En vigueur . Les obligations de notification s'appliquent depuis le 11 sept. 2026.
Dites-nous ce que vous vendez. Nous vous disons ce qui s'y applique, et quand.
Données d'exemple
- À qui cela s'applique
- Tout fabricant, importateur ou distributeur d'un produit comportant des éléments numériques mis sur le marché de l'UE, logiciels compris, sans seuil de taille.
- Les dates
- L'obligation de signalement de l'article 14 s'applique depuis le 11 septembre 2026, et le reste du règlement à partir du 11 décembre 2027.
- La seule chose à faire
- Décidez pour chaque produit que vous mettez sur le marché s'il est dans le champ, écrivez la décision, et mettez en place la voie de signalement avant d'en avoir besoin.
Organismes notifiés
Chapitre IV : les organismes d'évaluation de la conformité peuvent être notifiés à partir de cette date.
Obligation de notification
Article 14 : les vulnérabilités activement exploitées et les incidents graves sont notifiés à partir de cette date, 24 heures pour l'alerte précoce.
Tout le reste
Les exigences essentielles, la documentation technique et le marquage CE s'appliquent à tout produit mis sur le marché à partir de cette date.
En un coup d'œil
111exigences, chacune avec la disposition sur laquelle elle repose
67rattachées à des clauses ou mesures ISO
8déclenchent un délai
La chaîne de notification de l'article 14, paragraphe 2
Envoyez l'alerte précoce de vulnérabilité sous 24 heures
14(2)(a)
Envoyez la notification de vulnérabilité sous 72 heures
14(2)(b)
Envoyez le rapport final 14 jours après le correctif
14(2)(c)
Le Cyber Resilience Act, pour un fabricant de logiciels
Le Cyber Resilience Act atteint tout produit comportant des éléments numériques mis sur le marché de l'UE : l'obligation de notification de l'article 14 depuis le 11 septembre 2026, le reste à partir du 11 décembre 2027.
Répondez ci-dessus pour lire la détermination de votre cas ; l'outil complet reprend vos réponses.
Continuer dans la détermination gratuiteLa détermination complète répond à chaque question et conserve la lecture comme document daté pour €29.
Dossier technique CRA, fait pour vous: 2 900 €
Les 11 documents du pack, remplis pour votre produit.
Sept outils, gratuits, sans compte
- Vérification gratuiteVotre produit est-il dans le champ d'application, et à quel niveau ?Six questions tirées de l'article 2, de l'article 3, du considérant 12 et des annexes III et IV, avec la description technique de chaque catégorie et le coordinateur de votre État membre.
- Vérification gratuiteChaque obligation, par rôleLes 111 lignes du règlement qui lient un fabricant, un importateur, un distributeur ou un gestionnaire de logiciels libres, dans les termes du Journal officiel, avec un statut par ligne et la liste de contrôle rédigée en document.
- CalculateurLe calculateur des délais de l'article 14Les délais de 24 heures, de 72 heures et du rapport final pour les deux déclencheurs, le rapport final ancré là où le règlement l'ancre, les CSIRT coordinateurs des 27 États et le registre des autorités de surveillance.
- GuideOù déclarer, par État membreChoisissez l'État de votre établissement principal et lisez le CSIRT désigné comme coordinateur, sa page de contact et les trois délais ; une ligne par État membre d'après la liste de l'ENISA, avec la date de lecture.
- GuideLa documentation technique, l'annexe VII point par pointCe que le dossier doit contenir, combien des 22 exigences essentielles un produit de classe I doit documenter par rapport à une norme harmonisée qui n'existe pas encore, et ce que StandardOS assemble.
- CorrespondanceL'annexe I mise en correspondance avec ISO 27001Chacune des 22 exigences essentielles face aux mesures de l'annexe A qui font tourner le processus derrière elle, et celles que rien dans l'annexe A ne produit : la SBOM, la divulgation publique, la politique de divulgation, les mises à jour gratuites.
- GuideImportateurs et distributeursLes obligations des articles 19 à 21 pour une entreprise qui revend ou importe un produit comportant des éléments numériques, et les vérifications qui y satisfont.
- Vérification gratuiteAppareils grand public connectésUn appareil acheté par un ménage : dans le champ par défaut, et cinq catégories à l'annexe III classe I.
- Vérification gratuiteÉquipements industriels et connectésUne machine, une motorisation, un automate ou un capteur est en classe par défaut ; l'annexe III liste la couche réseau et sécurité autour.
- Vérification gratuiteLogiciels embarqués et micrologicielsLe logiciel qui part dans le produit d'un autre est lui-même un produit comportant des éléments numériques, et il n'y a pas d'exemption open source.
