Règlement européen sur la cyberrésilience (CRA) pour les produits industriels

Le CRA fait de la cybersécurité une condition de mise sur le marché européen des produits comportant des éléments numériques. Nous combinons les normes horizontales EN 40000, les normes verticales et IEC 62443-4-1 / -4-2 afin qu’un seul ensemble de preuves les couvre toutes.

11 sept. 2026Obligations de notification applicables (art. 14)

24 h · 72 hAlerte précoce et notification au CSIRT et à l’ENISA

11 déc. 2027Application complète ; marquage CE obligatoire

EN 40000 + IEC 62443-4Un ensemble de preuves pour les normes horizontales et industrielles

Où en est le CRA

La notification est déjà obligatoire. Le marquage CE est la prochaine étape.

10 décembre 2024Entrée en vigueur du règlement (UE) 2024/2847.
11 juin 2026Application des dispositions relatives à la notification des organismes d’évaluation de la conformité.
11 septembre 2026Les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final.
11 décembre 2027Toutes les obligations s’appliquent. Les produits doivent satisfaire aux exigences essentielles et porter le marquage CE.

Les deux facettes du CRA

Pour les produits que vous fabriquez et ceux que vous achetez

Fabricants et intégrateurs

Classez chaque produit, choisissez la voie de conformité, intégrez la sécurité au cycle de développement, gérez les vulnérabilités pendant la période de support et préparez le dossier technique pour l’autoévaluation ou un organisme notifié.

Propriétaires d’actifs et exploitants

Intégrez la conformité CRA à vos appels d’offres et contrats, afin que les OEM, intégrateurs et EPC auprès desquels vous achetez fournissent des produits et des preuves répondant aussi à vos obligations NIS 2 et IEC 62443 (A5 Sécurité de la chaîne d’approvisionnement).

Ce que vous obtenez

De la classification au dossier technique

Classification des produits et voie de conformité

Produit de catégorie par défaut, important (classe I ou II) ou critique, avec la voie correspondante : contrôle interne, examen UE de type ou assurance qualité complète.

Analyse des risques produit et cycle de développement sécurisé

Une analyse documentée des risques de cybersécurité pour chaque produit et des processus de développement alignés sur IEC 62443-4-1 (SM, SR, SD, SI, SVV, DM, SUM, SG).

Exigences de sécurité et preuves

Exigences essentielles reliées à EN 40000 et aux exigences composants IEC 62443-4-2, pour qu’un seul ensemble de preuves serve le CRA et vos clients industriels.

Gestion des vulnérabilités et préparation à la notification

Politique de divulgation coordonnée des vulnérabilités, gestion des SBOM, procédures et rôles pour respecter les délais de 24 heures, 72 heures et du rapport final.

Documentation technique et déclaration UE de conformité

Un dossier technique prêt pour l’autoévaluation ou un organisme notifié.

Vérification

Essais de sécurité produit et tests d’intrusion, et vérification du niveau de sécurité système (C4 Assurance et vérification).

Services et formations associés

Notre accompagnement

Règlement européen sur la cyberrésilience (CRA)

Classification, cycle de développement sécurisé, gestion des vulnérabilités, dossier technique.

Sécurité de la chaîne d’approvisionnement

Exigences de conformité CRA des produits achetés, dans les appels d’offres et contrats.

Assurance et vérification

Essais produits et systèmes, réalisés en sécurité par des personnes connaissant les systèmes industriels.

Votre produit relève-t-il de la catégorie par défaut, importante ou critique ?

Envoyez-nous une brève description du produit. Nous vous proposerons la classe probable, la voie de conformité et un premier plan.

Parlons-en

Références : règlement (UE) 2024/2847 (règlement sur la cyberrésilience), articles 14 et 71 ; annexe I. Les normes harmonisées au titre du CRA sont encore en cours de publication. Cette page fournit des informations générales et ne constitue pas un avis juridique.