Cyber Resilience Act : tous les outils et articles
Règlement (UE) 2024/2847 · Articles 19, 20 et 21
Le CRA vous concerne même si vous ne l'avez pas fabriqué. 2 500 € une fois.
Tout le monde lit le Cyber Resilience Act comme un règlement pour les fabricants. Les articles 19 et 20 imposent des obligations de vérification à quiconque importe un produit comportant des éléments numériques dans l'Union ou le met à disposition sur le marché, et l'article 21 fait d'un revendeur un fabricant dès qu'il y apporte sa propre marque. Si vous vendez du matériel ou des logiciels que vous n'avez pas écrits, c'est votre obligation, et elle commence aux mêmes dates.
Ce que le règlement vous demande
Si vous importez dans l'Union · Article 19
Avant la mise sur le marché du produit, vous établissez que le fabricant a effectué l'évaluation de la conformité et établi la documentation technique, que le marquage CE est apposé, que la déclaration de conformité et les informations utilisateur de l'annexe II sont présentes dans une langue que les utilisateurs comprennent, et que les coordonnées du fabricant et le point de contact pour les vulnérabilités figurent. Votre propre nom et adresse vont aussi sur le produit. Vous conservez la déclaration dix ans ou pendant la période de support, la plus longue des deux prévalant.
Si vous mettez à disposition sur le marché · Article 20
Vous agissez avec la diligence requise et, avant la mise à disposition du produit, vous vérifiez le marquage CE et que le fabricant et l'importateur ont fait leur part. Si vous avez des raisons de croire qu'un produit n'est pas conforme, il n'est pas mis en vente. Vous transmettez les vulnérabilités au fabricant sans retard injustifié, et vous informez les autorités lorsqu'un fabricant cesse son activité.
Si vous rebaptisez ou modifiez, vous êtes le fabricant · Article 21
Mettez un produit sur le marché sous votre propre nom ou marque, ou modifiez substantiellement un produit déjà mis sur le marché, et le règlement vous traite comme son fabricant. Les articles 13 et 14 s'appliquent alors pleinement : la documentation technique de l'annexe VII, la période de support, l'obligation de notification. C'est le piège que le pack trouve en premier, parce qu'il change tout le reste.
Prix
2 500 €
une fois, pour l'organisation, HT. Couvre chaque produit que vous fournissez, pas un par produit.
Livraison
Quelques secondes
Rédigé à partir de votre registre dès que Paddle confirme le paiement. Rien n'attend une personne.
Pour
Les revendeurs
Importateurs, distributeurs, intégrateurs, et quiconque place le produit connecté d'un tiers devant un client de l'UE.
Ce que vous obtenez
7 documents maîtrisés, rédigés à partir du registre que vous remplissez. Chacun est versionné, approuvé et chaîné par hachage dans votre organisation, et s'exporte en PDF avec le sha256 du texte approuvé en pied de page.
Les documents sont rédigés en anglais, sous les titres ci-dessous. Le règlement ne fixe aucune langue pour eux ; les informations utilisateur de l'annexe II que le pack vous demande de vérifier doivent être dans une langue que vos utilisateurs comprennent, et c'est une vérification du produit du fabricant, pas de ces documents.
- 1
Supply-chain role determination · Articles 19, 20 and 21
- 2
Due diligence procedure for products with digital elements · Articles 19(2) and 20(2)
- 3
Due diligence register · Articles 19(2), 20(2) and 21
- 4
Manufacturer information request · Articles 19(2) and 20(2)
- 5
Non-conformity, withdrawal and recall procedure · Articles 19(3), 19(5), 20(3) and 20(4)
- 6
Vulnerability and cessation reporting duties · Articles 19(6), 20(4) and 20(6)
- 7
Declaration retention and documentation availability · Article 19(6)
Celui qui piège les gens
Le registre demande, pour chaque produit, de qui est la marque. Si la réponse est la vôtre, l'article 21 fait de vous le fabricant de ce produit et le pack le dit par écrit, en tête de la détermination des rôles. C'est une obligation bien plus lourde que la vérification, et mieux vaut la découvrir maintenant que par une autorité de surveillance du marché. La documentation technique de ces produits est un pack distinct.
Ce que ce n'est pas
- Pas la documentation technique du fabricant. Vous n'en devez pas, sauf si l'article 21 fait de vous le fabricant, et il vous faut alors le pack documentation technique à la place.
- Pas un substitut à l'interrogation de vos fournisseurs. Le pack écrit la lettre et conserve les réponses ; les fabricants doivent encore répondre, et celui qui ne le fait pas constitue en soi un constat.
- Pas un avis juridique. C'est la documentation qu'implique le règlement, rédigée à partir de vos faits, à compléter et à approuver par vous.
- Pas un abonnement. Tenir le registre à jour à mesure que votre catalogue change, c'est le rôle du produit à 249 €/mois. À vous de choisir.
L'acheter
Créez votre organisation, cochez les rôles que vous exercez, ajoutez les produits que vous fournissez, payez. Le pack est rédigé dès que le paiement est confirmé.
Les articles 19 à 21 sont assez courts pour être lus vous-même : Règlement (UE) 2024/2847. Cette page n'est pas un avis juridique.