Assistance documentaire structurée et sourcée. Ce service ne constitue pas un conseil juridique : le volet juridiquement opposable relève d'un professionnel du droit (avocat, DPO ou auditeur qualifié).
RÈGLEMENT (UE) 2024/2847 - CYBER RESILIENCE ACT

Vos produits numériques
conformes au Cyber Resilience Act

Le Cyber Resilience Act impose des exigences de cybersécurité à tous les produits comportant des éléments numériques (matériels et logiciels) mis sur le marché de l'Union européenne. SYAGA vous accompagne pour comprendre vos obligations et construire votre dossier de conformité, sans improviser.

Demander un devis Comprendre le règlement
2024/2847
Règlement (UE), référence EUR-Lex
10/12/2024
Date d'entrée en vigueur
3 rôles
Fabricant, importateur, distributeur
Paliers
Application progressive dans le temps

Le règlement

Le Cyber Resilience Act (CRA) est un texte européen horizontal sur la cybersécurité des produits numériques

⚠

Un champ d'application très large

Le CRA couvre les produits comportant des éléments numériques (matériel connecté, logiciel, firmware) destinés à être mis sur le marché de l'UE, avec des exigences de cybersécurité tout au long du cycle de vie du produit.

📋

Des obligations qui dépendent de votre rôle

Fabricant, importateur ou distributeur : le règlement répartit des obligations différentes selon votre position dans la chaîne de mise sur le marché, sur le modèle déjà utilisé par d'autres réglementations produits européennes.

⏰

Une application progressive, déjà engagée

Le texte est entré en vigueur le 10 décembre 2024 et prévoit une application par paliers dans le temps. Les échéances précises de mise en application vous concernant sont à vérifier auprès du texte officiel pour votre situation.

🛠

Peu d'entreprises ont déjà formalisé leur démarche

Comme pour les autres textes cyber européens récents, la mise en conformité CRA demande une méthode (cartographie des produits, analyse des écarts, documentation technique) que la plupart des éditeurs et fabricants n'ont pas encore engagée faute de ressources internes dédiées.

Qui est concerné ?

Le CRA s'adresse aux opérateurs économiques qui mettent des produits numériques sur le marché de l'UE

Fabricants

Entreprises qui conçoivent ou font concevoir des produits comportant des éléments numériques (matériel, logiciel, firmware) commercialisés sous leur nom ou leur marque.

Importateurs

Entreprises qui mettent sur le marché de l'UE un produit numérique conçu en dehors de l'Union.

Distributeurs

Entreprises qui mettent un produit à disposition sur le marché de l'UE sans en être le fabricant ni l'importateur.

Notre accompagnement

Une démarche structurée pour cartographier vos produits, mesurer les écarts et construire votre plan de mise en conformité

1
Cadrage

Entretien et périmètre

Entretien avec la direction ou l'équipe R&D pour identifier les produits potentiellement concernés par le CRA (matériel connecté, logiciel embarqué, firmware) et votre rôle d'opérateur économique (fabricant, importateur, distributeur).

2
Diagnostic

Analyse des écarts par rapport au règlement

Cartographie de vos produits numériques et de leurs éléments de cybersécurité actuels (gestion des vulnérabilités, mises à jour de sécurité, documentation existante), comparée aux exigences du règlement.

3
Plan d'action

Priorisation et feuille de route

Plan de mise en conformité priorisé : ce qui doit être traité en premier, ce qui peut attendre les prochaines échéances réglementaires, et les ressources à mobiliser en interne.

4
Documentation

Support à la constitution du dossier technique

Accompagnement à la structuration de la documentation technique attendue par le règlement (description du produit, gestion des risques de cybersécurité, procédures de traitement des vulnérabilités).

5
Restitution

Présentation et transfert de compétences

Restitution du diagnostic et du plan d'action à la direction, avec remise des livrables éditables pour appropriation par vos équipes.

Ce que vous recevez

Un diagnostic et une feuille de route pour piloter votre mise en conformité CRA

📋

Cartographie des produits concernés

Inventaire de vos produits comportant des éléments numériques et qualification de leur exposition au règlement.

  • Liste des produits et versions
  • Rôle d'opérateur économique identifié
  • Éléments numériques recensés (matériel/logiciel)
🔍

Diagnostic d'écarts (gap analysis)

Synthèse des écarts entre votre pratique actuelle et les exigences du règlement.

  • Gestion des vulnérabilités existante
  • Processus de mise à jour de sécurité
  • Documentation technique disponible
📈

Plan de mise en conformité

Feuille de route priorisée pour combler les écarts identifiés.

  • Actions priorisées
  • Ressources internes à mobiliser
  • Points de vigilance par produit
📄

Support dossier technique

Accompagnement à la structuration de la documentation attendue par le règlement.

  • Trame de description du produit
  • Trame de gestion des risques cybersécurité
  • Trame de traitement des vulnérabilités
🔐

Veille réglementaire

Suivi des textes d'application et clarifications officielles publiées sur le CRA.

