RÈGLEMENT (UE) 2024/2847
Le CRA impose une sécurité minimale à vos produits numériques
Le CRA impose une cybersécurité minimale à vos produits numériques. Signalement obligatoire depuis le 11 septembre 2026, marquage CE le 11 décembre 2027.
Sur cette page
- Le CRA vise le produit, comme le marquage CE
- Vendre sous votre marque fait de vous un fabricant
- Le signalement s'applique déjà, depuis le 11 septembre 2026
- Le 11 décembre 2027, un produit non conforme ne pourra plus être mis sur le marché
- Tout produit connecté est concerné, sauf exclusion sectorielle
- Jusqu'à 15 millions d'euros d'amende, et un produit interdit de marché
- Les normes manquent encore, mais le calendrier ne bouge pas
- Votre produit est-il concerné ? Réponse en deux minutes
Ce règlement européen, le Cyber Resilience Act, vise vos produits, et non votre entreprise.
Ses obligations de signalement s'appliquent depuis le 11 septembre 2026, le reste du règlement le 11 décembre 2027. Voyez ce qui s'applique déjà.
Le texte en détail : article 71 et chapitre IV
Le calendrier est fixé à l'article 71. Le signalement de l'article 14 s'applique depuis le 11 septembre 2026, le reste du règlement à compter du 11 décembre 2027.
Une seconde date, moins commentée, est déjà passée. Le chapitre IV, articles 35 à 51, porte la notification des organismes d'évaluation de la conformité. Il s'applique depuis le 11 juin 2026. Il concerne les organismes et les autorités, pas directement les fabricants.
- notification des organismes d'évaluation
- obligations de signalement
- les États s'efforcent d'avoir assez d'organismes notifiés
- les exigences essentielles et le marquage CE
- 21
- exigences essentielles
- 24 heures
- pour donner la première alerte
- cinq ans
- de suivi de sécurité au minimum
Le principe
Le CRA vise le produit, comme le marquage CE
Le CRA fait pour la cybersécurité ce que le marquage CE fait depuis trente ans pour la sécurité physique. Il vise le produit que vous vendez, alors que la plupart des autres textes de cybersécurité visent votre organisation.
Deux produits, ce sont donc deux évaluations, deux dossiers, et parfois deux régimes.
Les quatre rôles
Vendre sous votre marque fait de vous un fabricant
Vous faites fabriquer un boîtier connecté par un tiers, puis vous le vendez sous votre marque ? Pour le CRA, vous êtes fabricant.
Il existe quatre rôles : fabricant, importateur, distributeur et intendant de logiciels ouverts, qui soutient un logiciel libre, ou open source sans le fabriquer. Vous pouvez être fabricant pour un produit et distributeur pour un autre. Voyez les quatre rôles, et le cas de la marque propre.
Article 14
Le signalement s'applique déjà, depuis le 11 septembre 2026
Un attaquant exploite une faille de votre produit : vous avez 24 heures pour donner la première alerte.
Vous signalez une faille qu'un attaquant utilise déjà, ou un incident grave touchant la sécurité du produit, sur la plateforme de l'ENISA, l'agence européenne de cybersécurité.
L'alerte précoce
Dans les 24 heures.
La notification
Dans les 72 heures.
Le rapport final
Dans les 14 jours suivant le correctif, pour une faille. Dans le mois suivant la notification, pour un incident grave.
En 24 heures, vous suivez une procédure déjà écrite : voyez le signalement en 24 heures.
Les amendes ne s'appliquent qu'à partir du 11 décembre 2027, mais l'obligation de signaler court depuis le 11 septembre 2026.
Le texte en détail : articles 14, 64, 69 et 71
Pour une vulnérabilité activement exploitée, l'alerte précoce, la notification et le rapport final relèvent de l'article 14, paragraphe 2, points a), b) et c). Le rapport final intervient dans les 14 jours suivant la mise à disposition d'un correctif.