- Vérification gratuiteLes logiciels que l'on installeUn logiciel mis sur le marché porte un marquage CE, sur la déclaration ou sur le site web. Si les clients se connectent seulement, le considérant 12 renvoie à NIS2.
Chaque modèle gratuit sur une page
Trois dates
- S'applique11 juin 2026
Chapitre IV : les règles relatives aux organismes notifiés, pour que les organismes d'évaluation de la conformité des produits importants et critiques puissent être désignés. Aucun ne l'était le 13 octobre 2026.
- S'applique11 septembre 2026
Article 14 : une vulnérabilité activement exploitée ou un incident grave déclenche une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final, déposés sur la plateforme unique de notification de l'ENISA. Tout produit dans le champ d'application, y compris ceux déjà sur le marché.
- S'applique à partir du11 décembre 2027
Application intégrale : les exigences essentielles de l'annexe I, l'évaluation de la conformité, la documentation technique, le marquage CE et la période d'assistance, pour tout produit mis sur le marché à partir de ce jour, et pour les produits plus anciens dès qu'ils sont substantiellement modifiés.
Le CRA et le règlement sur l'IA, depuis le 27 juillet 2026
Un produit comportant des éléments numériques peut aussi être un système d'IA à haut risque au titre de l'article 6 du règlement sur l'IA. L'article 12, paragraphe 1, du CRA et, depuis le 27 juillet 2026, l'article 42, paragraphe 3, du règlement sur l'IA modifié réputent un tel système conforme aux exigences de cybersécurité de l'article 15 du règlement sur l'IA lorsque le produit satisfait aux exigences de l'annexe I, partie I, que les processus du fabricant satisfont à la partie II et que le niveau de protection est démontré dans la déclaration UE de conformité au titre du CRA. Une seule évaluation de la conformité, au titre de l'article 43 du règlement sur l'IA, couvre les deux.
Votre produit est-il aussi un système d'IA à haut risque ? La détermination, gratuite
32 articles, d'après les sources primaires
S'applique-t-il à vous, et dans quelle mesure
- ArticleVotre produit entre-t-il dans le champ du règlement sur la cyberrésilience ? Où se situe le SaaSLa question la plus posée sur le CRA n'est pas comment notifier, c'est si le règlement s'applique à vous.
- ArticleQuand un logiciel est-il « mis sur le marché » au sens du CRA, et lequel de vos builds est un produit ? La règle des orientations pour les logiciels autonomesTout, dans le CRA, tient à une date et à un nom : la date à laquelle un produit est mis sur le marché, et la question de savoir si ce que vous livrez est un produit.
- ArticleQuelles parties de votre backend sont dans le CRA ? Le traitement de données à distance, d'après les orientations de la CommissionUn produit comportant des éléments numériques inclut ses solutions de traitement de données à distance, et le règlement les définit en une phrase.
- ArticleCRA ou NIS2 : lequel s'applique à une société de logiciels, et peut-on être sous les deux ?Le règlement sur la cyberrésilience régit les produits mis sur le marché ; NIS2 régit les entités qui fournissent des services.
- ArticleLe CRA s'applique-t-il aux logiciels libres ? Trois cas, et le régime allégé des gestionnairesLe règlement sur la cyberrésilience n'atteint les logiciels libres et ouverts que lorsqu'ils sont fournis dans le cadre d'une activité commerciale.
- ArticleVotre projet open source est-il « commercial » au sens du CRA ? Les sept tests de la Commission, avec ses exemplesLe CRA n'atteint les logiciels libres et open source que lorsqu'ils sont fournis dans le cadre d'une activité commerciale, et le règlement laisse « commercial » à deux considérants.
- ArticleVotre produit est-il important ou critique au sens du CRA ? Par défaut, sauf s'il relève de l'une des 19, 4 ou 3 catégories des annexes III et IVDans le champ du CRA, un produit est par défaut, important de classe I (19 catégories), important de classe II (4) ou critique (3), et le niveau décide si vous vous auto-évaluez ou s'il vous faut un organisme notifié au titre de l'article 32.
- ArticlePar défaut, important ou critique : les 26 descriptions techniques du règlement d'exécution 2025/2392, et le test de la fonctionnalité de baseLes annexes III et IV du CRA nomment 26 catégories de produits en une ligne chacune.
- ArticleCe que le CRA demande aux importateurs et distributeurs, et quand il fait d'eux le fabricantSi vous revendez des logiciels ou des appareils dans l'UE plutôt que de les construire, les articles 19 et 20 du règlement sur la cyberrésilience vous donnent une liste de vérification à dérouler avant la mise en vente, l'obligation de transmettre les vulnérabilités au fabricant, l'obligation d'informer les autorités des risques importants, et dix ans de conservation.
