CRA et NIS 2, ce qui les sépare et ce qui les relie
Le CRA porte sur vos produits, NIS 2 sur votre organisation. Là où ils se rejoignent : la chaîne d'approvisionnement.
Sur cette page
Le Cyber Resilience Act (CRA) porte sur vos produits, NIS 2 porte sur votre organisation. L'un est une réglementation de produit, l'autre une réglementation d'entité, et c'est cette différence d'objet qui explique toutes les autres. Une même entreprise peut relever des deux, pour des raisons qui n'ont rien à voir entre elles.
Deux textes, deux objets
Le CRA s'applique aux produits comportant des éléments numériques mis à disposition sur le marché dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte à un dispositif ou à un réseau (art. 2, paragraphe 1). Il ne demande pas comment votre entreprise est gouvernée, il demande ce que fait l'objet que vous vendez.
NIS 2, la directive (UE) 2022/2555, s'adresse à l'inverse à des entités, désignées par leur secteur et leur taille, et leur demande de se gouverner. Le CRA ne définit pas ce champ, il s'y réfère, par exemple lorsqu'il tient compte de la dépendance critique d'entités essentielles au sens de l'article 3, paragraphe 1 de la directive pour classer un produit comme critique (art. 8, paragraphe 1).
La conséquence pratique est simple. Sous le CRA, l'unité est le produit : deux produits de votre catalogue peuvent relever de régimes différents et exiger deux dossiers. Sous NIS 2, l'unité est la personne morale.
Pour savoir en deux minutes si le CRA vous concerne et à quel titre, le diagnostic pose treize questions au maximum, sans création de compte : commencer le diagnostic.
Une correspondance, pas un classement
Les deux textes ne se recouvrent pas et ne se substituent pas l'un à l'autre. Relever de NIS 2 ne dispense d'aucune obligation du CRA, et inversement. Le champ d'application de chacun se vérifie séparément : celui du CRA est détaillé sur la page qui est concerné, et à quel titre.
Le point de rencontre : la chaîne d'approvisionnement
C'est là que les deux textes se répondent vraiment, et c'est le seul endroit où il est utile de les regarder ensemble. Une entité soumise à NIS 2 doit se préoccuper de la sécurité de ses fournisseurs et de ses produits achetés ; le CRA, lui, rehausse le niveau de ce qui est vendu sur le marché de l'Union.
[À VÉRIFIER : renvoi d'article exact de la directive (UE) 2022/2555 pour l'obligation de sécurité de la chaîne d'approvisionnement des entités. Le texte authentique du règlement (UE) 2024/2847 complété de ses rectificatifs, seule source primaire utilisée ici, ne cite pas cette disposition.]
Le règlement, lui, croise explicitement le sujet à deux endroits. Les autorités de surveillance du marché tiennent compte, pour apprécier l'importance d'un risque de cybersécurité, des facteurs de risque non techniques établis à la suite des évaluations coordonnées au niveau de l'Union des risques pour la sécurité des chaînes d'approvisionnement critiques effectuées conformément à l'article 22 de la directive (UE) 2022/2555 (art. 54, paragraphe 2). Et le groupe de coopération administrative peut décider d'une évaluation de la dépendance de l'Union à l'égard de composants logiciels, en demandant aux fabricants les nomenclatures des logiciels de l'annexe I, partie II, point 1 (art. 13, paragraphe 25).
Pour un acheteur, l'effet le plus concret du CRA est contractuel. Deux informations, jusqu'ici difficiles à obtenir, deviennent des éléments que le fabricant doit produire :
- la date de fin de la période d'assistance, précisée au moment de l'achat, au moins en mois et en année, d'une manière claire, compréhensible et aisément accessible (art. 13, paragraphe 19) ;
- la nomenclature des logiciels, que le fabricant doit établir dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur (annexe I, partie II, point 1).