Pour un incident grave ayant des répercussions sur la sécurité du produit, ils relèvent de l'article 14, paragraphe 4, points a), b) et c). Le rapport final intervient dans le mois suivant la notification.
La plateforme unique de signalement de l'ENISA est en service depuis le 11 septembre 2026.
L'article 69, paragraphe 3, rectifié le 2 juillet 2025, se lit « avant le 11 décembre 2027 ». Le signalement couvre donc les produits déjà sur le marché aujourd'hui.
L'article 64, qui fixe les amendes, s'applique à partir du 11 décembre 2027 (article 71, paragraphe 2). Le règlement ne dit pas comment serait sanctionné un manquement à l'article 14 commis avant cette date.
Dès cette date, une micro ou petite entreprise ne pourra pas recevoir d'amende administrative pour une alerte précoce tardive (article 64, paragraphe 10, point a).
Annexe I et article 13
Le 11 décembre 2027, un produit non conforme ne pourra plus être mis sur le marché
Ce jour-là arrivent les exigences essentielles et le marquage CE.
Les exigences essentielles sont les 21 règles de sécurité que votre produit doit respecter, en deux familles.
13 propriétés du produit lui-même
Entre autres : aucune faille exploitable connue, sécurité par défaut, mises à jour, contrôle des accès, protection des données.
8 obligations pour sa vie après la vente
Entre autres : liste des composants, correction sans retard, tests, contact public pour signaler une faille.
Vous pouvez écarter une exigence, si vous le justifiez
Un capteur de température et un gestionnaire de mots de passe ne courent pas les mêmes risques. Le CRA n'impose donc pas les 13 propriétés à tous les produits, mais vous devez justifier chaque exigence que vous écartez.
Cette justification part de votre analyse de risque et figure dans votre documentation technique. Elle fait d'un questionnaire rempli un dossier opposable, présentable lors d'un contrôle.
Le texte en détail : annexe I et article 13, paragraphe 4
Les treize propriétés figurent à l'annexe I, partie I, point 2. Parmi elles : aucune vulnérabilité exploitable connue à la mise à disposition sur le marché, configuration de sécurité par défaut, correction possible par mise à jour, contrôle des accès, confidentialité et intégrité des données, minimisation, disponibilité des fonctions essentielles après un incident, surface d'attaque limitée, journalisation, effacement sécurisé.
Les huit obligations de gestion des vulnérabilités figurent à l'annexe I, partie II : nomenclature des logiciels, correction sans retard, tests réguliers, publication des correctifs, divulgation coordonnée, adresse de contact publique, distribution sécurisée des mises à jour, diffusion sans retard et gratuite des correctifs de sécurité.
L'annexe I, partie I, point 2 s'ouvre ainsi : « Sur la base de l'évaluation des risques de cybersécurité visée à l'article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant ». Ce « le cas échéant » commande tout le reste, et il est largement méconnu.
La justification d'une exigence non applicable doit figurer dans la documentation technique (article 13, paragraphe 4, dernière phrase).
Le suivi de sécurité dure au moins cinq ans
- Vous assurez cinq ans de suivi de sécurité au minimum : c'est la période d'assistance.
- Chaque mise à jour de sécurité reste disponible dix ans après sa sortie.
- Vous indiquez à l'acheteur la date de fin du suivi, au moins le mois et l'année.
Vous signez ensuite la déclaration UE de conformité, qui affirme que le produit respecte le règlement, et vous en répondez. Puis vous apposez le marquage CE.
Le texte en détail : articles 13, 28, 30 et 31
La période d'assistance est d'au moins cinq ans, sauf si la durée d'utilisation prévue du produit est plus courte (article 13, paragraphe 8).
Chaque mise à jour de sécurité reste disponible pendant dix ans après son émission, ou jusqu'à la fin de la période d'assistance si celle-ci est plus longue (article 13, paragraphe 9).
