Règlement (UE) 2024/2847 · Annexe I
Annexe I : treize propriétés pour le produit, huit obligations pour gérer ses failles
Treize propriétés du produit, huit obligations sur ses failles : ce que l'annexe I du CRA exige à partir du 11 décembre 2027, et ce que vous pouvez écarter.
Ce que dit l’annexe
À partir du 11 décembre 2027, chaque produit que vous mettez sur le marché doit respecter l'annexe I.
Cette annexe du Cyber Resilience Act (CRA) fixe les exigences essentielles de cybersécurité. Ce sont les mêmes pour tous les produits du règlement.
Prenez un thermostat connecté. Il doit sortir d'usine sans faille exploitable connue, avec des réglages sûrs, et se corriger par mise à jour. Son fabricant, lui, doit suivre ses composants, corriger ses failles et dire ce qu'il a corrigé.
L'annexe compte donc deux parties. La partie I décrit le produit. La partie II décrit ce que fait le fabricant pour gérer ses failles.
Une règle ouvre la partie I : la sécurité du produit est à la mesure de ses risques. Elle vaut pour tout produit. Suivent treize propriétés, que le produit présente « le cas échéant ».
Votre évaluation des risques dit lesquelles des treize propriétés s'appliquent à votre produit, et comment. C'est l'étude écrite de ce qui peut mal tourner avec lui. Une propriété sans objet s'écarte, mais vous écrivez pourquoi dans la documentation technique.
À la livraison
Aucune faille exploitable connue, et des réglages sûrs dès l'origine. L'utilisateur peut revenir à l'état de sortie d'usine.
Pendant toute sa vie
Ses failles se corrigent par des mises à jour de sécurité. Le cas échéant, elles s'installent seules par défaut, et l'utilisateur peut les différer.
Face à un attaquant
Les accès sont contrôlés et les accès non autorisés signalés. Les points d'entrée sont réduits, et les dégâts contenus si une faille est exploitée.
Pour les données
Elles restent confidentielles, intègres et limitées au nécessaire. L'utilisateur peut tout effacer et, si possible, tout transférer en sécurité.
Pour le service rendu
Ses fonctions essentielles tiennent après un incident. Il gêne le moins possible les appareils et les réseaux voisins.
Pour la surveillance
Il enregistre les activités utiles à la sécurité, comme l'accès aux données. L'utilisateur peut couper cet enregistrement.
Le texte en détail : annexe I, partie I, et article 13, paragraphes 2 à 4
Le point 1 impose un niveau de cybersécurité « approprié en fonction des risques ». Le point 2 énumère treize propriétés, de a) à m), à présenter « le cas échéant ».
Le point 2 s'ouvre sur l'évaluation des risques de l'article 13, paragraphe 2. L'article 13, paragraphe 3 lui demande d'indiquer « si et, dans l'affirmative, de quelle manière » chaque propriété s'applique.
Une exigence non applicable reçoit une justification claire dans la documentation technique (article 13, paragraphe 4).
Les cartes regroupent les lettres ainsi : a) et b) ; c) ; d), j) et k) ; e), f), g) et m) ; h) et i) ; l). Ce regroupement est le nôtre.
Le point b) admet un accord contraire avec l'entreprise utilisatrice, pour un produit sur mesure. Le point c) ne demande les mises à jour automatiques que « le cas échéant ».
Les huit obligations sur les failles ne se trient pas : votre évaluation dit seulement comment vous les tenez. Elles pèsent sur le fabricant pendant toute la période d'assistance. Cette période dure au moins cinq ans, sauf si le produit est fait pour servir moins longtemps. Voyez la période d'assistance.
Connaître ses composants
Vous recensez les composants du produit et leurs failles. Vous tenez pour cela une nomenclature logicielle (SBOM), c'est-à-dire la liste des composants, lisible par une machine.
