INTERCALAIRE I · LE CHAMP
Le CRA vise vos produits un par un. Trois questions vous situent.
Le CRA s'applique produit par produit, sans seuil de taille. Trois questions vous situent : connexion, exclusions et rôle.
Sur cette page
- Chaque produit a son analyse, et parfois son régime
- Premier filtre : votre produit se connecte, même indirectement
- Deuxième filtre : quelques secteurs ont déjà leur propre texte
- Un logiciel en ligne pur n'est pas concerné
- Troisième filtre : votre rôle découle de ce que vous faites
- Vendre sous votre marque fait de vous un fabricant
- Le diagnostic pose ces trois questions pour votre produit
Le Cyber Resilience Act (CRA) ne regarde pas votre entreprise : il regarde chacun de vos produits, pris séparément.
Trois questions vous situent. Votre produit se connecte-t-il ? Est-il exclu par un texte sectoriel ? Quel rôle tenez-vous à son égard ?
Ce produit, logiciel ou matériel, se connecte-t-il à un appareil ou à un réseau ?
Ouiquestion 2NonHors du champ : écrivez pourquoi, pour pouvoir le montrer
Relève-t-il d'une exclusion sectorielle ?
OuiExclu du champ : l'exclusion porte sur le produit, jamais sur l'entrepriseNonquestion 3
Le mettez-vous sur le marché sous votre nom ou votre marque ?
OuiFabricant : toutes les obligations du règlementNonquestion 4
Importateur ou distributeur, modifiez-vous de façon substantielle un produit déjà sur le marché ?
OuiConsidéré comme un fabricant, avec les mêmes obligationsNonImportateur, distributeur ou intendant de logiciels ouverts : ce rôle découle des faits
Hors du champ : écrivez pourquoi, pour pouvoir le montrer
Exclu du champ : l'exclusion porte sur le produit, jamais sur l'entreprise
Fabricant : toutes les obligations du règlement
Considéré comme un fabricant, avec les mêmes obligations
Importateur, distributeur ou intendant de logiciels ouverts : ce rôle découle des faits
Le principe
Chaque produit a son analyse, et parfois son régime
Un boîtier connecté, un dispositif médical et un service en ligne pur, dans le même catalogue, donnent trois réponses différentes.
Le boîtier entre dans le champ. Le dispositif médical relève de son propre texte, et le service en ligne n'est pas concerné.
Le CRA raisonne par produit, pas par entreprise, et votre rôle aussi : vous pouvez fabriquer votre boîtier et distribuer les accessoires que vous revendez.
Trier votre catalogue maintenant, c'est aborder décembre 2027 en sachant déjà où porter l'effort.
Articles 2 et 3
Premier filtre : votre produit se connecte, même indirectement
Un capteur qui envoie ses mesures à une passerelle est connecté, comme un appareil que vous mettez à jour par USB.
La connexion compte dès qu'elle fait partie de l'usage prévu, ou raisonnablement prévisible, du produit.
- Un logiciel vendu seul est un produit, au même titre qu'un boîtier.
- Un composant vendu séparément est un produit, même si d'autres l'intègrent ensuite.
- Votre traitement à distance fait partie du produit quand vous l'avez conçu et que le produit en dépend pour une de ses fonctions.
Votre produit ne se connecte pas ? Écrivez pourquoi, tant que vous avez les éléments.
Le texte en détail : article 2, paragraphe 1 et article 3, points 1 et 2
Un produit comportant des éléments numériques est un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément (article 3, point 1).
Le règlement s'applique à ces produits dès lors que leur utilisation prévue ou raisonnablement prévisible comprend une connexion directe ou indirecte, logique ou physique, à un dispositif ou à un réseau (article 2, paragraphe 1).
Le traitement de données à distance fait partie du produit lorsque son logiciel est conçu et développé sous la responsabilité du fabricant, et que son absence empêcherait le produit d'exécuter une de ses fonctions (article 3, point 2).
Article 2, paragraphes 2 à 7
Deuxième filtre : quelques secteurs ont déjà leur propre texte
Vous fabriquez un dispositif médical connecté ? Le CRA ne s'applique pas à lui, car un régime sectoriel traite déjà sa sécurité.
La liste est courte et fermée.