La date de fin de la période d'assistance est portée à la connaissance de l'acheteur, au moins en mois et en année (article 13, paragraphe 19).
Le fabricant établit lui-même la déclaration UE de conformité et en porte la responsabilité (article 28).
La documentation technique et la déclaration UE sont tenues à disposition au moins dix ans après la mise sur le marché, ou pendant la période d'assistance si elle est plus longue (article 13, paragraphe 13). Le contenu de la documentation technique est fixé par l'article 31 et l'annexe VII.
Une fois la conformité démontrée par la procédure d'évaluation choisie, le fabricant établit la déclaration conformément à l'article 28 et appose le marquage CE conformément à l'article 30, au même moment (article 13, paragraphe 12). Pour un logiciel, le marquage est porté par la déclaration UE de conformité ou par le site internet qui accompagne le logiciel (article 30).
Le champ
Tout produit connecté est concerné, sauf exclusion sectorielle
Une caméra connectée, une application mobile, un routeur entrent tous dans le champ.
Est concerné tout produit, logiciel ou matériel, dont l'usage prévu comporte une connexion à un appareil ou à un réseau.
Seuls en sortent les produits visés par une exclusion sectorielle expresse. Posez la question produit par produit : qui est concerné, et à quel titre.
Article 64
Jusqu'à 15 millions d'euros d'amende, et un produit interdit de marché
À partir du 11 décembre 2027, la sanction maximale atteint 15 millions d'euros, ou 2,5 % du chiffre d'affaires annuel mondial.
Dès cette date, un produit qui ne respecte pas les exigences essentielles ne peut plus être mis sur le marché, ce qui coûte souvent plus cher que l'amende.
- 15 millions d'euros
- ou 2,5 % du chiffre d'affaires annuel mondial
- 10 millions d'euros
- ou 2 %
- 5 millions d'euros
- ou 1 %
Les plafonds plus bas visent les autres obligations, puis les informations inexactes données aux autorités.
Le texte en détail : articles 64 et 71
L'article 64 s'applique à partir du 11 décembre 2027 (article 71, paragraphe 2).
Le manquement aux exigences essentielles de l'annexe I et aux obligations des articles 13 et 14 est passible de 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Les autres obligations relèvent d'un plafond de 10 millions d'euros ou 2 %. Les informations inexactes fournies aux autorités ou aux organismes notifiés relèvent d'un plafond de 5 millions d'euros ou 1 %.
Normes, organismes, textes attendus
Les normes manquent encore, mais le calendrier ne bouge pas
Une norme harmonisée citée au Journal officiel fait présumer votre produit conforme, et aucune ne l'est encore.
Environ 41 normes sont attendues entre fin 2026 et fin 2027. Aucun organisme notifié, l'évaluateur extérieur de certains produits, n'est enregistré à ce jour, et d'ici au 11 décembre 2026, les États s'efforcent d'avoir assez d'organismes notifiés.
Rien de tout cela ne suspend vos obligations, puisque le signalement s'applique déjà.
Le texte en détail : articles 8, 27, 33 et 35, et le droit français
La présomption de conformité de l'article 27 suppose des normes harmonisées citées au Journal officiel de l'Union.
Le mandat de normalisation M/606, document C(2025)618, porte environ 41 normes. Il a été accepté par le CEN, le CENELEC et l'ETSI le 3 avril 2025. Les livrables sont en enquête publique, et les échéances s'échelonnent de fin 2026 à fin 2027 selon le type de norme.
Les règles de notification des organismes s'appliquent depuis le 11 juin 2026. L'article 35, paragraphe 2 fixe l'objectif d'une capacité d'évaluation suffisante au 11 décembre 2026.
Trois textes attendus manquent également :
- l'acte délégué de l'article 8, paragraphe 1 sur les produits critiques, non adopté à ce jour ;
- l'acte délégué de l'article 27, paragraphe 9 sur les schémas de certification, annoncé pour le quatrième trimestre 2026 et non adopté à ce jour ;
- l'acte d'exécution de l'article 33, paragraphe 5 sur la documentation technique simplifiée des micro et petites entreprises, non adopté à ce jour.
