Le CRA vise-t-il un appareil qui ne se connecte qu'à un téléphone, pas à internet ?

Oui. Sont visés les produits comportant des éléments numériques dont l'usage prévu inclut une connexion de données directe ou indirecte à un appareil ou à un réseau, ce qu'est un appairage avec un téléphone.

Nous vendons dans l'UE depuis l'extérieur. Cela change-t-il quelque chose ?

Non. Les obligations suivent la mise sur le marché de l'Union, pas votre siège. Il vous faudra un importateur ou un mandataire établi dans l'Union.

Qu'est-ce qui est dû dès maintenant, avant le 11 décembre 2027 ?

L'obligation de notification. Depuis le 11 septembre 2026, une vulnérabilité activement exploitée ou un incident grave doit être notifié, d'abord sous 24 heures puis sous 72.

Une mise à jour du micrologiciel fait-elle un nouveau produit ?

Pas en soi. Une modification substantielle d'un produit déjà mis sur le marché en fait un ; c'est le test à appliquer avant une version majeure.

Cyber Resilience Act : tous les outils et articles

Règlement (UE) 2024/2847, annexe III

Vous fabriquez un appareil grand public connecté. Que demande le CRA ?

Dans le champ ?: Oui, par défaut, comme tout produit comportant des éléments numériques.
Quelle classe ?: Par défaut, sauf s'il s'agit de l'une des cinq catégories grand public de l'annexe III classe I.
À partir de quand ?: Notification depuis le 11 septembre 2026 ; tout le reste à partir du 11 décembre 2027.

Que fabriquez-vous ?

Les cinq catégories grand public de l'annexe III classe I

Point	Dans les termes du règlement
III.I.12	Routers, modems intended for the connection to the internet, and switches
III.I.16	Smart home general purpose virtual assistants
III.I.17	Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
III.I.18	Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
III.I.19	Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Règlement (UE) 2024/2847, annexe III, classe I, lu au Journal officiel avec ses rectificatifs ; les obligations de notification s'appliquent depuis le 11 septembre 2026.

Deux façons d'être prêt

Préparation CRA, 1 500 €, 10 jours ouvrés

Nous délimitons votre produit, listons les écarts au regard de l'annexe I, mettons en place la voie de notification et rédigeons la documentation technique avec vous.

Voir ce qui est couvert

Pack documentation technique CRA, 2 000 €

La même documentation, rédigée par vous à partir de notre modèle et de votre fiche produit, sans prestation.

Voir le pack

Questions fréquentes

Le CRA vise-t-il un appareil qui ne se connecte qu'à un téléphone, pas à internet ?: Oui. Sont visés les produits comportant des éléments numériques dont l'usage prévu inclut une connexion de données directe ou indirecte à un appareil ou à un réseau, ce qu'est un appairage avec un téléphone.
Nous vendons dans l'UE depuis l'extérieur. Cela change-t-il quelque chose ?: Non. Les obligations suivent la mise sur le marché de l'Union, pas votre siège. Il vous faudra un importateur ou un mandataire établi dans l'Union.
Qu'est-ce qui est dû dès maintenant, avant le 11 décembre 2027 ?: L'obligation de notification. Depuis le 11 septembre 2026, une vulnérabilité activement exploitée ou un incident grave doit être notifié, d'abord sous 24 heures puis sous 72.
Une mise à jour du micrologiciel fait-elle un nouveau produit ?: Pas en soi. Une modification substantielle d'un produit déjà mis sur le marché en fait un ; c'est le test à appliquer avant une version majeure.

Cette page en:English Deutsch Nederlands Español Dansk