  • Points d'attention sur les échéances
  • Alertes sur les évolutions du texte
  • Recommandations d'anticipation
💻

Livrables éditables

Tous les documents dans des formats que vous pouvez modifier et faire vivre en interne.

  • Formats HTML et PDF
  • Documents éditables pour vos équipes
  • Structure réutilisable pour vos futurs produits

Un règlement qui s'articule avec vos autres obligations

Le CRA ne remplace pas vos autres chantiers de conformité, il les complète

N2

NIS2 (Directive UE 2022/2555)

NIS2 encadre la gestion des risques cyber des organisations essentielles et importantes ; le CRA encadre la sécurité des produits numériques qu'elles utilisent ou commercialisent. Les deux textes sont complémentaires.

ISO

ISO 27001:2022

Un système de management de la sécurité de l'information déjà en place facilite la structuration des processus de gestion des vulnérabilités exigés par le CRA.

RG

RGPD (Règlement UE 2016/679)

Si votre produit numérique traite des données personnelles, les exigences de sécurité du CRA recoupent en partie les mesures techniques et organisationnelles attendues par l'article 32 du RGPD.

IA

AI Act (Règlement UE 2024/1689)

Si votre produit intègre des composants d'intelligence artificielle, le CRA et l'AI Act peuvent s'appliquer conjointement selon la nature du produit. Un point à clarifier au cas par cas avec votre conseil juridique.

Un accompagnement sur devis

Chaque produit, chaque périmètre est différent : nous établissons un devis adapté à votre situation

Diagnostic

Un produit, un périmètre restreint

Sur devis
Adapté à votre situation
  • Cartographie du produit concerné
  • Diagnostic d'écarts CRA
  • Synthèse des points de vigilance
Demander un devis

Accompagnement

Plusieurs produits, mise en conformité active

Sur devis
Adapté à votre situation
  • Tout Diagnostic +
  • Plan de mise en conformité priorisé
  • Support constitution dossier technique
  • Veille réglementaire incluse
Demander un devis

Dossier complet

Gamme de produits, cycle de conformité continu

Sur devis
Adapté à votre situation
  • Tout Accompagnement +
  • Suivi multi-produits
  • Mise à jour à chaque évolution du texte
  • Support prioritaire
Demander un devis
Important : nous n'affichons pas de prix fixe car l'effort dépend du nombre de produits, de leur complexité et de votre rôle d'opérateur économique. Chaque demande de devis est étudiée individuellement.

Questions fréquentes

Mon entreprise est-elle concernée par le Cyber Resilience Act ?
Si vous concevez, importez ou distribuez un produit comportant des éléments numériques (matériel connecté, logiciel, firmware) destiné au marché de l'Union européenne, vous êtes potentiellement concerné. Le périmètre exact (exemptions éventuelles, catégories de produits) doit être confirmé au cas par cas avec votre conseil juridique au regard du texte officiel.
Quand le règlement s'applique-t-il concrètement ?
Le règlement est entré en vigueur le 10 décembre 2024 et prévoit une application progressive par paliers. Les échéances précises pour votre catégorie de produit doivent être vérifiées auprès du texte officiel (EUR-Lex) au moment de votre projet, ces délais pouvant évoluer ou être précisés par des actes d'application ultérieurs.
Que se passe-t-il en cas de non-conformité ?
Le règlement prévoit un régime de sanctions financières pour les manquements aux obligations qu'il fixe. Les montants et modalités précises doivent être vérifiés auprès du texte officiel ; nous ne les affichons pas ici pour éviter toute approximation sur un sujet juridique.
Ce diagnostic remplace-t-il un avis juridique ?
Non. Notre accompagnement est un outil d'aide à la structuration de votre démarche de conformité. Il ne constitue pas un avis juridique et ne se substitue pas à l'analyse de votre conseil (avocat, juriste) sur votre situation particulière.
Combien de temps dois-je mobiliser mes équipes ?
Cela dépend du nombre de produits et de la maturité actuelle de vos processus de gestion des vulnérabilités. Un entretien de cadrage initial et une restitution finale sont systématiques ; le volume exact est précisé dans le devis.
En quoi SYAGA est légitime pour cet accompagnement ?
SYAGA Consulting réalise des audits de sécurité des systèmes d'information depuis 2009. Nous suivons les textes européens de cybersécurité (NIS2, RGPD, DORA, CRA, AI Act) pour nos clients et construisons des méthodes de diagnostic structurées, sans nous substituer à un conseil juridique.

Veille réglementaire - sources officielles

Ce que dit vraiment le texte du CRA, expliqué simplement. Chaque point renvoie à sa source officielle (EUR-Lex ou Commission européenne) pour que vous puissiez vérifier par vous-même.