Corriger et vérifier
Vous corrigez sans retard, en livrant si possible les correctifs à part des nouvelles fonctions. Vous testez la sécurité du produit à intervalles réguliers.
Livrer les correctifs
Ils partent sans retard, par un canal sûr, sans frais pour l'utilisateur et avec les conseils utiles. Le cas échéant, ils s'installent seuls.
Dire ce qui a été corrigé
À chaque mise à jour de sécurité, vous publiez la faille corrigée, sa gravité et le moyen d'y remédier.
Recevoir les signalements
Vous appliquez une politique de divulgation coordonnée. Vous donnez une adresse de contact, y compris pour les failles des composants de tiers.
La nomenclature n'a pas à couvrir toute la chaîne. Le minimum fixé est celui des « dépendances de niveau supérieur » : les composants que votre produit intègre directement. Vous n'avez pas à la publier. Le détail est sur la page de la SBOM.
Le texte en détail : annexe I, partie II, article 6 et considérant 77
La partie II s'ouvre sans réserve : « Les fabricants des produits comportant des éléments numériques : ». Le « le cas échéant » de la partie I n'y figure pas.
L'article 6, point b) subordonne la mise à disposition sur le marché à des processus conformes à la partie II. L'évaluation des risques dit de quelle manière le fabricant l'applique (article 13, paragraphe 3).
Les cartes regroupent les points ainsi : 1 ; 2 et 3 ; 7 et 8 ; 4 ; 5 et 6.
Le point 1 exige une nomenclature des logiciels couvrant « au moins les dépendances de niveau supérieur des produits ». Selon le considérant 77, les fabricants ne devraient pas être tenus de la rendre publique.
Au point 8, un accord contraire avec un utilisateur professionnel, pour un produit sur mesure, peut écarter la diffusion sans frais. La version française place l'exception devant « gratuitement et accompagnées de messages consultatifs ».
La version anglaise la rattache au seul « free of charge ». Selon notre lecture, appuyée sur la version anglaise, l'accord contraire ne vise que la diffusion sans frais.
Les autres pièces exigées servent à prouver l'annexe I. La documentation technique la démontre, produit par produit. La procédure d'évaluation la vérifie, seule ou avec un organisme notifié selon la classe du produit. Puis vous signez la déclaration UE de conformité.
Le texte en détail : articles 13, 31 et 32, et annexe VII
La documentation technique décrit les moyens employés pour respecter l'annexe I (article 31 et annexe VII). La procédure de l'article 32 vérifie la conformité, puis vient la déclaration (article 13, paragraphe 12).
À qui elle s’applique
L'annexe I vise le fabricant, pour chaque produit qu'il met sur le marché.
Le fabricant conçoit ou fait concevoir le produit, puis le commercialise sous son nom ou sa marque. La partie I s'impose à son produit, la partie II à ses processus.
Vous éditez une application installée chez vos clients, ou vous concevez une caméra connectée ? L'annexe entière vous vise. Elle vaut pour tout produit du règlement, quelle que soit sa classe.
L'importateur et le distributeur ne l'appliquent pas : ils la font respecter. L'importateur ne met sur le marché qu'un produit conforme aux deux parties. Le distributeur ne vend pas un produit qu'il a des raisons de croire non conforme. Leur rôle est détaillé sur la page de l'importateur et celle du distributeur.
Vendre sous votre marque le produit d'un autre fait de vous un fabricant. Le modifier substantiellement aussi : voyez les quatre rôles.
Le texte en détail : articles 13, 19, 20, 21 et 22
Le fabricant s'assure que le produit respecte la partie I (article 13, paragraphe 1). Il gère ses vulnérabilités selon la partie II pendant la période d'assistance (paragraphe 8).
L'importateur ne met sur le marché que des produits conformes à la partie I (article 19, paragraphe 1). Les processus du fabricant doivent aussi être conformes à la partie II.
