LE LOGICIEL · RESILIENCE ACT PAR DATIVO
Le logiciel qui construit le dossier CRA de chacun de vos produits
Huit modules, de l'analyse de risque au registre de signalement, pour un dossier par produit. Vous répondez, le logiciel assemble, et c'est vous qui signez.
Un logiciel CRA organise votre analyse de risque, vos preuves et votre documentation, produit par produit.
La signature et la responsabilité restent les vôtres. À ce jour, aucun produit ne peut être présumé conforme, quel que soit l'outil utilisé.
Notre offre
Que propose DATIVO pour le CRA ?
Un diagnostic sans frais et sans compte, puis le dossier de votre produit, et une veille qui vous prévient quand un texte le touche.
Le diagnostic vous dit si vous êtes concerné, à quel titre, et ce qui s'applique déjà.
Pour le dossier, vous répondez à des questions sur votre produit. DATIVO les a écrites à partir du texte du règlement, en mots de terrain. Vous obtenez quatre pièces :
- Le rapport d'écarts Chaque exigence, point par point, avec l'action à mener et l'effort à prévoir.
- La documentation technique Le document qu'une autorité de contrôle peut vous demander.
- Le projet de déclaration UE de conformité Prêt à être complété et signé par vous.
- La nomenclature logicielle Vous l'importez depuis vos outils, le logiciel contrôle qu'elle est complète.
Le dossier coûte 490 € HT, une fois, par produit, et les tarifs sont publics. Nous ne vérifions pas vos réponses : le dossier dit ce que vous avez déclaré, ni plus ni moins.
À partir du 11 décembre 2027, vos revendeurs vérifieront le marquage CE de votre produit avant de le vendre. Avec votre dossier, vous avez les pièces avant qu'ils les demandent.
Le logiciel en détail
Le logiciel, module par module
Chaque module de l'application a sa page : ce qu'il fait, comment s'en servir, et ce que le règlement demande.
La vue d'ensemble
Tous vos produits, l'avancement de leur dossier et leur prochaine échéance, sur un écran.
L'analyse de risque
Les 13 propriétés de l'annexe I, applicables ou écartées avec leur justification.
Les exigences
Les 21 exigences, posées en questions sur votre produit, avec la preuve citée.
Les écarts à traiter
Ce qui manque, point par point, avec l'action à mener.
Les composants (SBOM)
Votre nomenclature logicielle importée, contrôlée et rattachée à la version.
Le registre de signalement
Les délais de l'article 14 calculés, et le modèle de chaque envoi.
Les pièces du dossier
La documentation technique et le projet de déclaration UE, générés depuis vos réponses.
La veille et les révisions
Prévenu quand un texte touche votre produit, et un dossier régénéré.
Article 13 et annexe VII
Que peut faire un logiciel pour la conformité CRA ?
Il vous fait produire, produit par produit, les pièces que le règlement vous demande, à partir de questions que vous comprenez.
Dire si votre produit est concerné
Et à quel titre : votre rôle, la classe qui décide qui le vérifie, ce qui s'applique déjà.
Organiser l'analyse de risque
Pour chacune des 21 exigences de sécurité : s'applique-t-elle, comment, sur quelle preuve ?
Assembler la documentation technique
Le dossier qu'une autorité de contrôle peut vous demander.
Préparer un projet de déclaration UE
Le document par lequel vous affirmez que votre produit respecte le règlement.
Importer votre nomenclature logicielle (SBOM)
La liste des composants de votre logiciel, produite par vos outils, puis contrôlée.
Garder la trace des versions
Vous tenez le dossier à jour pendant toute la période d'assistance, au moins cinq ans. La veille vous prévient quand un texte touche votre produit.
Mais chaque réponse vient de vous, car un outil ne voit pas votre produit.
Le texte en détail : articles 13 et 31, annexes I et VII
L'évaluation des risques est documentée et mise à jour selon les besoins (article 13, paragraphe 3). Une exigence non applicable est justifiée dans la documentation technique (article 13, paragraphe 4).
La documentation technique suit l'annexe VII et se met à jour, le cas échéant, au moins pendant la période d'assistance (article 31, paragraphe 2). Celle-ci dure au moins cinq ans, sauf usage prévu plus court (article 13, paragraphe 8).
Articles 27 et 28
Un logiciel ne signe pas à votre place, et ne vous rend pas présumé conforme
C'est vous, fabricant, qui établissez la déclaration UE de conformité, qui la signez et qui en répondez.
Son modèle se termine par « Signé par et au nom de », puis un nom, une fonction et une signature. Un outil qui affiche « conforme » ne signe rien, et sous la déclaration, c'est votre nom.
Vous faites fabriquer un boîtier connecté et le vendez sous votre marque ? Vous êtes fabricant, et la signature vous revient. La suite, jusqu'au marquage CE, est sur la déclaration UE et le marquage CE.
Les amendes du règlement s'appliquent à partir du 11 décembre 2027. Un manquement aux règles de la déclaration expose alors jusqu'à 10 ou 15 millions d'euros, selon l'obligation en cause. Les sanctions du CRA détaillent tous les plafonds.
Le texte en détail : articles 28, 64 et 71
Le fabricant établit la déclaration et assume ainsi la responsabilité de la conformité du produit (article 28, paragraphes 1 et 4).
Le non-respect de l'article 28 est passible de 10 millions d'euros ou 2 %, le plus élevé des deux (article 64, paragraphe 3).