En France, les rôles sont annoncés par les autorités et portés par l'article 32 d'un projet de loi. Ce texte a été adopté par le Sénat le 18 février 2026. Il est en cours d'examen à l'Assemblée nationale et non adopté à ce jour.
Et maintenant
Votre produit est-il concerné ? Réponse en deux minutes
Le diagnostic vous dit si le CRA vous concerne, à quel titre, et ce qui s'applique déjà.
Il tient en treize questions au plus, sans frais et sans création de compte : commencer le diagnostic.
Vous êtes concerné ? Vous construisez le dossier CRA de votre produit en répondant, et la veille vous dit quand le revoir : voir le dossier et la veille. Prêt avant le 11 décembre 2027, vous pourrez le montrer à vos clients, sources officielles à l'appui.
Questions fréquentes
Le Cyber Resilience Act, c'est quoi exactement ?
C'est le règlement (UE) 2024/2847. Il impose un niveau minimum de cybersécurité aux produits comportant des éléments numériques, sur le modèle du marquage CE. Ses exigences portent sur le produit lui-même, treize propriétés, et sur son suivi dans le temps, huit obligations (annexe I, partie I, point 2 et partie II). Le signalement s'applique depuis le 11 septembre 2026, la notification des organismes d'évaluation depuis le 11 juin 2026, le reste le 11 décembre 2027 (art. 71).
Le CRA s'applique-t-il à mon entreprise ou à mes produits ?
À vos produits. Chaque produit s'analyse séparément, avec son rôle, sa classe et sa propre évaluation des risques (art. 13, paragraphe 2). Deux produits de votre catalogue peuvent donc relever de régimes différents.
Qu'est-ce qui est déjà obligatoire aujourd'hui ?
Le signalement, depuis le 11 septembre 2026, via la plateforme unique de signalement de l'ENISA. Vous envoyez une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final. Ce rapport arrive dans les 14 jours suivant le correctif pour une vulnérabilité activement exploitée, dans le mois suivant la notification pour un incident grave (art. 14, paragraphe 2 et paragraphe 4, points a), b) et c)).
Le CRA s'applique-t-il aux produits que je vends déjà ?
Pour le signalement, oui. L'article 69, paragraphe 3, rectifié le 2 juillet 2025, se lit « avant le 11 décembre 2027 » : les produits déjà sur le marché sont couverts. Les exigences essentielles de l'annexe I, elles, conditionnent la mise sur le marché à partir du 11 décembre 2027.
Faut-il attendre les normes harmonisées pour s'y mettre ?
Non. À ce jour, aucune norme harmonisée n'est citée au Journal officiel, et la présomption de conformité n'est ouverte pour aucune catégorie de produit (art. 27). Le calendrier, lui, est fixé par l'article 71 et n'attend pas les normes. Ce qui est stable dès aujourd'hui prend le plus de temps : l'évaluation des risques, la nomenclature des logiciels et la procédure de signalement (art. 13, paragraphe 2 ; annexe I, partie II, point 1).
Combien de temps dois-je maintenir mon produit après l'avoir vendu ?
Au moins cinq ans, sauf si sa durée d'utilisation prévue est plus courte (art. 13, paragraphe 8). Chaque mise à jour de sécurité reste disponible dix ans après son émission, ou jusqu'à la fin de la période d'assistance si elle est plus longue (art. 13, paragraphe 9). L'acheteur connaît la date de fin dès l'achat, au moins en mois et en année (art. 13, paragraphe 19).
Le règlement commenté
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Commission européenne, obligations de signalement
- Commission européenne, évaluation de la conformité
- Commission européenne, normalisation
- Commission européenne, suivi de la mise en oeuvre
- ENISA, mise en service de la plateforme unique de signalement
- Assemblée nationale, dossier DDADUE
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.