📜

Le CRA en une phrase

Le Cyber Resilience Act est un règlement européen (Règlement UE 2024/2847) qui fixe des règles de cybersécurité pour les produits numériques - matériel et logiciel - vendus dans l'Union européenne. Il est entré en vigueur le 10 décembre 2024.
source officielle ↗

🔍

Qui est concerné, en clair

Tout produit comportant des éléments numériques et destiné à se connecter, directement ou indirectement, à un appareil ou à un réseau. Sont exclus les produits déjà encadrés par d'autres textes européens : dispositifs médicaux, véhicules, aviation, équipements marins, pièces de rechange identiques, ou produits conçus exclusivement pour la défense/sécurité nationale.
source officielle (Article 2) ↗

⏰

Les dates à retenir

10 décembre 2024 : le texte est entré en vigueur. 11 juin 2026 : les autorités chargées de le faire appliquer doivent être en place. 11 septembre 2026 : les obligations de signalement des failles et incidents démarrent. 11 décembre 2027 : l'essentiel des obligations, dont le marquage CE, devient applicable.
source officielle (Article 71) ↗

🚨

En cas de faille de sécurité, il y a des délais

Si une vulnérabilité activement exploitée ou un incident grave touche votre produit, le règlement impose de prévenir les autorités : une première alerte sous 24 heures, une notification plus détaillée sous 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d'un correctif.
source officielle (Article 14) ↗

🔐

Certains produits sont surveillés de plus près

Le texte distingue des catégories de produits jugées plus sensibles (par exemple antivirus, VPN, gestionnaires de mots de passe, systèmes d'exploitation, routeurs, objets connectés de sécurité domestique) et des produits "critiques" (par exemple cartes à puce, passerelles de compteurs intelligents), soumis à des exigences renforcées.
source officielle (Annexes III et IV) ↗

⚠

Les sanctions, en clair

Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial (le montant le plus élevé) pour les manquements les plus graves aux exigences de sécurité de base. Jusqu'à 10 millions ou 2 % pour d'autres obligations, et jusqu'à 5 millions ou 1 % en cas d'informations trompeuses données aux autorités. Les micro et petites entreprises bénéficient d'une dispense spécifique sur le retard du délai de 24 heures de signalement.
source officielle (Article 64) ↗

🛡

Comment ça s'articule avec le reste

Le CRA complète la directive NIS2 et s'appuie sur la stratégie de cybersécurité de l'UE de 2020. Un marquage CE sera nécessaire pour attester la conformité, et ce sont les autorités nationales de surveillance du marché qui contrôleront son application.
source officielle (Commission européenne) ↗

Note de lecture : cette page résume et simplifie le texte officiel pour le rendre compréhensible en quelques minutes. En cas de doute sur votre situation, seul le texte consolidé publié sur EUR-Lex fait foi, à vérifier avec votre conseil juridique.

Les sanctions du CRA, en clair

Le règlement fixe 3 paliers d'amende selon la gravité du manquement. Voici ce que dit precisement le texte officiel, sans arrondi ni approximation.

Manquement le plus grave
Jusqu'à 15 M€
ou 2,5 % du CA mondial
(le montant le plus élevé des deux)

Exigences essentielles de sécurité + obligations de signalement

Non-respect des exigences de cybersécurité de base (Annexe I) ou des obligations des fabricants (Articles 13 et 14 : conception sécurisée, gestion des vulnérabilités, signalement des incidents).

Autres obligations
Jusqu'à 10 M€
ou 2 % du CA mondial
(le montant le plus élevé des deux)

Représentants, marquage CE, organismes notifiés

Manquements aux obligations des représentants autorisés, à la déclaration UE de conformité (marquage CE), aux exigences relatives aux organismes notifiés et à l'accès aux données demandé par les autorités (Articles 18 à 53 selon le cas).

Information trompeuse
Jusqu'à 5 M€
ou 1 % du CA mondial
(le montant le plus élevé des deux)

Réponse incorrecte ou incomplète à une autorité

Fourniture d'informations incorrectes, incomplètes ou trompeuses à un organisme notifié ou à une autorité de surveillance du marché qui vous interroge.

source officielle - Règlement (UE) 2024/2847, Article 64, paragraphes 2 à 4 ↗

📌 Qui prononce l'amende ?

Ce sont les autorités nationales de surveillance du marché de chaque État membre qui appliquent ces amendes (pas la Commission européenne directement). Selon le système juridique du pays, l'amende peut aussi être prononcée par un tribunal national compétent. Les autorités des différents États membres se communiquent entre elles les amendes appliquées.

source officielle - Commission européenne ↗

⚖️ Ce qui est pris en compte pour fixer le montant

Le texte n'impose pas un montant automatique : l'autorité doit tenir compte, au cas par cas :

  • de la nature, la gravité et la durée du manquement, et de ses conséquences ;
  • d'une éventuelle amende déjà appliquée pour un manquement similaire ;
  • de la taille de l'entreprise (une attention particulière est prévue pour les micro, petites et moyennes entreprises, y compris les start-ups) et de sa part de marché.

source officielle - Article 64§5 ↗

🔑 Une exception PME très ciblée (pas une dispense générale)

Le texte prévoit une seule dérogation chiffrée : les fabricants qui sont des micro ou petites entreprises ne sont pas exposés aux amendes des paliers 2 et 3 s'ils dépassent seulement le délai de signalement d'incident prévu à l'article 14 (24h/72h/rapport final). Pour tout le reste (exigences de sécurité, marquage CE, information trompeuse...), les mêmes plafonds s'appliquent, quelle que soit la taille de l'entreprise. Les responsables de logiciels open source ("open-source software stewards") bénéficient, eux, d'une exemption plus large.

source officielle - Article 64§10 ↗

📅 À partir de quand ces amendes sont-elles applicables ?

