DEUX TEXTES, DEUX OBJETS
Le CRA vise vos produits, NIS 2 votre organisation
Le CRA porte sur vos produits, NIS 2 sur votre organisation, et aucun ne dispense de l'autre. Ils se rejoignent sur la chaîne d'approvisionnement.
Votre entreprise peut relever des deux textes, pour des raisons sans lien entre elles.
Article 2, paragraphe 1
Le CRA regarde ce que fait l'objet, NIS 2 comment vous êtes organisé
Sous le CRA, chaque produit concerné de votre catalogue demande son propre dossier, alors que sous NIS 2, l'unité est l'entreprise.
Vous vendez un boîtier connecté ou un logiciel installé chez vos clients ? Le CRA s'y applique dès que le produit se connecte, même indirectement, à un appareil ou à un réseau.
NIS 2, la directive (UE) 2022/2555, vise au contraire des entités, désignées par leur secteur et leur taille. Elle leur demande de se gouverner.
Le texte en détail : article 2, paragraphe 1 et article 8, paragraphe 1
Le CRA s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte à un dispositif ou à un réseau (article 2, paragraphe 1).
Le CRA ne définit pas le champ de NIS 2, il s'y réfère. Par exemple, pour classer un produit comme critique, il tient compte de la dépendance critique d'entités essentielles au sens de l'article 3, paragraphe 1 de la directive (article 8, paragraphe 1).
Le CRA vous concerne-t-il, et à quel titre ? Le diagnostic répond en treize questions au maximum, sans frais et sans création de compte. Commencer le diagnostic.
Côte à côte
Aucun des deux textes ne remplace l'autre
Relever de NIS 2 ne vous dispense d'aucune obligation du CRA, et inversement. Vérifiez le champ de chacun séparément. Pour le CRA, voyez qui est concerné, et à quel titre.
Le texte en détail : article 71
Le calendrier du CRA est fixé par son article 71 : signalement applicable depuis le 11 septembre 2026, reste du règlement le 11 décembre 2027.
Articles 13 et 54
Vos achats sont le point de rencontre des deux textes
Une entité NIS 2 doit sécuriser ses achats, et le CRA relève le niveau de ce qui se vend dans l'Union.
À l'achat, le CRA vous donne deux informations jusqu'ici difficiles à obtenir :
- la date de fin de la période d'assistance, c'est-à-dire la fin du suivi de sécurité du produit, indiquée au moment de l'achat ;
- la nomenclature des logiciels, c'est-à-dire la liste des composants du logiciel, dans un format lisible par machine.
Le fabricant doit établir sa nomenclature, sans être obligé de la remettre à chaque client. La lui demander devient donc une demande ordinaire.
Vous vendez vous-même à des entités NIS 2 ? Attendez-vous à ce qu'elles vous posent les mêmes questions, et y répondre avant elles vous distingue.
Le texte en détail : article 13, paragraphes 19 et 25, annexe I, article 54, paragraphe 2
La date de fin de la période d'assistance est précisée au moment de l'achat, au moins en mois et en année, d'une manière claire, compréhensible et aisément accessible (article 13, paragraphe 19).
Le fabricant établit la nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur (annexe I, partie II, point 1).
Rien ne l'oblige à la remettre à chacun de ses clients : l'annexe I lui impose de l'établir, et l'article 13, paragraphe 25 prévoit sa communication aux autorités de surveillance du marché.
Les autorités de surveillance du marché tiennent compte, pour apprécier l'importance d'un risque de cybersécurité, des facteurs de risque non techniques établis à la suite des évaluations coordonnées au niveau de l'Union des risques pour la sécurité des chaînes d'approvisionnement critiques effectuées conformément à l'article 22 de la directive (UE) 2022/2555 (article 54, paragraphe 2).
Et le groupe de coopération administrative peut décider d'une évaluation de la dépendance de l'Union à l'égard de composants logiciels, en demandant aux fabricants les nomenclatures des logiciels de l'annexe I, partie II, point 1 (article 13, paragraphe 25).
Article 14, paragraphe 8
Vos fournisseurs doivent déjà vous alerter
Depuis le 11 septembre 2026, vos fournisseurs doivent vous signaler une faille exploitée ou un incident grave qui touche leur produit.
Il vous dit aussi comment corriger ou limiter le risque : le signalement est applicable depuis cette date.
S'il tarde, les CSIRT coordinateurs, les équipes publiques de réponse aux incidents, peuvent prévenir les utilisateurs à sa place. L'information circulera, avec ou sans le fabricant.
Vous êtes soumis à NIS 2 ? Ce flux d'alertes entre dans vos propres processus. Sinon, prévoyez :
- une adresse de réception identifiée,
- une personne qui qualifie,
- et un délai de décision écrit.
Le texte en détail : article 14, paragraphe 8
Après avoir pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave ayant des répercussions sur la sécurité de son produit, un fabricant informe les utilisateurs touchés, et s'il y a lieu tous les utilisateurs, de cette vulnérabilité ou de cet incident, ainsi que des mesures correctives ou d'atténuation qu'ils peuvent mettre en place, s'il y a lieu dans un format structuré et lisible par machine (article 14, paragraphe 8).
Si le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT désignés comme coordinateurs peuvent le faire à sa place lorsqu'ils l'estiment proportionné et nécessaire (même paragraphe).
DATIVO accompagne les deux textes, avec un seul interlocuteur : NIS 2 pour votre organisation, le CRA pour vos produits. L'offre NIS 2 est présentée sur mon-audit-nis2.fr. Pour le CRA, faites le diagnostic.
Questions fréquentes
Mon logiciel en ligne relève-t-il du CRA ou de NIS 2 ?
Un service en ligne pur, sans rien d'installé ou de livré chez le client, ne relève pas du CRA. Il peut relever de NIS 2 selon son secteur et sa taille, au regard de la directive (UE) 2022/2555 et de sa transposition nationale. Tout change si ce service fait fonctionner un produit que vous vendez : le traitement à distance conçu sous votre responsabilité, sans lequel le produit perd une fonction, fait partie du produit (art. 3, points 1 et 2).
Être conforme à NIS 2 me dispense-t-il des obligations du CRA ?
Non. Les deux textes ont des objets différents, l'entité pour l'un et le produit pour l'autre, et aucun ne prévoit de dispense au titre de l'autre. Les obligations du CRA s'apprécient produit par produit et rôle par rôle. Les deux démarches se nourrissent en revanche sur la gestion des vulnérabilités et la chaîne d'approvisionnement.
Je suis entité NIS 2 et je ne fabrique aucun produit. Le CRA me concerne-t-il ?
Il ne vous impose rien si vous n'êtes ni fabricant, ni importateur, ni distributeur, ni intendant de logiciels ouverts. Il vous atteint par les alertes que vos fournisseurs doivent vous adresser (art. 14, paragraphe 8). Il vous donne aussi deux appuis à l'achat : la date de fin de période d'assistance (art. 13, paragraphe 19) et l'existence d'une nomenclature des logiciels (annexe I, partie II, point 1).
Où les deux textes se rejoignent-ils formellement ?
Le CRA renvoie à la directive (UE) 2022/2555 sans la modifier. La classification d'un produit comme critique tient compte de la dépendance critique des entités essentielles de l'article 3, paragraphe 1 de la directive (art. 8, paragraphe 1). Les autorités de surveillance du marché tiennent compte des évaluations coordonnées de risques prévues à son article 22 (art. 54, paragraphe 2). Et le CSIRT coordinateur qui reçoit les signalements du CRA est celui de l'article 12, paragraphe 1 de la directive (art. 3, point 51).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.