# CRA et NIS 2, ce qui les sépare et ce qui les relie

_Vérifié le 13 septembre 2026._

Le Cyber Resilience Act (CRA) porte sur vos produits, NIS 2 porte sur votre organisation. L'un est une réglementation de produit, l'autre une réglementation d'entité, et c'est cette différence d'objet qui explique toutes les autres. Une même entreprise peut relever des deux, pour des raisons qui n'ont rien à voir entre elles.

## Deux textes, deux objets

Le CRA s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte à un dispositif ou à un réseau (art. 2, paragraphe 1). Il ne demande pas comment votre entreprise est gouvernée, il demande ce que fait l'objet que vous vendez.

NIS 2, la directive (UE) 2022/2555, s'adresse à l'inverse à des entités, désignées par leur secteur et leur taille, et leur demande de se gouverner. Le CRA ne définit pas ce champ, il s'y réfère, par exemple lorsqu'il tient compte de la dépendance critique d'entités essentielles au sens de l'article 3, paragraphe 1 de la directive pour classer un produit comme critique (art. 8, paragraphe 1).

La conséquence pratique est simple. Sous le CRA, l'unité est le produit : deux produits de votre catalogue peuvent relever de régimes différents et exiger deux dossiers. Sous NIS 2, l'unité est la personne morale.

> ENCART: exemple
> Un éditeur vend un accès à une plateforme en ligne, sans rien installer chez son client. Ce service n'est pas un produit comportant des éléments numériques au sens du CRA et ne relève pas de ce règlement. Il peut en revanche relever de NIS 2 au titre de son secteur d'activité. Le même éditeur, le jour où il vend un boîtier piloté par son propre service, entre dans le champ du CRA avec ce boîtier.

Pour savoir en deux minutes si le CRA vous concerne et à quel titre, le diagnostic pose treize questions au maximum, sans création de compte : [commencer le diagnostic](/diagnostic/).

## Une correspondance, pas un classement

> ENCART: tableau
> | | Cyber Resilience Act | NIS 2 |
> |---|---|---|
> | Texte | Règlement (UE) 2024/2847 | Directive (UE) 2022/2555 |
> | Objet | Le produit mis sur le marché | L'entité et son organisation |
> | Unité de travail | Un produit, et sa version | Une personne morale |
> | Effet en droit national | Directement applicable | Transposée par chaque État membre |
> | Repère de calendrier | Signalement applicable depuis le 11 septembre 2026, reste du règlement le 11 décembre 2027 (art. 71) | Calendrier propre à chaque transposition nationale |

Les deux textes ne se recouvrent pas et ne se substituent pas l'un à l'autre. Relever de NIS 2 ne dispense d'aucune obligation du CRA, et inversement. Le champ d'application de chacun se vérifie séparément : celui du CRA est détaillé sur la page [qui est concerné, et à quel titre](/qui-est-concerne/).

## Le point de rencontre : la chaîne d'approvisionnement

C'est là que les deux textes se répondent vraiment, et c'est le seul endroit où il est utile de les regarder ensemble. Une entité soumise à NIS 2 doit se préoccuper de la sécurité de ses fournisseurs et de ses produits achetés ; le CRA, lui, rehausse le niveau de ce qui est vendu sur le marché de l'Union.

[À VÉRIFIER : renvoi d'article exact de la directive (UE) 2022/2555 pour l'obligation de sécurité de la chaîne d'approvisionnement des entités. Le texte authentique du règlement (UE) 2024/2847 complété de ses rectificatifs, seule source primaire utilisée ici, ne cite pas cette disposition.]

Le règlement, lui, croise explicitement le sujet à deux endroits. Les autorités de surveillance du marché tiennent compte, pour apprécier l'importance d'un risque de cybersécurité, des facteurs de risque non techniques établis à la suite des évaluations coordonnées au niveau de l'Union des risques pour la sécurité des chaînes d'approvisionnement critiques effectuées conformément à l'article 22 de la directive (UE) 2022/2555 (art. 54, paragraphe 2). Et le groupe de coopération administrative peut décider d'une évaluation de la dépendance de l'Union à l'égard de composants logiciels, en demandant aux fabricants les nomenclatures des logiciels de l'annexe I, partie II, point 1 (art. 13, paragraphe 25).

Pour un acheteur, l'effet le plus concret du CRA est contractuel. Deux informations, jusqu'ici difficiles à obtenir, deviennent des éléments que le fabricant doit produire :

- la date de fin de la période d'assistance, précisée au moment de l'achat, au moins en mois et en année, d'une manière claire, compréhensible et aisément accessible (art. 13, paragraphe 19) ;
- la nomenclature des logiciels, que le fabricant doit établir dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur (annexe I, partie II, point 1).