Le régime de sanctions (Article 64) suit la date générale d'application du règlement, soit le 11 décembre 2027 - il ne fait pas partie des rares exceptions qui s'appliquent plus tôt (obligations de signalement des fabricants dès le 11 septembre 2026, mise en place des autorités dès le 11 juin 2026). Concrètement : au 18 juillet 2026, ce régime de sanctions n'est pas encore en vigueur, et aucune amende CRA n'a donc encore pu être prononcée. C'est aussi pourquoi nous n'affichons pas d'exemple de sanction réelle ici : il n'y en a pas encore, et nous n'en inventerons pas.

source officielle - Article 71 ↗

Note de lecture : les amendes peuvent se cumuler avec d'autres mesures correctives ou restrictives prises par l'autorité pour le même manquement (rappel de produit, interdiction de mise sur le marché...). Ce résumé simplifie l'Article 64 du règlement pour le rendre lisible en quelques minutes ; en cas de doute sur votre situation, seul le texte consolidé publié sur EUR-Lex fait foi, à vérifier avec votre conseil juridique.

Les questions qu'un dirigeant se pose vraiment sur le Cyber Resilience Act

Pas de jargon d'avocat : des réponses simples, chacune appuyée sur le texte officiel qui la fonde.

Mon entreprise fabrique ou vend un produit connecté : suis-je concerné par le CRA ?
Oui, dans la plupart des cas. Le texte officiel est large : il vise tout "produit avec éléments numériques" dont l'usage prévu ou raisonnablement prévisible "comporte une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau". Concrètement : un objet connecté, un logiciel, une appli mobile qui parle à un serveur. Quelques familles de produits sont explicitement exclues parce qu'elles ont déjà leur propre réglementation de sécurité : dispositifs médicaux, véhicules, aéronautique, équipements marine, produits de défense. Si vous êtes dans l'une de ces filières, le CRA ne s'ajoute pas par-dessus, il laisse la place au texte sectoriel. Source : Règlement (UE) 2024/2847, article 2 →
Je ne fais que du SaaS ou du cloud, sans objet physique : je suis quand même concerné ?
Non, en principe. Le texte européen le précise noir sur blanc : les services de cloud (SaaS, PaaS, IaaS) relèvent d'un autre texte, la directive NIS2, pas du CRA. Un site web qui ne pilote pas un produit connecté n'entre pas non plus dans le champ du CRA. La nuance à connaître : si votre service cloud est la brique indispensable au fonctionnement d'un produit connecté que vous vendez (par exemple l'appli qui pilote à distance un objet que vous fabriquez), cette brique-là est alors considérée comme faisant partie du produit et retombe sous le CRA. Source : Règlement (UE) 2024/2847, considérant 12 →
Concrètement, quelles dates dois-je noter dans mon agenda ?
Quatre dates, pas plus. Le règlement est entré en vigueur le 10 décembre 2024. Le chapitre sur les organismes notifiés (ceux qui certifient les produits les plus sensibles) s'applique depuis le 11 juin 2026. L'obligation de signaler les vulnérabilités exploitées démarre le 11 septembre 2026 : c'est la première échéance qui concerne réellement votre quotidien. Le reste des obligations (marquage CE, documentation technique, exigences de sécurité) s'applique de façon générale à partir du 11 décembre 2027. Source : Règlement (UE) 2024/2847, article 71 →   Source : Commission européenne →
Si une vulnérabilité de mon produit est activement exploitée par un attaquant, je dois faire quoi et en combien de temps ?
Le compte à rebours est serré. Dès que vous avez connaissance qu'une faille de votre produit est activement exploitée, vous avez 24 heures pour envoyer une première alerte précoce à l'ENISA et au CSIRT désigné, puis 72 heures pour transmettre une notification plus détaillée. La même logique de délais (24h puis 72h) s'applique en cas d'incident de sécurité sévère touchant votre produit. C'est exactement le type de processus que nous vous aidons à préparer à l'avance, pour ne pas le découvrir le jour où l'alerte tombe. Source : Règlement (UE) 2024/2847, article 14 →
Que se passe-t-il en cas de non-conformité, concrètement, en euros ?
Trois paliers, selon la gravité du manquement. Le plus lourd : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (le montant le plus élevé des deux), pour un manquement aux exigences de sécurité de base ou à l'obligation de signalement. Un second palier à 10 millions d'euros ou 2 % pour d'autres obligations (marquage, documentation, coopération avec les autorités). Et 5 millions d'euros ou 1 % si vous fournissez des informations incorrectes ou trompeuses à une autorité de contrôle. Le texte prévoit aussi un assouplissement pour les micro-entreprises et petites entreprises en cas de simple retard sur un délai de notification. Source : Règlement (UE) 2024/2847, article 64 →
Mon produit est déjà commercialisé aujourd'hui : suis-je protégé jusqu'en 2027 ?
Partiellement, et c'est un piège à connaître. Un produit déjà sur le marché avant le 11 décembre 2027 n'est soumis aux nouvelles exigences de sécurité que s'il fait l'objet d'une "modification substantielle" après cette date. Mais il y a une exception importante : l'obligation de signaler les vulnérabilités exploitées (celle des 24h/72h) s'applique elle à tous les produits dans le périmètre du règlement, y compris ceux déjà vendus, dès le 11 septembre 2026. Autrement dit, le report à 2027 ne couvre pas tout. Source : Règlement (UE) 2024/2847, article 69 →
Je maintiens un projet ou un composant open source gratuit : je suis concerné ?
Non, si votre activité reste bénévole et non commerciale : le texte exclut explicitement les contributeurs de code qui n'agissent pas sous leur propre responsabilité commerciale, et précise que le développement de logiciels libres par des organisations à but non lucratif n'est "pas considéré comme une activité commerciale". En revanche, si vous êtes une fondation ou une structure qui assure la maintenance d'un projet largement réutilisé commercialement par d'autres, un régime allégé et spécifique s'applique (le statut d'"open-source software steward") : une politique de cybersécurité documentée et une coopération avec les autorités, mais pas l'intégralité des obligations d'un fabricant classique. Source : Règlement (UE) 2024/2847, considérant 18 et article 24 →