Le distributeur ne met pas à disposition un produit qu'il a des raisons de croire non conforme à l'annexe I (article 20, paragraphe 3).
L'importateur ou le distributeur devient fabricant s'il vend le produit sous son nom ou sa marque, ou s'il le modifie substantiellement (article 21). L'article 22 vise toute autre personne qui le modifie substantiellement.
Depuis quand
L'annexe I s'applique le 11 décembre 2027, et aucune de ses exigences n'est avancée.
Le règlement est en vigueur depuis le 10 décembre 2024, mais ses exigences attendent cette date.
Un produit mis sur le marché avant le 11 décembre 2027 n'a pas à respecter l'annexe. Seule une modification substantielle, à partir de cette date, l'y soumettrait. La mise sur le marché s'apprécie exemplaire par exemplaire (FAQ de la Commission ; par analogie, Guide bleu 2022). Voyez les produits déjà vendus.
Le signalement des failles exploitées s'applique déjà, depuis le 11 septembre 2026. Il ne dépend pas de l'annexe I et vise aussi vos produits anciens : voyez le signalement en 24 heures.
Au 20 octobre 2026, aucune norme harmonisée n'est citée pour l'annexe I. Une norme harmonisée est une norme européenne citée au Journal officiel de l'Union. Une fois citée, elle fait présumer conformes les exigences qu'elle couvre. Aucune spécification commune n'est adoptée non plus. La date du 11 décembre 2027, elle, ne dépend pas des normes.
Le rectificatif du 3 octobre 2025 ajoute le mot « que » à la partie I, point 2, c). Il fait lire « être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ». La note placée sous le texte officiel, plus bas, le montre.
Le texte en détail : articles 27, 69 et 71, mandat M/606 et rectificatif du 3 octobre 2025
L'article 71, paragraphe 2 n'avance que l'article 14 et le chapitre IV. L'annexe I s'applique donc le 11 décembre 2027. L'article 69, paragraphe 2 en soustrait les produits mis sur le marché avant cette date.
Une norme harmonisée citée au Journal officiel fait présumer conformes les exigences de l'annexe I qu'elle couvre (article 27, paragraphe 1). À défaut, la Commission peut adopter des spécifications communes (paragraphe 2).
Le mandat de normalisation M/606 est en cours ; aucune norme harmonisée n'est citée au Journal officiel à ce jour.
Le rectificatif du 3 octobre 2025, publié en français et en hongrois, porte sur la partie I, point 2, c). Au lieu de « à ce leurs vulnérabilités », il faut lire « à ce que leurs vulnérabilités ».
Ce que vous devez faire
Écrivez d'abord votre évaluation des risques : c'est elle qui fixe ce que l'annexe I demande à votre produit.
- Votre évaluation des risques Écrite et tenue à jour, elle dit pour chaque propriété si elle s'applique, et comment.
- Vos propriétés écartées Chacune porte sa justification dans la documentation technique.
- Votre nomenclature logicielle Au moins les composants intégrés directement, dans un format lisible par une machine, refaite à chaque version.
- Votre politique de divulgation Une règle écrite pour traiter une faille qu'on vous signale, et une adresse de contact publiée.
- Vos correctifs Diffusés sans retard et sans frais, et publiés avec la faille corrigée et sa gravité.
- Vos tests de sécurité Menés à intervalles réguliers, et leurs rapports versés à la documentation technique.
Le dossier reprend chaque exigence de l'annexe I comme une question sur votre produit. Pour chaque écart, il donne l'action à mener.
Votre produit entre-t-il dans le CRA ? Faites le diagnostic, sans frais et sans compte.
Le texte officiel
Notes sur le texte français
Rectificatif du 3 octobre 2025 (JO L, 2025/90768), français et hongrois
Partie I, point 2), c). Au lieu de « être conçus de façon à ce leurs vulnérabilités puissent être corrigées », lire « être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ».
