Questions fréquentes

La classification dépend de la fonctionnalité principale du produit, et non de chacune de ses fonctions. Si la fonction principale correspond à une catégorie de l’annexe III, le produit est « important » (classe I ou II) ; si elle correspond à l’annexe IV, il est « critique » ; sinon, il est « par défaut ». Une fonction comme la gestion des identités ou un VPN, présente seulement comme fonctionnalité, ne rend pas le produit « important », sauf si c’est sa finalité première. Lorsque plusieurs catégories pourraient s’appliquer, c’est la classe la plus stricte qui prévaut. Art. 7

Les logiciels libres non commerciaux développés en dehors d’une activité commerciale sont largement exclus du champ d’application. Les « gestionnaires » de logiciels libres ont des obligations allégées et adaptées. Les composants open source fournis dans le cadre d’une activité commerciale peuvent, eux, être concernés.

Les services autonomes sont généralement hors du champ du CRA. Toutefois, les solutions de traitement de données à distance nécessaires au fonctionnement d’un produit sont considérées comme faisant partie de ce produit et sont donc concernées. Art. 3(2)

Oui. Le CRA s’applique aux produits mis sur le marché de l’UE, quel que soit le lieu d’établissement du fabricant. Les fabricants hors de l’UE doivent veiller à ce qu’un opérateur économique établi dans l’Union soit responsable des obligations concernées.

Elles se répartissent en deux parties de l’annexe I : les propriétés de sécurité que le produit doit présenter (sécurité par défaut, confidentialité, intégrité, disponibilité, surface d’attaque réduite, mises à jour de sécurité) et les processus de gestion des vulnérabilités que le fabricant doit mettre en œuvre (SBOM, correction, divulgation coordonnée). Annexe I

Oui. Les fabricants doivent identifier et documenter les composants contenus dans le produit, notamment en établissant une nomenclature logicielle dans un format courant et lisible par machine. Annexe I · II(1)

La période de support est la durée pendant laquelle un fabricant doit fournir des mises à jour de sécurité. Elle doit refléter la durée pendant laquelle le produit est raisonnablement censé être utilisé ; selon les conseils de la Commission, elle devrait généralement être d’au moins cinq ans, sauf si l’utilisation prévue est plus courte. Art. 13(8)

Les vulnérabilités activement exploitées et les incidents graves affectant la sécurité du produit doivent être notifiés à l’ENISA et au CSIRT compétent. Une alerte précoce est due dans les 24 heures suivant la prise de connaissance, suivie d’une notification plus complète puis d’un rapport final. Art. 14

Le règlement est entré en vigueur le 10 décembre 2024. Les obligations de signalement s’appliquent à partir de septembre 2026 (21 mois plus tard) et l’essentiel des obligations à partir de décembre 2027 (36 mois plus tard). Art. 71

Les manquements aux exigences essentielles ou aux obligations des fabricants peuvent entraîner des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Des plafonds inférieurs s’appliquent aux autres infractions et à la communication d’informations inexactes.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the guide de notification. Art. 14 · 16

La demande de normalisation M/606 de la Commission a été acceptée par le CEN, le CENELEC et l’ETSI en 2025 et couvre une quarantaine de normes (horizontales et propres aux produits). Les deux normes horizontales fondamentales (développement sécurisé et gestion des vulnérabilités) sont attendues pour le 30 août 2026, les normes verticales de produits pour le 30 octobre 2026 et les normes horizontales restantes pour le 30 octobre 2027, avant l’application complète en décembre 2027. Le respect d’une norme harmonisée citée confère une présomption de conformité. Annexe I

Suivez la procédure d’évaluation de la conformité correspondant à la classe de votre produit, constituez la documentation technique, rédigez et signez la déclaration UE de conformité, puis apposez le marquage CE. Les produits par défaut peuvent s’auto-évaluer ; les produits importants et critiques exigent des procédures plus strictes. Art. 28 · 32

Commencez par le Test rapide CRA pour confirmer le champ d’application et la classe, suivez le guide correspondant à votre rôle, puis utilisez la matrice de conformité pour suivre les exigences essentielles jusqu’à leur réalisation.

Les obligations de notification de l'article 14 deviennent exécutoires. À compter de cette date, les fabricants doivent notifier à ENISA et au CSIRT compétent les vulnérabilités activement exploitées et les incidents sévères par l'intermédiaire de la plateforme de notification unique. Il s'agit de la première des principales obligations du CRA à entrer en vigueur, bien avant l'application complète au 11 décembre 2027. Consultez le guide de notification. Art. 14 · 71

Non. Seuls vulnérabilités activement exploitées et incidents sévères affectant la sécurité de votre produit sont soumises à obligation de notification en vertu de l'article 14. Les vulnérabilités que vous détectez et corrigez avant qu'elles soient exploitées sont gérées dans le cadre de votre processus ordinaire de gestion des vulnérabilités, et non par ce canal de notification. Le guide de notification expose le test et les délais. Art. 14

Par l'intermédiaire de la plateforme de notification unique d'ENISA, qui achemine votre notification vers ENISA et le CSIRT national compétent. Vous envoyez une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification plus complète dans les 72 heures, et un rapport final dans les 14 jours suivant la disponibilité d'une mesure corrective. Consultez le guide étape par étape guide de notification. Art. 14 · 16

Généralement pas à elle seule. Les conseils de la Commission précisent qu'un logiciel qui s'exécute sur l'appareil de l'utilisateur (une application téléchargée, une extension de navigateur, un client installé localement) est un produit comportant des éléments numériques, tandis qu'une application web utilisée uniquement via un navigateur, ou un site web qui se contente de présenter des informations, ne l'est pas. Un service à distance n'est couvert que lorsqu'il s'agit d'un traitement de données à distance nécessaire à un produit pour exercer ses fonctions. Art. 3 Voir le Aperçu des conseils de la Commission.

Seulement lorsque la mise à jour est une modification substantielle: une modification qui altère le risque de cybersécurité du produit d'une manière que votre évaluation des risques ne couvrait pas déjà. Les mises à jour de sécurité ordinaires ne constituent généralement pas des modifications substantielles. Lorsqu'une mise à jour est substantielle, le produit modifié est considéré comme nouvellement mis sur le marché et une nouvelle évaluation de la conformité est requise pour les parties concernées. Art. 3(30) Le Conseils de la Commission énonce le critère.