Le calendrier du CRA, expliqué simplement

Le règlement ne s'applique pas d'un coup : il avance par paliers, sur plusieurs années. Voici les dates qui comptent vraiment, dans l'ordre, avec ce qu'elles signifient concrètement pour vous. Chaque date renvoie au texte officiel pour vérification.

11/24
DÉJÀ PASSÉ

20 novembre 2024 - publication au Journal officiel

Le texte du règlement (UE) 2024/2847 est publié au Journal officiel de l'Union européenne. C'est le point de départ du compte à rebours : toutes les échéances suivantes se calculent à partir de cette date.
source officielle (EUR-Lex, publication) ↗

12/24
EN VIGUEUR

10 décembre 2024 - entrée en vigueur du texte

Le règlement entre en vigueur vingt jours après sa publication (règle standard pour les textes européens). Le texte existe donc juridiquement depuis cette date - mais l'immense majorité des obligations concrètes pour les entreprises ne sont pas encore dues : elles arrivent par paliers, voir la suite du calendrier.
source officielle (Article 71 §1) ↗

06/26
EN VIGUEUR

11 juin 2026 - les autorités de contrôle s'organisent

Le chapitre du règlement consacré aux organismes chargés d'évaluer la conformité des produits ("organismes notifiés") s'applique à cette date. C'est une étape d'organisation côté États membres : ce n'est pas encore une échéance directe pour votre entreprise.
source officielle (Article 71 §2, chapitre IV) ↗

09/26
PREMIÈRE ÉCHÉANCE CONCRÈTE

11 septembre 2026 - le signalement des failles devient obligatoire

C'est la première échéance qui vous concerne vraiment. Dès cette date, toute vulnérabilité activement exploitée ou tout incident grave touchant un de vos produits numériques doit être signalé aux autorités selon des délais stricts : une première alerte sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final (14 jours après le correctif pour une vulnérabilité, 1 mois après la notification pour un incident).
source officielle (Article 71 §2, Article 14) ↗

12/26
OBJECTIF DES ÉTATS

11 décembre 2026 - un réseau d'organismes notifiés suffisant

Les États membres doivent "s'efforcer" d'avoir mis en place assez d'organismes notifiés pour éviter les embouteillages administratifs, un an avant l'entrée en application générale. Ce n'est pas une obligation contraignante pour les entreprises, mais un jalon d'organisation côté administrations.
source officielle (Article 35 §2) ↗

12/27
ÉCHÉANCE MAJEURE

11 décembre 2027 - l'essentiel du règlement s'applique

C'est LA date structurante à retenir. Marquage CE, respect des exigences essentielles de cybersécurité (documentation technique, gestion du cycle de vie des vulnérabilités, mises à jour de sécurité...) : la quasi-totalité des obligations du CRA devient opposable à cette date pour les produits mis sur le marché.
source officielle (Article 71 §2) ↗

06/28
TRANSITOIRE

11 juin 2028 - fin de la période transitoire pour les produits déjà certifiés ailleurs

Si vos produits sont déjà couverts par une autre réglementation européenne (par exemple équipements radio ou machines) et disposent déjà d'un certificat de cybersécurité obtenu sous ce texte, celui-ci reste valable au plus tard jusqu'à cette date, sauf s'il expire avant.
source officielle (Article 69 §1) ↗

Bon à savoir : deux règles qui coexistent. Un produit déjà sur le marché avant le 11 décembre 2027 n'est soumis aux nouvelles exigences que s'il fait l'objet d'une modification substantielle après cette date (Article 69 §2). Mais attention : l'obligation de signaler les vulnérabilités et incidents graves (Article 14, dès le 11 septembre 2026) s'applique par dérogation à tous les produits déjà sur le marché, sans exception (Article 69 §3). Autrement dit, "produit déjà vendu" ne veut pas dire "aucune obligation de signalement".
source officielle (Article 69) ↗
Le compte à rebours qui compte pour vous, aujourd'hui : il reste un peu moins de 2 mois avant l'obligation de signalement des failles (11 septembre 2026), et un peu moins de 17 mois avant l'application générale du règlement (11 décembre 2027). C'est le bon moment pour cartographier vos produits concernés et préparer votre dossier technique, plutôt que de découvrir le sujet à la dernière minute.

