[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:l-evaluation-des-risques-de-cybersecurite-du-cra-ce-que-l-article-13-exige-vraiment":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","l-evaluation-des-risques-de-cybersecurite-du-cra-ce-que-l-article-13-exige-vraiment","L'évaluation des risques de cybersécurité du CRA : ce que l'article 13 exige vraiment, et le seul résultat qu'elle doit produire","L'article 13, paragraphes 2 à 4, du règlement sur la cyberrésilience fait de l'évaluation des risques le document dont dépend toute autre obligation du CRA. Elle doit analyser les risques d'après la finalité, l'utilisation prévisible et les conditions d'utilisation sur la durée d'utilisation attendue ; dire si et comment chaque exigence du point 2 de la partie I s'applique ; dire comment le point 1 de la partie I et la partie II sont appliqués ; être documentée, tenue à jour sur la période d'assistance et incluse dans le dossier technique, avec une justification claire pour chaque exigence écartée. Les quatre paragraphes, et une structure d'une page qui y satisfait.","2026-09-11","\nDemandez ce qu'un fabricant doit faire en premier au titre du règlement sur la cyberrésilience, règlement (UE) 2024\u002F2847, et la plupart des réponses disent « le dossier technique ». Le règlement dit quelque chose de plus étroit : avant le dossier, avant que les [22 exigences](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist) soient appliquées, il y a une **évaluation des risques de cybersécurité**, et c'est le document qui décide quelles exigences s'appliquent à votre produit et justifie chacune de celles que vous écartez. L'article 13, paragraphes 2 à 4, la décrit. Ils sont courts et inhabituellement précis sur ce que l'évaluation doit contenir.\n\n## À quoi elle sert : article 13, paragraphe 2\n\nLe fabricant « procède à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et tient compte du résultat de cette évaluation pendant les phases de planification, de conception, de développement, de production, de livraison et de maintenance », en vue de réduire au minimum les risques de cybersécurité, de prévenir les incidents et d'en réduire l'impact, « y compris en ce qui concerne la santé et la sécurité des utilisateurs ».\n\nDeux choses en découlent. C'est un document de cycle de vie, pas de lancement : le résultat est pris en compte de la planification à la maintenance. Et la santé et la sécurité sont dans le champ : un produit dont la compromission pourrait blesser quelqu'un doit le dire et traiter ce risque.\n\n## Ce qu'elle doit contenir : article 13, paragraphe 3\n\nLe paragraphe 3 est celui à lire lentement, parce qu'il énumère le contenu.\n\n**Documentée et mise à jour.** « L'évaluation des risques de cybersécurité est documentée et mise à jour, le cas échéant, pendant une période d'assistance. » Une évaluation faite une fois au lancement et jamais revue n'est pas ce que le texte décrit ; elle est mise à jour lorsque le produit, son environnement et la menace changent, aussi longtemps que court la [période d'assistance](\u002Farticles\u002Fhow-long-is-the-cra-support-period).\n\n**Une analyse fondée sur l'utilisation.** Elle « comprend au moins une analyse des risques de cybersécurité fondée sur la finalité et l'utilisation raisonnablement prévisible, ainsi que sur les conditions d'utilisation, du produit comportant des éléments numériques, telles que l'environnement opérationnel ou les actifs à protéger, en tenant compte de la durée pendant laquelle le produit est censé être utilisé ». Les entrées sont donc nommées : à quoi sert le produit, comment il sera prévisiblement utilisé et détourné, où il fonctionne, ce qu'il protège, et pendant combien de temps.\n\n**Une décision sur chaque exigence du point 2 de la partie I.** Elle « indique si, et le cas échéant de quelle manière, les exigences de sécurité énoncées à l'annexe I, partie I, point 2, sont applicables au produit comportant des éléments numériques concerné et comment ces exigences sont mises en œuvre sur la base de l'évaluation des risques de cybersécurité ». C'est la phrase qui fait de l'évaluation la colonne vertébrale du dossier : pour chacune des treize propriétés « le cas échéant », applicable ou non, et si oui, comment elle est mise en œuvre.