Cyber Resilience Act : tous les outils et articles
Règlement (UE) 2024/2847, annexe III, et règlement (UE) 2023/1230
Vous fabriquez des équipements industriels ou connectés. Que vous demande le CRA ?
- Dans le champ ?
- Oui. Un automate, une motorisation, un capteur ou une machine avec éléments numériques est couvert.
- Quelle classe ?
- Par défaut pour l'équipement lui-même. C'est la couche réseau et sécurité autour qui est listée.
- À partir de quand ?
- Notification depuis le 11 septembre 2026. Machines à partir du 20 janvier 2027. Le CRA en entier à partir du 11 décembre 2027.
Que livrez-vous ?
Ce qui est listé autour de la machine
| Point | Classe | Dans les termes du règlement |
|---|---|---|
| III.I.1 | Classe I | Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers |
| III.I.5 | Classe I | Products with digital elements with the function of virtual private network (VPN) |
| III.I.6 | Classe I | Network management systems |
| III.I.10 | Classe I | Physical and virtual network interfaces |
| III.I.11 | Classe I | Operating systems |
| III.I.12 | Classe I | Routers, modems intended for the connection to the internet, and switches |
| III.I.13 | Classe I | Microprocessors with security-related functionalities |
| III.I.14 | Classe I | Microcontrollers with security-related functionalities |
| III.II.1 | Classe II | Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments |
| III.II.2 | Classe II | Firewalls, intrusion detection and prevention systems |
Règlement (UE) 2024/2847, annexe III, lu au Journal officiel avec ses rectificatifs ; les obligations de notification s'appliquent depuis le 11 septembre 2026.
La machine doit un second règlement
Une machine avec éléments numériques est aussi une machine au sens du règlement machines. Le règlement (UE) 2023/1230 s'applique à partir du 20 janvier 2027 et exige, à l'annexe III, que le raccordement d'un appareil ne crée pas de situation dangereuse, que les logiciels et données critiques pour la sécurité soient protégés contre la corruption, et que toute intervention sur eux laisse une trace. Il a sa propre documentation technique, que celle du CRA ne remplace pas.
Documentation technique machinesDeux façons d'être prêt
Préparation CRA, 1 500 €, 10 jours ouvrés
Nous délimitons votre produit, listons les écarts au regard de l'annexe I, mettons en place la voie de notification et rédigeons la documentation technique avec vous.
Voir ce qui est couvertPack documentation technique CRA, 2 000 €
La même documentation, rédigée par vous à partir de notre modèle et de votre fiche produit, sans prestation.
Voir le packQuestions fréquentes
- Notre automate est vendu à des constructeurs de machines, pas à des utilisateurs finaux. Le CRA s'applique-t-il quand même ?
- Oui. Les obligations suivent la mise sur le marché de l'Union d'un produit comportant des éléments numériques, pas l'identité de l'acheteur. Un composant vendu à un autre fabricant est mis sur le marché.
- La machine n'est pas sur internet. Sommes-nous hors champ ?
- Non. Le règlement couvre les produits comportant des éléments numériques dont l'utilisation prévue inclut une connexion de données directe ou indirecte à un appareil ou à un réseau ; un réseau d'usine ou un portable de maintenance en est une.
- Faut-il un organisme notifié pour toute la machine, ou seulement pour la partie listée ?
- Seulement pour le produit listé. Un pare-feu mis sur le marché en tant que produit relève de l'annexe III classe II et est évalué comme tel ; la machine qu'il protège reste en classe par défaut et c'est vous qui l'évaluez.
- Qu'est-ce qui est dû dès maintenant, avant le 11 décembre 2027 ?
- L'obligation de notification. Depuis le 11 septembre 2026, une vulnérabilité activement exploitée ou un incident grave doit être notifié, d'abord sous 24 heures puis sous 72.