Qui est concerné, dans le détail : le périmètre officiel du CRA

Au-delà des trois rôles (fabricant, importateur, distributeur), voici ce que dit précisément le texte : le critère qui déclenche le règlement, ce qui en est exclu, et des exemples concrets de produits pour savoir si vous êtes concerné, sans jargon.

Le critère retenu par le règlement n'est pas une liste de secteurs, c'est un critère technique : la connectivité. Le texte s'applique à tout "produit avec éléments numériques" dont l'usage prévu, ou raisonnablement prévisible, comporte une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau. Un objet qui ne se connecte jamais à rien reste hors du champ ; un logiciel, une appli, un composant embarqué qui parle à un réseau y entre, quelle que soit sa taille ou son secteur.
source officielle, Règlement (UE) 2024/2847, Article 2 §1 ↗

Les trois rôles, dans les mots exacts du règlement

Fabricant

Celui qui développe ou fait développer un produit numérique et le commercialise sous son nom ou sa marque. Le texte précise explicitement que le statut de fabricant s'applique "que ce soit contre paiement, par monétisation ou gratuitement" : proposer un produit gratuit ne suffit pas à sortir du champ.

source officielle, Article 3(13) ↗

Importateur

Toute personne établie dans l'UE qui met sur le marché européen un produit portant le nom ou la marque d'une personne établie hors de l'Union. Une PME qui revend en France, sous son nom, du matériel connecté fabriqué hors UE endosse ce rôle, avec les obligations qui vont avec.

source officielle, Article 3(16) ↗

Distributeur

Toute personne de la chaîne d'approvisionnement, autre que le fabricant ou l'importateur, qui met un produit à disposition sur le marché de l'UE sans en modifier les propriétés. C'est le rôle par défaut d'un revendeur ou d'un intégrateur qui ne touche pas au produit.

source officielle, Article 3(17) ↗

Ce qui est explicitement hors du champ du CRA

🏥 Dispositifs médicaux et diagnostic in vitro

Déjà couverts par leur propre réglementation de sécurité (Règlements (UE) 2017/745 et 2017/746) : le CRA ne s'ajoute pas par-dessus.

source officielle, Article 2 §2 ↗

🚗 Véhicules à moteur homologués

Couverts par le règlement d'homologation type (UE) 2019/2144, qui traite déjà la cybersécurité des véhicules.

source officielle, Article 2 §2(c) ↗

✈️ Aéronautique certifiée

Les produits certifiés selon le règlement (UE) 2018/1139 sur l'aviation civile restent sous ce cadre sectoriel dédié.

source officielle, Article 2 §3 ↗

⚓️ Équipements marins

Les équipements relevant de la directive 2014/90/UE sur les équipements marins ont leur propre régime et échappent au CRA.

source officielle, Article 2 §4 ↗

🔧 Pièces de rechange identiques

Une pièce de remplacement fabriquée selon les mêmes spécifications que le composant d'origine qu'elle remplace n'est pas un nouveau produit au sens du CRA.

source officielle, Article 2 §6 ↗

🛡️ Défense nationale et informations classifiées

Les produits développés ou modifiés exclusivement pour la défense ou la sécurité nationale, ou conçus pour traiter des informations classifiées, sortent du champ.

source officielle, Article 2 §7 et §8 ↗

Des exemples concrets : si vous fabriquez ou vendez cela, vous êtes très probablement concerné

Le règlement liste lui-même des catégories de produits jugées "importantes" (surveillance renforcée) ou "critiques" (le niveau d'exigence le plus élevé). Ce ne sont que des exemples illustratifs parmi tous les produits connectés couverts, mais ils donnent une idée très concrète des secteurs visés en priorité.