Rien n'oblige un fabricant à remettre sa nomenclature à chacun de ses clients : l'annexe I lui impose de l'établir, et l'article 13, paragraphe 25 prévoit sa communication aux autorités de surveillance du marché. Mais l'existence même de l'obligation change la conversation d'achat : demander cette pièce cesse d'être une exigence exotique.
Ce qui arrive déjà dans votre boîte aux lettres
Depuis le 11 septembre 2026, l'article 14 est applicable. Après avoir pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave ayant des répercussions sur la sécurité de son produit, un fabricant informe les utilisateurs touchés, et s'il y a lieu tous les utilisateurs, de cette vulnérabilité ou de cet incident, ainsi que des mesures correctives ou d'atténuation qu'ils peuvent mettre en place, s'il y a lieu dans un format structuré et lisible par machine (art. 14, paragraphe 8).
Le même paragraphe prévoit que si le fabricant n'informe pas les utilisateurs en temps utile, les CSIRT désignés comme coordinateurs peuvent le faire à sa place lorsqu'ils l'estiment proportionné et nécessaire. L'information circulera, avec ou sans le fabricant.
Pour une entité soumise à NIS 2, ce flux devient une entrée à traiter dans ses propres processus. Pour les autres, c'est une hygiène simple : une adresse de réception identifiée, une personne qui qualifie, et un délai de décision écrit.
L'offre de mise en conformité NIS 2 de l'écosystème Dativo est présentée sur https://mon-audit-nis2.fr.
Questions fréquentes
Mon logiciel en ligne relève-t-il du CRA ou de NIS 2 ?
Un service en ligne pur, auquel le client accède sans que rien ne soit installé ou livré chez lui, n'est pas un produit comportant des éléments numériques et ne relève pas du CRA. Il peut relever de NIS 2 selon son secteur et sa taille, ce qui s'apprécie au regard de la directive (UE) 2022/2555 et de sa transposition nationale. La situation change si ce service fait fonctionner un produit que vous vendez : le traitement de données à distance conçu sous la responsabilité du fabricant et sans lequel le produit perd une de ses fonctions fait partie du produit (art. 3, points 1 et 2).
Être conforme à NIS 2 me dispense-t-il des obligations du CRA ?
Non. Les deux textes ont des objets différents, l'un l'entité et l'autre le produit, et aucun ne prévoit de dispense au titre de l'autre. Les obligations du CRA s'apprécient produit par produit et rôle par rôle, indépendamment de ce que votre organisation a mis en place au titre de NIS 2. Les deux démarches se nourrissent en revanche l'une l'autre sur la gestion des vulnérabilités et sur la chaîne d'approvisionnement.
Je suis entité NIS 2 et je ne fabrique aucun produit. Le CRA me concerne-t-il ?
Il ne vous impose aucune obligation en tant que telle, dès lors que vous n'êtes ni fabricant, ni importateur, ni distributeur, ni intendant de logiciels ouverts. Il vous atteint indirectement, par les alertes que vos fournisseurs doivent désormais vous adresser en cas de vulnérabilité activement exploitée ou d'incident grave (art. 14, paragraphe 8). Il vous donne aussi deux points d'appui à l'achat : la date de fin de période d'assistance (art. 13, paragraphe 19) et l'existence d'une nomenclature des logiciels (annexe I, partie II, point 1).
Où les deux textes se rejoignent-ils formellement ?
À plusieurs endroits du CRA, qui renvoie à la directive (UE) 2022/2555 sans la modifier. La classification d'un produit comme critique tient compte de la dépendance critique des entités essentielles au sens de l'article 3, paragraphe 1 de la directive (art. 8, paragraphe 1). Les autorités de surveillance du marché tiennent compte des évaluations coordonnées de risques des chaînes d'approvisionnement critiques prévues à l'article 22 de la directive (art. 54, paragraphe 2). Et le CSIRT désigné comme coordinateur, destinataire des signalements du CRA, est celui de l'article 12, paragraphe 1 de la directive (art. 3, point 51).
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.