Ce tableau, avec le [palier](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act) et la [détermination du champ d'application](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act) devant lui, constitue l'essentiel de la colonne vertébrale d'un dossier technique, et c'est le tableau dont l'échéance de décembre 2027 est réellement l'enjeu.\n\n## Sources\n\n- Règlement (UE) 2024\u002F2847, annexe I, parties I et II ; article 13, paragraphe 2, pour l'évaluation des risques à laquelle renvoie le « le cas échéant » ; article 13, paragraphe 8, pour la période d'assistance ; article 31 et annexe VII pour la documentation technique ; article 71, paragraphe 2, pour les dates.\n- La FAQ technique de la Commission sur le CRA, version 1.3 du 1er juillet 2026, sur les exclusions du point 2 de la partie I.\n\nCeci n'est pas un avis juridique. Les références sont là pour que vous puissiez lire chaque exigence dans le règlement et décider pour votre propre produit.\n",1789383974284]