Rien n'oblige un fabricant à remettre sa nomenclature à chacun de ses clients : l'annexe I lui impose de l'établir, et l'article 13, paragraphe 25 prévoit sa communication aux autorités de surveillance du marché. Mais l'existence même de l'obligation change la conversation d'achat : demander cette pièce cesse d'être une exigence exotique.

## Ce qui arrive déjà dans votre boîte aux lettres

Depuis le 11 septembre 2026, l'article 14 est applicable. Après avoir pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave ayant des répercussions sur la sécurité de son produit, un fabricant informe les utilisateurs touchés, et s'il y a lieu tous les utilisateurs, de cette vulnérabilité ou de cet incident, ainsi que des mesures correctives ou d'atténuation qu'ils peuvent mettre en place, s'il y a lieu dans un format structuré et lisible par machine (art. 14, paragraphe 8).

> ENCART: avertissement
> Une entreprise qui ne fabrique rien va donc commencer à recevoir des alertes de ses fournisseurs, avec une attente implicite de réaction. La question n'est plus de savoir si ces messages arriveront, mais qui les reçoit chez vous, qui décide, et sous quel délai.

Le même paragraphe prévoit que si le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT désignés comme coordinateurs peuvent le faire à sa place lorsqu'ils l'estiment proportionné et nécessaire. L'information circulera, avec ou sans le fabricant.

Pour une entité soumise à NIS 2, ce flux devient une entrée à traiter dans ses propres processus. Pour les autres, c'est une hygiène simple : une adresse de réception identifiée, une personne qui qualifie, et un délai de décision écrit.

L'offre de mise en conformité NIS 2 de l'écosystème Dativo est présentée sur https://mon-audit-nis2.fr.

## Questions fréquentes

### Mon logiciel en ligne relève-t-il du CRA ou de NIS 2 ?
Un service en ligne pur, auquel le client accède sans que rien ne soit installé ou livré chez lui, n'est pas un produit comportant des éléments numériques et ne relève pas du CRA. Il peut relever de NIS 2 selon son secteur et sa taille, ce qui s'apprécie au regard de la directive (UE) 2022/2555 et de sa transposition nationale. La situation change si ce service fait fonctionner un produit que vous vendez : le traitement de données à distance conçu sous la responsabilité du fabricant et sans lequel le produit perd une de ses fonctions fait partie du produit (art. 3, points 1 et 2).

### Être conforme à NIS 2 me dispense-t-il des obligations du CRA ?
Non. Les deux textes ont des objets différents, l'un l'entité et l'autre le produit, et aucun ne prévoit de dispense au titre de l'autre. Les obligations du CRA s'apprécient produit par produit et rôle par rôle, indépendamment de ce que votre organisation a mis en place au titre de NIS 2. Les deux démarches se nourrissent en revanche l'une l'autre sur la gestion des vulnérabilités et sur la chaîne d'approvisionnement.

### Je suis entité NIS 2 et je ne fabrique aucun produit. Le CRA me concerne-t-il ?
Il ne vous impose aucune obligation en tant que telle, dès lors que vous n'êtes ni fabricant, ni importateur, ni distributeur, ni intendant de logiciels ouverts. Il vous atteint indirectement, par les alertes que vos fournisseurs doivent désormais vous adresser en cas de vulnérabilité activement exploitée ou d'incident grave (art. 14, paragraphe 8). Il vous donne aussi deux points d'appui à l'achat : la date de fin de période d'assistance (art. 13, paragraphe 19) et l'existence d'une nomenclature des logiciels (annexe I, partie II, point 1).

### Où les deux textes se rejoignent-ils formellement ?
À plusieurs endroits du CRA, qui renvoie à la directive (UE) 2022/2555 sans la modifier. La classification d'un produit comme critique tient compte de la dépendance critique des entités essentielles au sens de l'article 3, paragraphe 1 de la directive (art. 8, paragraphe 1). Les autorités de surveillance du marché tiennent compte des évaluations coordonnées de risques des chaînes d'approvisionnement critiques prévues à l'article 22 de la directive (art. 54, paragraphe 2). Et le CSIRT désigné comme coordinateur, destinataire des signalements du CRA, est celui de l'article 12, paragraphe 1 de la directive (art. 3, point 51).

## Sources

- Règlement (UE) 2024/2847, texte authentique au Journal officiel : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847
- Commission européenne, obligations de signalement : https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
- ENISA, plateforme unique de signalement : https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- MonAuditNIS2, l'offre NIS 2 de l'écosystème Dativo : https://mon-audit-nis2.fr