L'obligation de notification sous 24 heures du CRA s'applique depuis le 11 septembre 2026. Vérifier si elle vous concerne
Lancer le système

Pour les sociétés de développement logicielproduits et développements clients, dans toute l'UE

Vendre du logiciel dans l'UE. Tenir le dossier de chaque produit à jour.

Le Cyber Resilience Act concerne les logiciels que vous vendez et les développements que vous livrez à vos clients, et les acheteurs demandent ISO 27001 dans tous les cas.

Lancer votre système de conformité Vérifier si le CRA s'applique à vous
Données d'exemple

Les règles qui vous concernent

Ce qui concerne un éditeur, et à partir de quand

Une loi couvre chaque produit livré, une norme est demandée par vos acheteurs, et deux autres dépendent de ce que vous développez.

Cyber Resilience Act

Règlement (UE) 2024/2847 · Produits comportant des éléments numériques

Chaque produit mis sur le marché

Le logiciel que vous mettez sur le marché de l'UE et qui se connecte à un appareil ou à un réseau, avec les obligations du fabricant de l'article 13 à votre charge.

24 hAlerte précoce sur une vulnérabilité activement exploitée, produits déjà vendus comprisArt. 14
Classe IGestionnaires de mots de passe, navigateurs, VPN et systèmes d'exploitation sont des produits importantsAnnexe III
Développements clientsUn logiciel conçu pour un client et livré est aussi mis à disposition sur le marchéArt. 3(22)
SaaSHors champ, sauf s'il s'agit du traitement de données à distance d'un produitConsidérant 12
Art. 13Signalement depuis le En totalité à partir du

ISO 27001

ISO/IEC 27001:2022 · une norme

Pas une loi

Les acheteurs demandent le certificat, et la plupart des appels d'offres qui le citent portent sur du logiciel et des services informatiques.

Annexe A, 93 mesuresVos clients fixent la date

Data Act

Règlement (UE) 2023/2854

Si vous vendez du SaaS

Le chapitre VI permet à vos clients de changer de fournisseur, aux conditions du contrat, sans frais de changement à partir du 12 janvier 2027.

Chapitre VIArt. 29Depuis le Plus de frais de changement à partir du

Règlement sur l'IA

Règlement (UE) 2024/1689

Si vous créez des fonctions d'IA

Si votre logiciel a une fonction d'IA qui dialogue avec des personnes, l'article 50, paragraphe 1, vous impose de leur dire qu'elles interagissent avec un système d'IA.

Art. 50(1)Depuis le

En chiffres

Ce que les acheteurs demandent, et le temps qu'il vous reste

2 055 sur3 403

avis mentionnant ISO 27001 portaient sur des logiciels ou des services informatiques, 60 % du total sur l'année jusqu'au 10 octobre 2026.

Source : TED, classification principale CPV 48 ou 72, consulté le 11 octobre 2026

avant que le Cyber Resilience Act ne s'applique en totalité.

Source : règlement (UE) 2024/2847, article 71, paragraphe 2

23

types de produits sont importants au titre de l'annexe III, dont les gestionnaires de mots de passe, les navigateurs et les systèmes d'exploitation.

Source : règlement (UE) 2024/2847, annexe III

Ce que StandardOS fait pour un éditeur

Un dossier par produit, et le SMSI derrière eux

Chaque tuile est un écran du produit aujourd'hui.

Un dossier technique par produit

La catégorie, la documentation technique, le SBOM et la période d'assistance de chaque produit, tenus à jour quand il change.

Les délais de l'article 14, comptés

Dès que vous avez connaissance d'une vulnérabilité activement exploitée, le délai de chaque notification est à l'écran.

Votre SMSI, rédigé

ISO 27001 avec sa déclaration d'applicabilité et ses politiques rédigées pour que vous les approuviez.

Questionnaires remplis depuis vos registres

Collez les questions d'un client et chaque réponse est rédigée à partir de vos mesures et de vos preuves, avec sa source.

Un abonnement

Chaque règle de cette page, dans un seul registre.

ISO27001CRANIS2DORAISO42001AIACTISO9001MRGDPRDATAACTISO27701EAAISO14001PLDREDGPSRNIS2IRRoHSREACHWEEEPPWRWBBATPTDEUDREEDCER

Les 4 de cette page, et 23 autres au même prix

249 €/mois

Tous les référentiels inclus.

HT, par organisation

  • Utilisateurs illimités, auditeurs compris
  • 7 jours gratuits, sans carte, sans appel commercial
Lancer votre système de conformité

Ou un dossier, une fois : CRA Readiness Toolkit, 199 €Voir le pack

Questions

Ce que les éditeurs demandent d'abord

Des réponses courtes, chacune avec l'article sur lequel elle repose.

Le CRA s'applique-t-il au logiciel développé pour un seul client ?

Oui, dès que vous le livrez : le fournir pour être utilisé dans le cadre d'une activité commerciale, c'est le mettre à disposition sur le marché. Pour un produit sur mesure, vous pouvez convenir avec un utilisateur professionnel d'autres conditions sur sa configuration par défaut et sur les mises à jour de sécurité gratuites.

Art. 3(22)Annexe I
Nous ne vendons que du SaaS. Est-ce concerné ?

Pas comme produit. Le considérant 12 laisse le logiciel en tant que service à NIS2, sauf s'il s'agit du traitement de données à distance dont un de vos produits a besoin pour fonctionner.

Considérant 12Art. 3(2)
Que devons-nous depuis le 11 septembre 2026 ?

Le signalement de l'article 14 : une alerte précoce dans les 24 heures après avoir eu connaissance d'une vulnérabilité activement exploitée, y compris pour les produits déjà sur le marché.

Art. 14Art. 69(3)
Notre produit est-il important ou critique ?

Seulement si l'annexe III ou IV le cite, gestionnaires de mots de passe et navigateurs par exemple. Tout le reste relève de la catégorie par défaut, et vous évaluez vous-même la conformité.

Annexe IIIArt. 32(1)
Faut-il ISO 27001 pour le CRA ?

Non. Le CRA a ses propres exigences essentielles à l'annexe I. ISO 27001 est ce que demandent acheteurs et appels d'offres, et nous publions la correspondance entre les deux.

Annexe I

Commencez par un produit. Ajoutez les autres ensuite.

7 jours gratuits, sans carte et sans appel commercial.

Lancer votre système de conformité Vérifier si le CRA s'applique à vous

Cette page en:EnglishDeutschNederlandsEspañolDansk