Les dispositifs médicaux
Y compris les dispositifs de diagnostic in vitro.
Les véhicules
Couverts par leur propre règlement européen.
L'aviation civile
Les produits certifiés au titre de son règlement européen.
Les équipements marins
Couverts par leur propre directive européenne.
La défense et la sécurité nationale
Les produits conçus ou modifiés exclusivement à ces fins, et ceux faits pour traiter des informations classifiées.
Les pièces de rechange identiques
Fabriquées selon les mêmes spécifications que le composant qu'elles remplacent.
Le texte en détail : article 2, paragraphes 2 à 7
Les dispositifs médicaux et les dispositifs de diagnostic in vitro sont exclus par renvoi aux règlements (UE) 2017/745 et (UE) 2017/746 (article 2, paragraphe 2, points a) et b)). Les véhicules sont exclus par renvoi au règlement (UE) 2019/2144 (article 2, paragraphe 2, point c)).
Les produits certifiés au titre du règlement (UE) 2018/1139, en aviation civile, sont exclus (article 2, paragraphe 3). Les équipements marins relevant de la directive 2014/90/UE le sont aussi (article 2, paragraphe 4).
Les pièces de rechange destinées à remplacer des composants identiques et fabriquées selon les mêmes spécifications sont exclues (article 2, paragraphe 6). Les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, et ceux spécifiquement conçus pour traiter des informations classifiées, sont exclus (article 2, paragraphe 7).
Une porte reste entrouverte. L'article 2, paragraphe 5 permet, par acte délégué, de limiter ou d'exclure l'application du règlement à des produits relevant d'autres règles de l'Union couvrant les mêmes risques. Aucune limitation de ce type n'est acquise du seul fait du règlement.
Article 3, points 1 et 2
Un logiciel en ligne pur n'est pas concerné
Votre client ouvre votre application dans son navigateur, et rien d'autre ne quitte vos serveurs ? Le CRA ne vous vise pas.
Regardez plutôt du côté des textes sur la sécurité des organisations.
Votre application mobile ou votre capteur a besoin de votre serveur pour faire ce que le client a acheté ? Alors un service en ligne qui fait fonctionner un produit que vous vendez entre dans le champ avec ce produit.
Le texte en détail : article 3, points 1 et 2
Un service en ligne pur n'est pas un produit comportant des éléments numériques. L'infrastructure dont dépend le produit vendu, par exemple une interface de programmation, n'est pas un service tiers : elle suit le produit dans le champ, par l'effet de l'article 3, points 1 et 2.
Articles 13, 19, 20 et 24
Troisième filtre : votre rôle découle de ce que vous faites
Le CRA répartit ses obligations entre quatre rôles, et votre façon de vendre le produit vous range dans l'un d'eux.
Le fabricant
Il développe ou fait développer le produit, et le met sur le marché sous son nom ou sa marque. Il porte tout le régime : exigences essentielles, documentation, suivi de sécurité, marquage CE et signalement.
L'importateur
Il est établi dans l'Union et met sur le marché un produit qui porte le nom ou la marque d'une entreprise établie hors de l'Union. C'est ce nom qui compte, pas la provenance. Il contrôle avant la mise sur le marché, puis il alerte.
Le distributeur
Il revend un produit sans altérer ses propriétés. Il vérifie le marquage CE et les mentions obligatoires. Il ne revend pas un produit qu'il sait non conforme, et il fait remonter l'information.
L'intendant de logiciels ouverts
Une organisation, autre que le fabricant, qui soutient durablement un logiciel libre destiné à des activités commerciales. Trois obligations seulement, et aucune amende administrative.
Le texte en détail : articles 3, 13, 19, 20, 24 et 64
Le fabricant développe ou fait développer le produit et le met sur le marché sous son nom ou sa marque.
Il porte le régime complet : évaluation des risques de cybersécurité documentée et tenue à jour (article 13, paragraphes 2 et 3), exigences essentielles de l'annexe I, documentation technique, période d'assistance, déclaration UE de conformité, marquage CE, et signalement de l'article 14.
L'importateur est établi dans l'Union et met sur le marché un produit portant le nom ou la marque d'une personne établie hors de l'Union (article 3, point 16). Son rôle est un rôle de contrôle avant la mise sur le marché, et d'alerte ensuite (article 19).