- ArticleQuelle mise à jour fait entrer votre logiciel existant dans le CRA ? Les modifications substantielles, d'après les orientations de la CommissionUn logiciel mis sur le marché avant le 11 décembre 2027 reste hors des obligations de conception et de conformité du CRA tant qu'il n'est pas substantiellement modifié.
La notification, depuis le 11 septembre 2026
- ArticleCe que vous devez notifier au titre du CRA : les deux déclencheurs, tels que le règlement les définitL'article 14 a deux déclencheurs et les deux sont définis dans le texte.
- ArticleQuand démarre l'horloge de 24 heures du CRA ? À un degré raisonnable de certitude après une évaluation initiale rapide, selon les orientations de la CommissionL'article 14 compte 24 et 72 heures à partir de la « prise de connaissance » sans jamais la définir.
- ArticleÀ quel CSIRT notifier au titre du CRA ? Au coordinateur de votre établissement principal, les 27 nommésL'article 14 adresse la notification au CSIRT désigné comme coordinateur par l'État membre de votre établissement principal ; l'ENISA a publié les 27 le 10 septembre 2026.
- ArticleDéposer une notification CRA sur la plateforme de l'ENISA : un EU Login personnel, un coordinateur, trois onglets, pas d'APIportal.cra-srp.enisa.europa.eu a ouvert le 11 septembre 2026.
- ArticleLe délai du rapport final du CRA ne part pas du moment où vous avez connaissanceLa plupart des présentations de l'article 14 du règlement sur la cyberrésilience donnent trois délais depuis un seul point de départ : 24 heures, 72 heures, 14 jours.
- ArticleNIS2 ou CRA : quelle horloge d'incident court pour un éditeur de logiciels, et ce qui rend un incident « important »Les deux textes vous donnent 24 heures, 72 heures et un mois, et les deux font partir l'horloge du moment où vous « avez connaissance ».
- ArticleQui applique le règlement sur la cyberrésilience dans votre État membre ? 7 sur 27 l'ont ditLe CRA est appliqué au niveau national, par une autorité de surveillance du marché que chaque État membre désigne et enregistre auprès de la Commission.
- ArticleLa machinerie CRA de l'UE elle-même, le jour où l'obligation a commencé : 0 organisme notifié, 0 norme harmonisée, 7 autorités d'application sur 27Le règlement sur la cyberrésilience demande aux fabricants d'être prêts.
- ArticleSanctions du Cyber Resilience Act : à quoi un petit fabricant est réellement exposéLe CRA fixe trois niveaux d'amende, jusqu'à 15 millions d'EUR ou 2,5 % du chiffre d'affaires mondial.
Constituer le dossier, pour le 11 décembre 2027
- ArticleLe règlement sur la cyberrésilience pour un petit fabricant de logiciels, en douze étapesTout ce qu'une entreprise de dix personnes qui livre un logiciel installé ou un appareil doit faire au titre du CRA, dans l'ordre où le faire : la détermination du champ d'application, le palier, le CSIRT et l'autorité d'application, la procédure de notification en vigueur depuis le 11 septembre 2026, puis le dossier technique, les 22 exigences, la SBOM, la période d'assistance, le marquage CE et la déclaration dus pour le 11 décembre 2027.
- ArticleL'article 13 du CRA pour un fabricant de logiciels : les vingt-cinq paragraphes dans l'ordre, lesquels sont les vôtres, lesquels ceux de la Commission, et une liste de contrôle par rôleL'article 13 du Cyber Resilience Act est l'article du fabricant : vingt-cinq paragraphes, des exigences essentielles du paragraphe 1 aux pouvoirs de la Commission du paragraphe 25.
- ArticleL'auto-évaluation au titre du CRA : ce que le module A exige vraiment, d'après l'annexe VIII et la FAQ de la CommissionLa plupart des produits logiciels ne verront jamais un organisme notifié.
- ArticleNormes harmonisées pour le CRA : aucune citée encore, 41 demandées, les deux premières étaient dues le 30 août 2026La demande M/606 du 3 février 2025 commande au CEN, au CENELEC et à l'ETSI 41 normes : deux horizontales pour le 30 août 2026, les verticales pour les produits des annexes III et IV pour le 30 octobre 2026, les exigences génériques pour le 30 octobre 2027.
- ArticleCRA annexe 1 : les 22 exigences essentielles en liste de contrôle, 14 exigences produit et 8 de gestion des vulnérabilitésCe que votre produit doit respecter à partir du 11 décembre 2027 et que le dossier technique doit montrer : partie I, 14 exigences produit, dont 13 « le cas échéant » sur la base de votre évaluation des risques ; partie II, 8 exigences de gestion des vulnérabilités qui s'appliquent toujours.