L'obligation du fabricant d'établir la déclaration figure aussi à l'article 13, paragraphe 12, qui relève du plafond de 15 millions d'euros ou 2,5 % (paragraphe 2). Ces amendes s'appliquent à partir du 11 décembre 2027 (article 71, paragraphe 2).
La présomption de conformité vient de normes, de spécifications ou de certifications européennes, et d'aucun outil. Votre produit respecte une norme reconnue ? Il est réputé respecter les exigences qu'elle couvre.
À ce jour, aucune norme harmonisée n'est citée au Journal officiel de l'Union, et aucune spécification commune n'est adoptée. Un certificat européen, comme ceux du schéma EUCC, ne vaudra présomption qu'à partir du 11 décembre 2027, pour ce qu'il couvre.
Un score affiché par un outil mesure vos réponses, et non votre produit. Ce que la certification changera est sur la certification CRA.
Le texte en détail : article 27 et état des textes
La présomption naît de normes citées, de spécifications communes ou d'un certificat européen (article 27, paragraphes 1, 5 et 8). Elle joue à partir du 11 décembre 2027. L'acte délégué du paragraphe 9 désignera les schémas qui, au niveau « substantiel », dispensent de l'évaluation par un tiers.
Un acte délégué sur le schéma EUCC, issu du règlement d'exécution (UE) 2024/482, figure depuis le 15 octobre 2026 au portail « Donnez votre avis ». Son adoption est prévue au premier trimestre 2027 ; il n'est pas adopté à ce jour.
Article 32 et annexe I, partie II
Il ne remplace ni un organisme notifié, ni vos outils de développement
Si votre produit doit passer par un organisme notifié, aucun logiciel ne l'en dispense.
Cet organisme de contrôle extérieur, désigné par les autorités, examine votre produit ou votre système qualité.
Produit important de classe II
Hyperviseurs, pare-feu, puces résistantes aux manipulations. Un organisme notifié, ou une certification européenne de niveau au moins substantiel.
Produit important de classe I
Routeurs, gestionnaires de mots de passe, serrures connectées. Un organisme notifié, sauf norme, spécification ou certification appliquée en entier.
Produit critique
Boîtiers de sécurité matériels, cartes à puce. À ce jour, le régime de la classe II.
À ce jour, faute de norme harmonisée citée, l'organisme notifié est la voie par défaut de la classe I. Et aucun n'est enregistré au titre du règlement.
Pour la grande majorité des produits, aucun organisme n'est exigé, et vous démontrez la conformité vous-même. C'est là qu'un outil sert le plus. Votre classe dépend de la fonction principale du produit.
Le texte en détail : articles 8 et 32
Classe I : organisme notifié, sauf normes, spécifications ou schéma de niveau au moins substantiel appliqués en entier (article 32, paragraphe 2). Classe II : organisme notifié ou schéma de ce niveau (article 32, paragraphe 3).
Produit critique : régime de la classe II, tant qu'aucun acte délégué de l'article 8, paragraphe 1 n'impose de certificat (article 32, paragraphe 4). Aucun n'est adopté à ce jour.
À ce jour, aucun organisme notifié au titre du règlement n'est enregistré dans la base NANDO de la Commission.
Une nomenclature logicielle fiable sort de vos outils de développement, et non d'un questionnaire. Vous déclarez de mémoire une bibliothèque de chiffrement ? Laquelle, et en quelle version ? Or une faille touche une version précise.
Le règlement demande une liste lisible par une machine, qui couvre au moins les composants intégrés directement. Un logiciel de conformité sérieux importe le fichier de vos outils, au format CycloneDX ou SPDX, et signale ce qui manque.
Une SBOM reconstituée à partir de vos réponses serait fausse, et c'est vous qui la remettriez à l'autorité qui la demande. Tout sur la SBOM et le CRA.
Le texte en détail : annexe I, partie II, point 1, et annexe VII, point 8
La nomenclature couvre au moins les dépendances de niveau supérieur (annexe I, partie II, point 1). Une autorité de surveillance du marché peut la demander, par une demande motivée (annexe VII, point 8).
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Questions fréquentes
Existe-t-il un logiciel qui rend conforme au CRA ?
Comment choisir un logiciel de conformité CRA ?
Posez-lui quatre questions. Qui signe la déclaration UE ? D'où vient la SBOM ? Le parcours suit-il la classe du produit ? Le prix est-il public, et par produit ? Les bonnes réponses : vous, vos outils de développement, oui, oui.
Faut-il un organisme notifié si j'utilise un logiciel CRA ?
Cela dépend de la classe du produit, et non de l'outil. En classe II, oui, ou une certification européenne. En classe I, oui, à ce jour. Pour un produit par défaut, non (art. 32).
Que contient la documentation technique du CRA ?
Entre autres, une description du produit et de sa gestion des vulnérabilités, et l'évaluation des risques (annexe VII). S'y ajoutent les normes appliquées, les rapports d'essais et une copie de la déclaration UE.
À partir de quand le dossier est-il obligatoire ?
À partir du 11 décembre 2027, avant toute mise sur le marché (art. 71). Un produit mis sur le marché avant cette date n'y est soumis qu'en cas de modification substantielle (art. 69, paragraphe 2). Le signalement s'applique depuis le 11 septembre 2026.
Le CRA s'applique-t-il à mon produit ?
Faites le diagnostic, sans frais et sans compte.
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Règlement d'exécution (UE) 2024/482, schéma européen de certification EUCC
- Commission européenne, acte délégué sur le schéma EUCC
- Commission européenne, évaluation de la conformité
- Commission européenne, normalisation
- Commission européenne, suivi de la mise en oeuvre
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.