Règlement sur la cyberrésilience (CRA) : signalement dès sept. 2026, CE en 2027

Champ d'application et évaluation de la conformité

Le CRA s'applique aux produits matériels et logiciels comportant des éléments numériques mis à disposition sur le marché de l'UE, y compris les solutions de traitement de données à distance et les composants mis sur le marché séparément, lorsque leur utilisation prévue ou raisonnablement prévisible inclut une connexion de données directe ou indirecte. Les produits qui ne sont pas fournis dans le cadre d'une activité commerciale ne sont pas couverts, et certains produits relevant d'autres législations de l'UE sont exclus.

La plupart des produits peuvent recourir à l'auto-évaluation (contrôle interne, module A). Les produits importants de classe I ne peuvent s'auto-évaluer que si des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité ont été appliqués ; sinon, un organisme notifié est nécessaire. Les produits importants de classe II et les produits critiques exigent une évaluation par un tiers ou un schéma de certification. L'application de normes harmonisées donne une présomption de conformité.

Obligations du fabricant

• Réaliser une évaluation des risques de cybersécurité et satisfaire aux exigences essentielles de l'annexe I, y compris le traitement des vulnérabilités pendant la période de support.
• Faire preuve de diligence raisonnable à l'égard des composants tiers intégrés.
• Tenir la documentation technique à la disposition des autorités de surveillance du marché.
• Fournir les informations d'identification et de contact et les informations destinées aux utilisateurs prévues à l'annexe II, y compris la date de fin de la période de support (mois et année) au moment de l'achat.
• Établir la déclaration de conformité de l'UE et apposer le marquage CE avant de mettre le produit sur le marché.
• Signaler les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous 14 jours après la disponibilité d'un correctif (vulnérabilités) ou sous un mois (incidents graves).

Importateurs, distributeurs et calendrier

Les importateurs doivent vérifier que le fabricant a réalisé l'évaluation de la conformité, que la documentation technique existe et que le produit porte le marquage CE, et ne doivent pas mettre sur le marché de produits non conformes. Les distributeurs doivent vérifier le marquage CE et les informations du fabricant et de l'importateur, y compris la période de support. Les uns comme les autres doivent informer le fabricant des vulnérabilités et coopérer avec les autorités. Un fabricant peut désigner un mandataire par mandat écrit.

Les obligations de signalement s'appliquent à partir du 11 septembre 2026, y compris aux produits déjà sur le marché. Les dispositions principales s'appliquent à partir du 11 décembre 2027 ; les produits déjà sur le marché ne sont couverts que s'ils font l'objet d'une modification substantielle après cette date. Les certificats d'examen UE de type existants en matière de cybersécurité expirent le 11 juin 2028, sauf s'ils deviennent caducs plus tôt. Les sanctions sont fixées par chaque État membre, et les micro-entreprises et les petites entreprises ne peuvent pas être frappées d'une amende pour non-respect du délai de 24 heures.