Produits "importants", classe I, exigences renforcées
Gestionnaires de mots de passe Antivirus et anti-malware Logiciels et boîtiers VPN Navigateurs Systèmes d'exploitation Routeurs, modems, switches Gestion d'identité et des accès (IAM) SIEM Assistants vocaux domestiques Serrures, caméras et alarmes connectées Babyphones connectés Jouets connectés avec micro, caméra ou géolocalisation Objets portables de santé connectée
Produits "importants", classe II, évaluation encore renforcée
Pare-feux et systèmes de détection d'intrusion Hyperviseurs et runtimes de conteneurs Microprocesseurs et microcontrôleurs inviolables
Produits "critiques" (Annexe IV), le niveau d'exigence le plus élevé
Boîtiers matériels de sécurité Passerelles de compteurs intelligents Cartes à puce et éléments sécurisés

liste complète, source officielle, Annexes III et IV du règlement ↗

Et si vous êtes une petite structure ? La définition officielle

Catégorie Effectif CA annuel ou total de bilan
Microentreprise moins de 10 salariés 2 millions d'euros maximum
Petite entreprise moins de 50 salariés 10 millions d'euros maximum
Moyenne entreprise moins de 250 salariés CA 50 M€ maximum, ou bilan 43 M€ maximum

Cette définition officielle est celle que le règlement utilise partout où il mentionne les micro, petites et moyennes entreprises (documentation simplifiée, dérogations ciblées sur les amendes déjà détaillées plus haut). source officielle, Recommandation 2003/361/CE, Article 2 de l'annexe ↗

En pratique : le critère de connectivité rend le champ du CRA très large, et la taille de votre entreprise ne vous sort pas du périmètre, elle influe surtout sur le niveau de documentation et sur certaines dérogations ciblées. Le point de départ raisonnable reste toujours le même : cartographier vos produits face à ces critères officiels avant d'agir, ce qui est précisément la première étape de notre accompagnement CRA-Express.

Votre autorité de contrôle, selon votre pays

En Europe, chaque pays a ses propres autorités. Voici, pour les 30 pays de l'Espace économique européen, l'autorité de protection des données (votre interlocuteur RGPD) et l'autorité nationale de cybersécurité. Chaque nom renvoie au site officiel.

PaysProtection des donnéesCybersécurité
AllemagneBfDI - Die Bundesbeauftragte für den Datenschutz und die InformationsfreiheitBSI - Bundesamt für Sicherheit in der Informationstechnik (Federal Office for Information Security)
AutricheOsterreichische Datenschutzbehorde (DSB)CERT.at
BelgiqueAutorite de la protection des donnees - Gegevensbeschermingsautoriteit (APD-GBA)Centre for Cybersecurity Belgium (CCB)
BulgarieCommission for Personal Data Protection (CPDP)CERT Bulgaria (National Cybersecurity Incident Response Team, State e-Government Agency)
ChypreOffice of the Commissioner for Personal Data Protection (Cyprus Data Protection Authority)Digital Security Authority (DSA)
CroatieAgencija za zastitu osobnih podataka (AZOP) - Croatian Personal Data Protection AgencyNational Cyber Security Centre (NCSC-HR), operating under the Security and Intelligence Agency (SOA)
DanemarkDatatilsynetForsvarets Efterretningstjeneste (FE) - Cybersituationscenter, national CSIRT (Danish Defence Intelligence Service)
EspagneAgencia Espanola de Proteccion de Datos (AEPD)INCIBE - Instituto Nacional de Ciberseguridad (Spanish National Cybersecurity Institute)
EstonieEstonian Data Protection Inspectorate (Andmekaitse Inspektsioon)Information System Authority (RIA) - National Cyber Security Centre of Estonia (NCSC-EE), heberge CERT-EE
FinlandeOffice of the Data Protection Ombudsman (Tietosuojavaltuutetun toimisto)National Cyber Security Centre Finland (NCSC-FI)
FranceCNIL (Commission Nationale de l'Informatique et des Libertes)ANSSI (Agence Nationale de la Securite des Systemes d'Information)
GrèceHellenic Data Protection Authority (HDPA) - Arkhi Prostasias Dedomenon Prosopikou KharaktiraNational Cybersecurity Authority (NCSA) - Ethniki Arkhi Kyvernoasfaleias
HongrieNemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH) - Hungarian National Authority for Data Protection and Freedom of InformationNational Cyber Security Center of Hungary (NCSC-HU / NKI), operant au sein du Special Service for National Security (SSNS)
IrlandeData Protection Commission (DPC)National Cyber Security Centre (NCSC-IE), incluant le CSIRT-IE
IslandePersonuvernd (Icelandic Data Protection Authority)CERT-IS
ItalieGarante per la protezione dei dati personaliAgenzia per la Cybersicurezza Nazionale (ACN)
LettonieData State Inspectorate (Datu valsts inspekcija)CERT.LV - Cyber Incident Response Institution of the Republic of Latvia
LiechtensteinDatenschutzstelle Fürstentum LiechtensteinCSIRT.LI (Computer Security Incident Response Team Liechtenstein / National Cyber Security Unit)
LituanieState Data Protection Inspectorate (Valstybine duomenu apsaugos inspekcija - VDAI)National Cyber Security Centre (Nacionalinis kibernetinio saugumo centras - NKSC)
LuxembourgCommission Nationale pour la Protection des Données (CNPD)Agence nationale de la sécurité des systèmes d'information (ANSSI Luxembourg), sous le Haut-Commissariat à la protection nationale (HCPN)
MalteOffice of the Information and Data Protection Commissioner (IDPC)CSIRTMalta (Critical Information Infrastructure Protection Unit, Ministry for Home Affairs and National Security)
NorvegeDatatilsynetNSM (Nasjonal sikkerhetsmyndighet / National Security Authority) (à confirmer)
Pays-BasAutoriteit Persoonsgegevens (AP)National Cyber Security Centre (NCSC-NL)
PologneUrząd Ochrony Danych Osobowych (UODO)CSIRT NASK (CERT Polska)
PortugalComissão Nacional de Proteção de Dados (CNPD)Centro Nacional de Cibersegurança (CNCS)
RoumanieANSPDCP - Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (National Supervisory Authority for Personal Data Processing)à confirmer
SlovaquieUrad na ochranu osobnych udajov Slovenskej republikyNarodny bezpecnostny urad (National Security Authority) - SK-CERT / National Cyber Security Centre
SlovénieInformation Commissioner of the Republic of Slovenia (Informacijski pooblascenec)Government Information Security Office (GISO / URSIV - Urad Vlade RS za Informacijsko Varnost)
SuedeIntegritetsskyddsmyndigheten (IMY) - Swedish Authority for Privacy ProtectionNationellt cybersakerhetscenter (NCSC-SE), rattache a FRA, integre CERT-SE (CSIRT national)
TchéquieUrad pro ochranu osobnich udaju (UOOU) - Office for Personal Data ProtectionNarodni urad pro kybernetickou a informacni bezpecnost (NUKIB) - National Cyber and Information Security Agency