Texte officiel de l’annexe I
ANNEXE I
EXIGENCES ESSENTIELLES DE CYBERSÉCURITÉ
Partie I Exigences de cybersécurité relatives aux propriétés des produits comportant des éléments numériques
1) Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques.
2) Sur la base de l’évaluation des risques de cybersécurité visée à l’article 13, paragraphe 2, les produits comportant des éléments numériques doivent, le cas échéant:
a) être mis à disposition sur le marché sans vulnérabilité exploitable connue;
b) être mis à disposition sur le marché avec une configuration de sécurité par défaut, sauf accord contraire entre le fabricant et l’entreprise utilisatrice en ce qui concerne un produit sur mesure comportant des éléments numériques, y compris la possibilité de réinitialiser le produit à son état d’origine;
c) être conçus de façon à ce leurs vulnérabilités puissent être corrigées voir la note 1 par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques de sécurité régulières activées par défaut, mais faciles à désactiver, par la communication aux utilisateurs des mises à jour disponibles et par la possibilité de les différer temporairement;
d) assurer la protection contre les accès non autorisés par des mécanismes de contrôle appropriés, y compris, mais sans s’y limiter, par des systèmes d’authentification, d’identité ou de gestion des accès et signaler tout accès non autorisé;
e) protéger la confidentialité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, par exemple en chiffrant les données pertinentes au repos ou en transit au moyen de mécanismes de pointe et par d’autres moyens techniques;
f) protéger l’intégrité des données stockées, transmises ou traitées de toute autre manière, à caractère personnel ou autres, des commandes, des programmes et de la configuration contre toute manipulation ou modification non autorisée par l’utilisateur et signaler les corruptions;
g) ne traiter que les données, à caractère personnel ou autres, qui sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité prévue du produit comportant des éléments numériques (minimisation des données);
h) protéger la disponibilité des fonctions essentielles et de base, notamment après un incident, y compris par des mesures de résilience et d’atténuation face aux attaques par déni de service;
i) réduire au maximum les répercussions négatives générées par les produits eux-mêmes ou par les appareils connectés sur la disponibilité des services fournis par d’autres dispositifs ou réseaux;
j) être conçus, développés et fabriqués de manière à limiter les surfaces d’attaque, y compris les interfaces externes;
k) être conçus, développés et fabriqués de manière à réduire les répercussions d’un incident, en utilisant des mécanismes et des techniques appropriés de limitation de l’exploitation de failles;
l) fournir des informations relatives à la sécurité en enregistrant et en surveillant les activités internes pertinentes, y compris l’accès ou la modification des données, des services ou des fonctions, tout en laissant à l’utilisateur la possibilité de désactiver le mécanisme;
m) donner aux utilisateurs la possibilité de supprimer facilement, en toute sécurité et de manière permanente toutes les données et tous les paramètres et, lorsque ces données peuvent être transférées vers d’autres produits ou systèmes, veiller à ce que cela puisse se faire de manière sécurisée.