\n\n**Une déclaration sur le point 1 de la partie I et sur la partie II.** Elle « indique également comment le fabricant doit appliquer l'annexe I, partie I, point 1, et les exigences de gestion des vulnérabilités énoncées à l'annexe I, partie II ». Le point 1 (un niveau de cybersécurité approprié) et les huit exigences de gestion des vulnérabilités s'appliquent toujours ; l'évaluation dit comment.\n\n## Où elle va, et la règle de justification : article 13, paragraphe 4\n\nL'évaluation est incluse dans la documentation technique ([annexe VII, point 3](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point)). Lorsqu'un produit relève aussi d'un autre droit de l'Union avec sa propre évaluation des risques, les deux peuvent ne faire qu'un document. Et la phrase qui compte le plus : « Lorsque certaines exigences essentielles de cybersécurité ne sont pas applicables au produit comportant des éléments numériques, le fabricant inclut une justification claire à cet effet dans cette documentation technique. »\n\nUne exclusion sans motif écrit est une lacune. Un motif qui ne vient pas de l'analyse des risques (« nous n'avons pas eu le temps », « nos concurrents ne le font pas ») n'est pas le type de justification que le texte demande.\n\n## Une structure d'une page qui satisfait aux quatre paragraphes\n\nLe règlement ne prescrit pas de méthode. Toute méthode structurée convient si son résultat couvre le contenu ci-dessus. En voici une qui le fait, dans l'ordre que le texte suggère :\n\n1. **Produit et finalité.** Ce qu'il est, à quoi il sert, les versions couvertes, et la durée d'utilisation attendue (qui alimente aussi la période d'assistance).\n2. **Utilisation prévisible et mésusage, et conditions d'utilisation.** Qui l'utilise, où il fonctionne, à quoi il se connecte, ce qu'il protège (les actifs), et à quoi ressemble un mésusage raisonnable.\n3. **Menaces et risques.** Pour chaque actif et chaque interface, ce qui pourrait mal tourner, avec quelle probabilité, avec quelle gravité, y compris la santé et la sécurité le cas échéant. Toute méthode reconnue (un modèle de menaces, un arbre d'attaque, un registre noté) convient ; le texte demande une analyse, pas une forme particulière.\n4. **Le tableau du point 2 de la partie I.** Treize lignes, a) à m) : applicable oui ou non ; si oui, comment mis en œuvre ; si non, le motif tiré de l'étape 3. Ce tableau est le livrable qu'un organisme notifié ou une autorité lit en premier.\n5. **Point 1 de la partie I et partie II.** Comment le niveau de cybersécurité approprié est atteint globalement, et comment chacune des huit exigences de gestion des vulnérabilités est satisfaite en pratique : la [SBOM](\u002Farticles\u002Fdoes-the-cra-require-an-sbom), la politique de divulgation, le canal de mise à jour, le point de contact.\n6. **Revue.** Qui en est responsable, quand elle est revue la prochaine fois, et ce qui déclenche une revue anticipée (une nouvelle version, un nouvel environnement, une vulnérabilité signalée). L'évaluation est mise à jour sur la période d'assistance, et cette section dit comment.\n\nDatez-la, versionnez-la et classez-la avec la documentation technique. Quand le produit change, changez d'abord l'évaluation et ensuite le dossier, parce que le dossier est la conséquence de l'évaluation, et non l'inverse.\n\n## Ce qu'elle n'a pas besoin d'être\n\nElle n'a pas besoin d'être longue : le texte demande « au moins » une analyse et les deux indications, et un document court qui tranche chaque question vaut mieux qu'un long qui n'en tranche aucune. Elle n'a pas besoin d'une méthodologie de consultant, même si une méthode existante (ISO\u002FIEC 27005, une pratique de modélisation des menaces déjà en place) peut être réutilisée tant que son résultat est rapporté aux treize lignes et à la déclaration sur la partie II. Et elle n'a pas besoin d'attendre une norme harmonisée : [aucune n'a été publiée](\u002Farticles\u002Fthe-eu-s-own-cra-machinery-on-the-day-the-duty-started), et l'évaluation est ce qu'un fabricant a à la place.