Le distributeur met un produit à disposition sur le marché sans altérer ses propriétés (article 3, point 17). Il agit avec la diligence requise, vérifie le marquage CE et les mentions obligatoires, ne revend pas ce qu'il sait non conforme, et fait remonter l'information au fabricant et aux autorités (article 20).
L'intendant de logiciels ouverts (libres, ou open source, dans l'usage courant) est une personne morale, autre que le fabricant, qui apporte un soutien systématique et continu au développement d'un produit libre destiné à des activités commerciales (article 3, point 14).
Son régime tient en trois obligations à l'article 24. Les amendes administratives ne lui sont pas applicables (article 64, paragraphe 10, point b)).
Article 21
Vendre sous votre marque fait de vous un fabricant
Vous faites fabriquer un boîtier connecté à l'autre bout du monde et le vendez sous votre marque ? Pour le CRA, vous êtes fabricant, avec la totalité des obligations.
Un importateur ou un distributeur devient fabricant dans deux cas seulement.
Il vend sous son nom
Il met le produit sur le marché sous son propre nom ou sa propre marque.
Il modifie le produit en profondeur
Il apporte une modification substantielle à un produit déjà mis sur le marché.
Une modification est substantielle si elle touche le respect des exigences de sécurité, ou si elle change l'usage prévu du produit.
Le diagnostic repère ce cas dès la question sur votre façon de vendre, et vous range alors parmi les fabricants.
Le texte en détail : article 21 et article 3, point 30
Un importateur ou un distributeur est considéré comme un fabricant, et soumis aux articles 13 et 14, dans deux cas seulement : il met le produit sur le marché sous son propre nom ou sa propre marque, ou il apporte une modification substantielle à un produit déjà mis sur le marché (article 21).
La modification substantielle est une modification apportée après la mise sur le marché qui a une incidence sur la conformité aux exigences essentielles de l'annexe I, partie I, ou qui change l'usage prévu pour lequel le produit a été évalué (article 3, point 30).
En pratique
Le diagnostic pose ces trois questions pour votre produit
En deux minutes, vous savez si votre produit passe les trois filtres, et à quel titre.
Le diagnostic tient en treize questions au plus, sans frais et sans compte : commencer le diagnostic.
Vous êtes fabricant ? La classe de votre produit dit ensuite comment prouver sa conformité, et vous n'ouvrez un dossier, à 490 € HT, que pour les produits dans le champ.
Votre cas résiste aux trois questions ? DATIVO vous répond sous deux jours ouvrés, par le formulaire de contact.
Les fiches de cet intercalaire
- Le CRA vise vos produits connectés, un par unLes trois critères du champ, ce qui entre et ce qui n'entre pas, et le logiciel en ligne en détail. Pour trancher un cas précis : un produit peu connecté, ou un service adossé à un objet vendu.
- Quatre rôles, et un piège : votre marque fait de vous un fabricantLes obligations de chaque rôle, article par article, dont les vérifications de l'importateur et du distributeur. Pour qui connaît son rôle, et pour le revendeur sous marque propre.
- Importateur : vous vérifiez le travail du fabricant avant de vendreQui est importateur, les vérifications avant la vente, l'alerte et dix ans d'archives. Pour qui achète hors de l'Union des produits connectés et les revend en Europe.
- Distributeur : vous vérifiez avant de vendre, et vous alertez ensuiteLes vérifications du revendeur, l'alerte, et les trois cas où il devient fabricant. Pour les grossistes, les sites marchands et les intégrateurs qui revendent sans modifier.
- Un logiciel libre entre dans le CRA quand il sert une activité commercialeCe qui fait entrer un projet ouvert dans le champ : l'activité commerciale, pas le prix. Puis le régime de l'intendant. Pour les fondations, les associations et les éditeurs qui monétisent ou intègrent du libre.
- Le CRA vise vos produits, NIS 2 votre organisationUn texte de produit, un texte d'entité, et leur seul vrai point de rencontre : la chaîne d'approvisionnement. Pour qui relève des deux, et pour l'entreprise qui ne fabrique rien mais va recevoir les alertes de ses fournisseurs.
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.