Partie II Exigences relatives à la gestion des vulnérabilités
Les fabricants des produits comportant des éléments numériques:
1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits;
2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits comportant des éléments numériques, y compris par des mises à jour de sécurité; lorsque cela est techniquement possible, de nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité;
3) soumettent régulièrement les produits comportant des éléments numériques à des tests et examens de sécurité efficaces;
4) dès la publication d’une mise à jour de sécurité, communiquent sur les vulnérabilités corrigées, en publiant notamment une description des vulnérabilités, des informations permettant aux utilisateurs d’identifier le produit comportant des éléments numérique concerné, les conséquences de ces vulnérabilités, leur gravité et des informations claires et accessibles aidant les utilisateurs à y remédier; dans des cas dûment justifiés, lorsque les fabricants considèrent que les risques pour la sécurité liés à la publication l’emportent sur les avantages en matière de sécurité, ils peuvent retarder la publication des informations relatives à une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu la possibilité d’appliquer le correctif adapté;
5) mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités;
6) prennent des mesures pour faciliter le partage d’informations sur les vulnérabilités potentielles de leurs produits comportant des éléments numériques ainsi que des composants tiers contenus dans ces produits, y compris en fournissant une adresse de contact pour le signalement des vulnérabilités découvertes dans les produits concernés;
7) prévoient des mécanismes de distribution sécurisée des mises à jour pour les produits comportant des éléments numériques afin de garantir que les vulnérabilités soient corrigées ou atténuées rapidement et, le cas échéant, automatisent les mises à jour de sécurité;
8) veillent à ce que, lorsque des correctifs ou des mises à jour de sécurité sont disponibles pour remédier à des problèmes de sécurité constatés, ils soient diffusés sans retard et, sauf accord contraire entre un fabricant et un utilisateur professionnel en ce qui concerne un produit sur mesure comportant des éléments numériques, gratuitement et accompagnées de messages consultatifs fournissant aux utilisateurs les informations pertinentes, y compris sur les éventuelles mesures à prendre.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Mon produit doit-il respecter les treize propriétés de l'annexe I ?
Non, pas forcément. Votre évaluation des risques dit si chacune s'applique, et comment (article 13, paragraphe 3). Une propriété écartée reçoit une justification claire dans la documentation technique (paragraphe 4). Si un risque lié à cette propriété demeure, vous le traitez autrement, par exemple en informant les utilisateurs (considérant 55).
Puis-je mettre sur le marché un produit qui porte une faille connue ?
Le texte vise la faille exploitable connue (partie I, point 2, a)). Une faille est exploitable si un adversaire peut l'utiliser efficacement « en conditions de fonctionnement effectives » (article 3, point 41). Une faille connue mais non exploitable dans votre produit n'est donc pas visée par la lettre de ce point (considérant 54). L'analyse de risque doit la traiter.
Les mises à jour automatiques sont-elles obligatoires ?
Seulement « le cas échéant » (partie I, point 2, c)). Elles sont alors activées par défaut, faciles à désactiver, et l'utilisateur peut les différer. Le considérant 56 écarte les produits destinés à être intégrés comme composants. Il écarte aussi ceux dont l'utilisateur n'attend pas de mise à jour automatique, par exemple en milieu industriel.
Puis-je faire payer un correctif de sécurité ?
Non, en règle générale : les correctifs sont diffusés sans retard et sans frais (partie II, point 8). Seul un accord contraire avec un utilisateur professionnel, pour un produit sur mesure, y déroge.
Dois-je publier une faille dès que je la corrige ?
Oui en principe : la publication accompagne la mise à jour de sécurité (partie II, point 4). Elle décrit la faille, le produit touché, sa gravité et le remède. Dans des cas dûment justifiés, vous pouvez la retarder, le temps que les utilisateurs appliquent le correctif.
Existe-t-il une norme qui dit comment respecter l'annexe I ?
Non, pas encore au titre du règlement : au 20 octobre 2026, aucune norme harmonisée n'est citée au Journal officiel. Une norme citée ferait présumer conformes les exigences qu'elle couvre (article 27, paragraphe 1). Votre évaluation des risques, elle, n'attend pas les normes.
Que risque un fabricant qui ne respecte pas l'annexe I ?
À partir du 11 décembre 2027, une amende jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (article 64, paragraphe 2). Le montant le plus élevé est retenu. Le détail est sur la page des sanctions.
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Rectificatif du 3 octobre 2025 au règlement (UE) 2024/2847, annexe I, partie I, point 2, c)
- Commission européenne, normalisation du CRA et mandat M/606 (en anglais)
- Commission européenne, registre des documents, demande de normalisation C(2025)618 (en anglais)
- Commission européenne, calendrier de mise en œuvre du CRA (en anglais)
- Commission européenne, « Guide bleu » relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, section 2.3
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, question 7.2 (en anglais)
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.