# Rendez vos produits conformes au CRA, sans ralentir le développement.

> Le Cyber Resilience Act (règlement (UE) 2024/2847) oblige les fabricants de produits comportant des éléments numériques à les concevoir de manière sécurisée, à gérer leurs vulnérabilités pendant toute la période de support et à signaler les vulnérabilités activement exploitées. Les obligations de signalement s’appliquent depuis le 11 septembre 2026, toutes les autres exigences à partir du 11 décembre 2027. Zyberum propose des analyses d’écarts CRA, la mise en place d’un cycle de développement sécurisé, des processus de gestion des vulnérabilités et des tests d’intrusion.

Préparez-vous au CRA : analyse d’écarts, développement sécurisé, gestion des vulnérabilités, SBOM et test d’intrusion pour vos produits numériques.

Source: https://zyberum.com/fr/cyber-resilience-act

Le Cyber Resilience Act (CRA), ou règlement européen sur la cyberrésilience, impose des exigences de cybersécurité obligatoires à tout produit matériel ou logiciel comportant des éléments numériques vendu dans l’UE. Nous aidons les fabricants à combler leurs écarts grâce au conseil, aux tests et à un cycle de développement sécurisé adapté à leurs équipes.

## Les dates clés du CRA

- 10 déc. 2024: **Entrée en vigueur** Le CRA a été publié et est entré en vigueur. La période de transition a commencé.
- 11 juin 2026: **Organismes d’évaluation de la conformité** Les règles relatives aux organismes notifiés s’appliquent : les évaluations par un tiers peuvent être préparées.
- 11 sept. 2026: **Obligations de signalement** Les vulnérabilités activement exploitées et les incidents graves doivent être signalés à l’ENISA et au CSIRT sous 24 heures (alerte précoce).
- 11 déc. 2027: **Application complète** Toutes les exigences essentielles s’appliquent. Les produits sans marquage CE au titre du CRA ne peuvent plus être mis sur le marché de l’UE.

## Nos services pour votre conformité CRA

### Analyse d’écarts CRA

Nous classons vos produits (par défaut, importants de classe I ou II, critiques), les confrontons à l’annexe I et livrons une feuille de route priorisée.

### Cycle de développement sécurisé

Exigences de sécurité, modélisation des menaces, secure coding et revue de code intégrés à votre processus de développement existant.

### Tests d’intrusion

Tests de sécurité indépendants des appareils, des firmwares, des applications et des interfaces cloud, pour trouver et corriger les vulnérabilités avant la mise sur le marché.

### Gestion des vulnérabilités

Divulgation coordonnée des vulnérabilités, processus PSIRT et circuits de signalement sous 24 h et 72 h à l’ENISA.

### SBOM et documentation

Nomenclature logicielle (SBOM), documentation technique et déclaration UE de conformité, prêtes pour l’audit.

### Montée en compétences

Formation des responsables produit et des développeurs, pour que les exigences du CRA s’intègrent au quotidien des équipes d’ingénierie.

## L’expertise réglementaire, les tests en plus

Notre équipe allie une solide expérience en sécurité produit à une connaissance approfondie de la réglementation européenne. Nous avons déjà mis en œuvre des cadres comparables dans l’automobile (UN R155, ISO/SAE 21434) et l’industrie (IEC 62443), et nous testons nous-mêmes les produits au lieu de nous contenter de rédiger des politiques.

Résultat : une démarche de conformité que les ingénieurs acceptent, des preuves qui tiennent lors d’une évaluation et moins de vulnérabilités sur le terrain.

**Source officielle**

- Le règlement (UE) 2024/2847 est disponible sur EUR-Lex dans toutes les langues officielles de l’UE.

## FAQ

**Quels produits relèvent du Cyber Resilience Act ?**

Presque tous les produits matériels et logiciels comportant des éléments numériques qui sont mis sur le marché de l’UE et peuvent se connecter à un appareil ou à un réseau : objets connectés, automates industriels, routeurs, applications et logiciels de bureau. Certains secteurs dotés de leurs propres règles, comme les dispositifs médicaux, les véhicules à moteur et l’aviation, en sont exclus.

**Quand dois-je être conforme au CRA ?**

Le signalement des vulnérabilités activement exploitées et des incidents graves s’applique depuis le 11 septembre 2026. Toutes les autres exigences, y compris le marquage CE au titre du CRA, s’appliquent à partir du 11 décembre 2027.

**Quelles sont les sanctions en cas de non-conformité ?**

Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, en cas de manquement aux exigences essentielles. Les autorités de surveillance du marché peuvent également ordonner le retrait des produits non conformes.

**Ai-je besoin d’une évaluation par un tiers ?**

La plupart des produits peuvent faire l’objet d’une auto-évaluation. Les produits importants de classe II et les produits critiques nécessitent un organisme notifié ou un schéma de certification ; les produits de classe I également si les normes harmonisées ne sont pas appliquées intégralement.

---
Zyberum GmbH. Canonical page: https://zyberum.com/fr/cyber-resilience-act