Sources : sites officiels des autorités et liste des membres de l'EDPB (edpb.europa.eu), consultés le 18 juillet 2026. Autorités de protection des données confirmées : 30/30. Autorités de cybersécurité confirmées : 28/30. Les mentions « à confirmer » signalent une source officielle non stabilisée à ce jour.

Veille réglementaire CRA

Les nouveautés officielles, digérées en clair. La plus récente en haut.

27 juillet 2026 · Commission européenne

La Commission publie un nouveau guide pour aider les entreprises à appliquer le Cyber Resilience Act

La Commission européenne a publié un guide pratique destiné aux fabricants, éditeurs de logiciels et entreprises de toute taille pour les aider à respecter le règlement européen sur la cyber-résilience (CRA), en vigueur depuis décembre 2024. Le document précise quels produits sont concernés, ce que signifie une « modification substantielle » d'un produit, comment comprendre les périodes de support, et comment remplir les obligations de signalement et d'évaluation des risques. Une attention particulière est portée aux micro-entreprises et aux PME, avec des exemples concrets pour limiter la charge administrative.

Ce que ça change pour vous aujourd'hui : rien d'obligatoire de nouveau, c'est un guide d'application, pas une nouvelle règle. Mais les échéances approchent : les obligations de signalement des incidents s'appliquent à partir du 11 septembre 2026, et la conformité complète est exigée pour décembre 2027. Si vous vendez des produits connectés ou des logiciels en Europe, c'est le moment de vous appuyer sur ce guide pour vous préparer.

Source officielle : Commission européenne (digital-strategy.ec.europa.eu)

21 juillet 2026 · ANSSI

L'ANSSI précise comment les organismes de certification seront agréés pour le Cyber Resilience Act

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié les modalités du processus par lequel un organisme pourra devenir « organisme notifié », c'est-à-dire habilité à certifier la conformité des produits numériques les plus sensibles au règlement européen sur la cyber-résilience (CRA). Cette accréditation passe d'abord par le COFRAC, l'organisme français d'accréditation, puis par une évaluation et une désignation de l'ANSSI elle-même.

Ce que ça change pour vous aujourd'hui : rien d'obligatoire de nouveau pour votre entreprise. Ce texte concerne les futurs organismes de certification, pas directement les fabricants ou éditeurs de produits connectés. Il confirme que la France se structure pour faire appliquer concrètement le CRA dans les mois qui viennent.

Source officielle : ANSSI (cyber.gouv.fr)

13 juillet 2026 · ENISA

L'ENISA publie un outil gratuit pour aider les PME à évaluer leur préparation au Cyber Resilience Act

L'agence européenne de cybersécurité (ENISA) a publié un modèle d'auto-évaluation destiné aux micro, petites et moyennes entreprises pour mesurer leur niveau de préparation face au règlement européen sur la cyber-résilience (CRA). Une enquête menée en parallèle auprès de 194 organisations dans 31 pays montre que si 66 % des PME connaissent l'existence du CRA, beaucoup peinent encore à en comprendre les obligations concrètes, notamment sur la gestion des incidents de sécurité.

Ce que ça change pour vous aujourd'hui : rien d'obligatoire de nouveau, il s'agit d'un outil d'auto-diagnostic gratuit, pas d'une nouvelle règle. Si vous vendez des produits connectés ou des logiciels en Europe, c'est l'occasion de l'utiliser pour situer votre niveau de préparation avant les prochaines échéances du CRA.

Source officielle : ENISA (enisa.europa.eu)

Prêt à cartographier votre conformité CRA ?

Contactez-nous pour recevoir un devis adapté à vos produits et à votre situation.

Démarrer mon diagnostic gratuit

Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.

contact@syaga.eu