Le Cyber Resilience Act, expliqué simplement
Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, fixe des règles de sécurité pour les produits comportant du logiciel vendus dans l’UE. Ces guides répondent aux questions que les petits fabricants d’appareils posent le plus souvent, avec l’article du règlement derrière chaque réponse.
11 septembre 2026
Les obligations de signalement s’appliquent (article 14), y compris aux produits déjà sur le marché.
11 décembre 2027
Tout le reste s’applique (article 71(2)).
Vous ne savez pas dans quelle classe est votre produit ?
Faire le test de classe gratuitGuides
Cyber Resilience Act : ce que la loi demande au fabricant
Les exigences de l’annexe I, les devoirs de l’article 13 et les étapes avant le marquage CE, avec la référence exacte de chaque obligation.
Calendrier du CRA : les trois dates qui comptent
Le signalement s’applique depuis le 11 septembre 2026. Tout le reste arrive le 11 décembre 2027. Voici ce que chaque date change pour vous.
Signalement CRA : 24 heures, 72 heures, puis le rapport final
Depuis le 11 septembre 2026, une faille activement exploitée dans votre produit se signale en trois étapes. Les délais, le canal et ce que vous devez écrire.
Le SBOM, la liste des composants de votre produit
Le CRA exige une nomenclature des logiciels lisible par machine. Ce qu’elle doit contenir, à qui la montrer, et comment la produire sans source complète.
Durée de support : ce que le CRA vous impose
Au moins cinq ans de correctifs, une date de fin visible avant l’achat, et une justification écrite dans le dossier. Comment la fixer sans vous ruiner.
La documentation technique de l’annexe VII, rubrique par rubrique
Le dossier qui prouve que votre produit respecte le CRA. Les huit rubriques de l’annexe VII, ce que chacune demande et ce que vous pouvez déjà remplir.
La déclaration UE de conformité pour le CRA
La page que vous signez avant d’apposer le marquage CE. Ce qu’elle contient, la version courte qui accompagne le produit, et pourquoi la signature vous engage.
Classes de produits du CRA : par défaut, important ou critique
La classe de votre produit décide si vous évaluez seul ou avec un organisme notifié. Les listes des annexes III et IV, et la règle de la fonction principale.
Sanctions du CRA : les amendes et ce qui pèse davantage
Trois plafonds d’amende selon le manquement, des mesures de retrait du marché, et une seule exception pour les petites entreprises. Les chiffres exacts de l’article 64.
Le CRA dans une PME : les vraies obligations et les vrais allègements
Le CRA ne fait pas d’exception pour les petites entreprises. Il prévoit quelques allègements précis. Lesquels, pour qui, et par où commencer avec une petite équipe.
L’ANSSI et le Cyber Resilience Act : qui fait quoi en France
En France, le CERT-FR reçoit les signalements, l’ANSSI notifie les organismes d’évaluation et l’ANFR surveille le marché. Ce que chaque acteur fait pour vous.
Faits vérifiés dans le règlement (UE) 2024/2847, sur EUR-Lex.