- ArticleL'évaluation des risques de cybersécurité du CRA : ce que l'article 13 exige vraiment, et le seul résultat qu'elle doit produireL'article 13, paragraphes 2 à 4, du règlement sur la cyberrésilience fait de l'évaluation des risques le document dont dépend toute autre obligation du CRA.
- ArticleCe que contient le dossier technique du CRA : l'annexe VII, point par pointÀ partir du 11 décembre 2027, tout produit comportant des éléments numériques mis sur le marché de l'UE a besoin d'une documentation technique avant sa mise sur le marché, conservée dix ans ou pendant la période d'assistance, la plus longue des deux.
- ArticleLe CRA exige-t-il une SBOM ? Oui, et voici exactement ce qu'il ditL'annexe I, partie II, point 1 du règlement sur la cyberrésilience exige une nomenclature logicielle dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau.
- ArticleCe que le CRA vous demande pour vos dépendances : diligence raisonnable, signalement en amont et vulnérabilités exploitables connues, d'après les orientations de la CommissionUn produit logiciel est surtout fait du code des autres.
- ArticleLa politique de divulgation coordonnée des vulnérabilités exigée par le CRA : trois dispositions, et une politique d'une page qui y répondL'annexe I, partie II, point 5 du règlement sur la cyberrésilience exige de tout fabricant dans le champ qu'il mette en place et applique une politique de divulgation coordonnée des vulnérabilités.
- ArticleCombien de temps dure la période de support du CRA ? Au moins cinq ans, la date de fin indiquée à l'achat, chaque mise à jour conservée dix ansArticle 13, paragraphe 8, du Cyber Resilience Act : une période de support d'au moins cinq ans, ou la durée d'utilisation attendue si elle est plus courte ; sa date de fin, au moins le mois et l'année, indiquée au moment de l'achat ; chaque mise à jour de sécurité maintenue disponible dix ans ou le reste de la période ; le dossier technique, la déclaration et les informations utilisateur conservés dix ans après la mise sur le marché ou pendant la période de support.
- ArticleUn logiciel doit-il porter le marquage CE au titre du CRA ? Oui, et l'article 30 dit où il vaÀ partir du 11 décembre 2027, un marquage CE est exigé sur tout produit comportant des éléments numériques mis sur le marché de l'UE, logiciel compris.
- ArticleLa déclaration UE de conformité au titre du CRA : l'annexe V point par point, la forme simplifiée et un exemple rempliL'article 28 impose au fabricant d'établir une déclaration UE de conformité avant la mise sur le marché, selon le modèle de l'annexe V, et l'article 28(4) fait de sa signature l'acte par lequel le fabricant assume la responsabilité du produit.
Ce qu'il vous demande
111 exigences en 5 groupes
Obligations
18- 13(1) Concevez, développez et produisez le produit selon l'annexe I
- 13(2) Évaluez les risques de cybersécurité du produit et agissez
- 13(5) Vérifiez les composants tiers avant de les intégrer
et 15 de plus
Devoirs
53- 13(3) Documentez l'évaluation des risques et tenez-la à jour
- 13(4) Mettez l'évaluation des risques dans la documentation technique
- 13(6) Signalez une vulnérabilité de composant à son mainteneur
et 50 de plus
Mesures
22- I.1 Sécurisez le produit à proportion de ses risques
- I.2.a Livrez sans vulnérabilité exploitable connue
- I.2.b Livrez sécurisé par défaut, réinitialisable à cet état
et 19 de plus
Clauses
10- 13(8)-4 Surveillez les durées minimales fixées par acte délégué
- 14(5) Jugez un incident grave selon son effet sur la sécurité
- 18(1) Vous pouvez désigner un mandataire par mandat écrit
et 7 de plus
Échéances
8- 14(2)(a) Envoyez l'alerte précoce de vulnérabilité sous 24 heures
- 14(2)(b) Envoyez la notification de vulnérabilité sous 72 heures
- 14(2)(c) Envoyez le rapport final 14 jours après le correctif
et 5 de plus
Le dossier CRA et l'horloge de notification, au même endroit
Les exigences du CRA en catalogue, la documentation technique construite à partir d'elles et l'horloge de notification, dans un seul espace de travail.
Les dates sont lues dans l'article 71 du règlement et jamais saisies sur cette page. Ceci n'est pas un avis juridique, et le règlement est le texte à lire : Règlement (UE) 2024/2847.
Voir aussi:Le CRA pour les consultants et leurs clientsActe européen sur l'accessibilitéDirective sur la responsabilité du fait des produitsArticlesOutils gratuits