Conformité au Cyber Resilience Act (CRA)
Le Cyber Resilience Act impose aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques de garantir leur sécurité dès la conception et tout au long de leur cycle de vie. La Robe Numérique vous accompagne pour qualifier vos obligations, structurer votre documentation technique et organiser le signalement des vulnérabilités, exigé depuis septembre 2026.
Adopté en 2024, le règlement européen 2024/2847 change les conditions de mise sur le marché des produits numériques. Les obligations de signalement des vulnérabilités s’appliquent depuis le 11 septembre 2026 et les exigences complètes s’appliqueront à compter du 11 décembre 2027.
Les étapes clés de l’accompagnement CRA
-
Nous analysons votre portefeuille de produits comportant des éléments numériques (logiciels, objets connectés, composants) pour déterminer s’ils entrent dans le périmètre du CRA.
Nous identifions aussi leur classe de produit et votre rôle au sens du règlement (fabricant, importateur ou distributeur).
-
Nous évaluons vos pratiques actuelles de sécurité dès la conception au regard des exigences essentielles prévues par les annexes du règlement.
Nous retenons uniquement celles qui s’appliquent à vos produits, d’après la qualification réalisée à l’étape précédente.
-
Nous vous accompagnons dans la constitution du dossier technique exigé pour le marquage CE.
Il comprend l’évaluation des risques cyber de vos produits, la démarche de sécurité dès la conception et un cycle de développement sécurisé.
-
Nous vous aidons à structurer votre procédure de détection, de correction et de signalement des vulnérabilités activement exploitées. Elle respecte les délais du règlement, soit 24 heures pour l’alerte initiale, 72 heures pour la notification détaillée et 14 jours après la mise à disposition d’un correctif pour le rapport final.
Les notifications passent par la plateforme unique de signalement gérée par l’ENISA, qui les transmet au CSIRT national coordinateur.
-
Nous établissons un plan d’action échelonné jusqu’aux échéances réglementaires de 2027. Un suivi régulier intègre les évolutions des textes d’application et des standards harmonisés.
Besoin de faire le point sur vos obligations au titre du CRA ?
La Robe Numérique qualifie vos produits et structure votre mise en conformité, de l’analyse du périmètre au suivi.
Cadre réglementaire et enjeux du Cyber Resilience Act pour votre organisation
Qui est concerné par le CRA ?
Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), s’applique à toute entreprise qui fabrique, importe ou distribue des produits comportant des éléments numériques destinés au marché européen. Il couvre les logiciels, les objets connectés, les équipements industriels et les produits grand public.
CRA : que dit la réglementation ?
Contrairement à la directive NIS2, qui vise la sécurité des organisations, le CRA porte sur la sécurité des produits eux-mêmes. Le texte impose la sécurité dès la conception, une gestion continue des vulnérabilités pendant toute la durée de vie du produit, une documentation technique complète et l’apposition du marquage CE.
Le calendrier se déroule en deux temps :
Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves.
À compter du 11 décembre 2027, l’ensemble des exigences du règlement s’appliquent.
CRA : quelles sanctions en cas de non-conformité ?
Le non-respect du CRA expose à des sanctions pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu, ainsi qu’au retrait des produits du marché européen. Anticiper ces échéances sécurise la mise sur le marché de vos produits et fait de la cybersécurité un argument commercial face à vos clients.
Téléchargez gratuitement notre note explicative sur le Cyber Resilience Act (CRA)
Nos experts cyber ont rédigé une note explicative complète sur le Cyber Resilience Act et les obligations qui l’accompagnent.
Pourquoi se faire accompagner par La Robe Numérique ?
La Robe Numérique réunit juristes et avocats en droit du numérique et consultants experts en cybersécurité. Cette double compétence, réglementaire et opérationnelle, nous permet de traduire les exigences du CRA en mesures concrètes pour vos équipes, notamment la sécurité dès la conception, le SBOM et la gestion des vulnérabilités, tout en traitant les enjeux contractuels comme la répartition des responsabilités dans la chaîne de sous-traitance.