\n\n## Ce qu'ajoute la FAQ de la Commission\n\nLa FAQ de la Commission sur la mise en œuvre, version 1.4 du 4 septembre 2026, section 4.1, tranche cinq points que le règlement laisse au lecteur.\n\n**Aucune méthodologie n'est imposée.** Entrée 4.1.2 : « Le CRA n'impose pas de méthodologie spécifique d'évaluation des risques de cybersécurité. » Ce qu'il demande, c'est que la méthode « aide les fabricants à documenter » que chaque risque pertinent a été traité, pour qu'une autorité « puisse vérifier comment les risques ont été identifiés, évalués et atténués », et que le modèle de menace corresponde au produit : les produits destinés aux infrastructures critiques « peuvent devoir traiter les risques liés aux acteurs étatiques et aux menaces persistantes avancées », tandis que les produits grand public « ont généralement un profil de risque plus faible et peuvent utiliser un modèle de menace différent ».\n\n**La partie II toujours, la partie I selon les risques.** Entrée 4.1.3 : les exigences de gestion des vulnérabilités de l'annexe I, partie II, s'appliquent intégralement « pendant toute la période d'assistance du produit », tandis que pour les propriétés du produit de la partie I le fabricant « doit déterminer, sur la base de l'évaluation des risques de cybersécurité, lesquelles de ces exigences sont pertinentes ». Une exigence écartée exige « une justification claire dans l'évaluation des risques de cybersécurité incluse dans la documentation technique ». L'exemple de la FAQ est celui des données personnelles : un produit dont la destination n'inclut pas le traitement de données personnelles peut n'avoir besoin d'aucune mesure pour leur protection, et lorsqu'une norme d'interopérabilité que le produit doit suivre (considérant 55) rend une exigence inapplicable mais laisse un risque, le risque est traité « par d'autres moyens, par exemple en limitant la destination du produit à des environnements de confiance et\u002Fou en informant les utilisateurs ».\n\n**Une évaluation peut servir plusieurs actes.** Entrée 4.1.1 : un fabricant « peut réaliser une seule évaluation des risques couvrant les besoins de différentes législations », à condition de pouvoir « démontrer la conformité à chaque législation individuelle ». L'évaluation couvre « l'ensemble du produit comportant des éléments numériques, y compris le traitement de données à distance lorsqu'il est dans le champ d'application », et chaque phase, de la planification à la maintenance, pour tous les niveaux.\n\n**La destination est ce que vous publiez.** Entrée 4.1.4 avec l'article 3(23) : la destination est l'usage que le fabricant spécifie « dans la notice d'utilisation, dans les documents et déclarations promotionnels ou commerciaux, ainsi que dans la documentation technique », et lorsque le produit permet à l'utilisateur de modifier des configurations ou de réduire la sécurité pour la compatibilité avec l'existant, ces usages entrent dans l'évaluation, reçoivent leur propre traitement et sont décrits dans la notice.\n\n**Le mésusage prévisible est aussi dans le champ.** Entrée 4.1.5 avec l'article 3(24) : déployer un produit « sur un réseau non sécurisé » quand la notice exige un réseau sécurisé « pourrait constituer un mésusage raisonnablement prévisible », et les risques liés au mésusage prévisible « doivent aussi être communiqués dans les informations et instructions à l'utilisateur » au titre de l'annexe II, point 5. Pirater son propre appareil pour s'amuser ou pour la recherche est un mésusage en ce sens, pas un usage prévu.\n\n## Sources\n\n- Règlement (UE) 2024\u002F2847, article 13, paragraphes 1 à 4 (cités), article 13, paragraphe 8, pour la période d'assistance, article 31 et annexe VII, point 3, pour le dossier, annexe I, parties I et II. Lu dans le texte du Journal officiel sur EUR-Lex le 11 septembre 2026.\n- Commission européenne, FAQ sur le Cyber Resilience Act, version 1.4 du 4 septembre 2026, entrées 4.1.1 à 4.1.5.\n\nCeci n'est pas un avis juridique. L'article 13, paragraphe 3, est un paragraphe ; lisez-le au regard de votre propre évaluation et vérifiez que chaque contenu nommé y figure.\n",1789383976384]