Guide CRA pour les fabricants
Les obligations que le Cyber Resilience Act impose aux fabricants de produits comportant des éléments numériques ; de l’évaluation des risques au marquage CE et aux obligations après commercialisation.
Étapes de conformité
Confirmer le champ d’application et la classification
Art. 2 · 6 · 7Déterminez que le produit est concerné et établissez sa classe ; cela conditionne toutes les étapes suivantes.
- ✓Confirmez que le produit comporte des éléments numériques et est présent sur le marché de l’UE
- ✓Classez-le par défaut, important ou critique
- ✓Consultez les listes de catégories des annexes III et IV
Réaliser une évaluation des risques de cybersécurité
Art. 13(2)Fondez la conception du produit sur une évaluation documentée des risques de cybersécurité.
- ✓Identifiez les menaces et les risques applicables
- ✓Déterminez les exigences essentielles applicables
- ✓Conservez l’évaluation avec votre documentation
L’évaluation des risques est la base que les auditeurs et la surveillance du marché demanderont à voir en premier.
Respecter les exigences essentielles
Annex I · IConcevez et fabriquez le produit pour satisfaire aux propriétés de sécurité de l’annexe I.
- ✓Configuration sécurisée par défaut
- ✓Protection de la confidentialité et de l’intégrité
- ✓Résilience et disponibilité des fonctions essentielles
- ✓Surface d’attaque réduite
Mettre en œuvre la gestion des vulnérabilités
Annex I · IIMettez en œuvre un processus de gestion des vulnérabilités pendant toute la période de support.
- ✓Tenez à jour un SBOM
- ✓Corrigez et divulguez les vulnérabilités
- ✓Fournissez des mises à jour de sécurité gratuites
Constituer la documentation technique
Annexe VIIConstituez et tenez à jour le dossier technique complet avant de mettre le produit sur le marché.
- ✓Description du produit et évaluation des risques
- ✓Informations de conception et de fabrication
- ✓Déclaration UE de conformité
Choisir la procédure d’évaluation de la conformité
Art. 32Sélectionnez la procédure d’évaluation correspondant à la classe de votre produit.
- ✓Auto-évaluation module A pour les produits par défaut
- ✓Fondée sur des normes ou sur un tiers pour les produits importants
- ✓Certification européenne pour les produits critiques
Déclarer la conformité et apposer le CE
Art. 28 · 30Complétez la déclaration et apposez le marquage qui signale la conformité.
- ✓Rédigez et signez la déclaration UE de conformité
- ✓Apposez le marquage CE de façon visible
- ✓Fournissez les informations et instructions à l’utilisateur
Remplir les obligations après commercialisation
Art. 13(8) · 14Surveillez le produit, signalez ce qui doit l’être et maintenez-le sécurisé pendant toute sa période de support.
- ✓Signalez les vulnérabilités activement exploitées et les incidents graves
- ✓Prenez des mesures correctives pour les produits non conformes
- ✓Coopérez avec les autorités de surveillance du marché
La période de support doit être d’au moins cinq ans (ou la durée de vie prévue du produit, si elle est plus longue), comptée à partir de sa mise sur le marché de l’UE. Pendant toute cette durée, vous devez gérer les vulnérabilités et fournir des mises à jour de sécurité gratuites ; chaque mise à jour doit ensuite rester disponible pendant 10 ans, et le dossier technique et la déclaration UE doivent être conservés pendant 10 ans.
Chaque outil ci-dessous est gratuit et s’ouvre ici dans un panneau latéral, pour ne pas perdre votre place.
Confirmez si le règlement s'applique et la classification de votre produit.
Ouvrir ici →GratuitMatrice de conformitéCartographiez chaque obligation des annexes I et VII et suivez votre avancement.
Ouvrir ici →GratuitCalculateur de coûtsEstimez le coût ponctuel et annuel de la mise en conformité.
Ouvrir ici →GratuitAnalyseur de vulnérabilitésCroisez votre SBOM avec le NVD et l'EUVD, et suivez les composants en fin de vie.
Ouvrir ici →GratuitGénérateur de DoCGénérez une déclaration UE de conformité (annexe V) pour votre produit.
Ouvrir ici →GratuitRecherche de classificationDéterminez si votre produit est par défaut, important ou critique, par catégorie.
Ouvrir ici →GratuitPlanificateur de période de supportDéfinissez votre période de support minimale et repérez les composants arrivant trop tôt en fin de vie.
Ouvrir ici →Autres guides par profil
Développeurs de logiciels
Comment le Cyber Resilience Act s’applique aux produits logiciels ; du développement sécurisé à la gestion des vulnérabilités, aux SBOM et au marquage CE.
Importateurs et distributeurs
Ce que les opérateurs économiques doivent vérifier avant ; et après ; de mettre un produit comportant des éléments numériques à disposition sur le marché de l’UE.
Comment obtenir le marquage CE
Les étapes pour déclarer la conformité et apposer le marquage CE d’un produit comportant des éléments numériques.