Cyber Resilience Act

Le Cyber Resilience Act (CRA), adopte par l'Union europeenne en 2024, impose pour la premiere fois des exigences de cybersecurite obligatoires pour tous les produits comportant des elements numeriques commercialises sur le marche europeen. Il concerne les fabricants, importateurs et distributeurs de produits connectes : logiciels, objets IoT, composants materiels avec fonctionnalites numeriques. Le CRA distingue les produits par categorie de risque : produits par defaut, produits importants (classe I et II) et produits critiques, avec des procedures d'evaluation de conformite adaptees (auto-evaluation, evaluation par tiers, certification). Les fabricants doivent integrer la securite des la conception (security by design), fournir un SBOM (Software Bill of Materials), signaler les vulnerabilites activement exploitees a l'ENISA dans les 24 heures, et assurer un support securite pendant toute la duree de vie du produit (minimum 5 ans). Le marquage CE attestera de la conformite aux exigences du CRA. Les premieres obligations de signalement entrent en vigueur des septembre 2026, et l'ensemble des exigences s'appliquera a partir de decembre 2027. Les sanctions peuvent atteindre 15 millions d'euros ou 2,5% du chiffre d'affaires mondial. Nos guides couvrent chaque obligation du CRA : documentation technique, SBOM, signalement des vulnerabilites, marquage CE, et articulation avec NIS2 et l'AI Act.