Règlement sur la cyberrésilience (CRA) : s'applique-t-il à votre produit ?
Vérifié par rapport aux sources le 6 octobre 2026
Le règlement sur la cyberrésilience fixe des exigences de cybersécurité pour les produits matériels et logiciels vendus dans l'UE. Ses obligations de signalement s'appliquent à partir du 11 septembre 2026 ; le reste à partir du 11 décembre 2027.
Quels produits
Les produits comportant des éléments numériques : produits matériels et logiciels, y compris leurs solutions de traitement de données à distance, dont l'usage prévu ou raisonnablement prévisible comprend une connexion de données à un appareil ou à un réseau. Objets domotiques, routeurs, applications, jouets connectés et nombreux composants industriels en sont des exemples typiques.
Ce qui est exclu
Les produits déjà soumis à des règles sectorielles de cybersécurité : dispositifs médicaux et de diagnostic in vitro, véhicules à moteur, aviation civile et équipements marins. Sont aussi exclus les produits développés uniquement pour la sécurité nationale ou la défense, ainsi que les logiciels libres et open source non fournis dans le cadre d'une activité commerciale.
Dates
| Date | Ce qui s'applique |
|---|---|
| 11 septembre 2026 | Les fabricants signalent les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final. |
| 11 juin 2026 | Règles applicables aux organismes d'évaluation de la conformité. |
| 11 décembre 2027 | Toutes les autres exigences : conception sécurisée, gestion des vulnérabilités, évaluation de la conformité, marquage CE, documentation technique. |
Ce qu'il demande aux fabricants
- respecter des exigences essentielles de cybersécurité dans la conception et la production ;
- gérer les vulnérabilités pendant une période d'assistance, en général d'au moins cinq ans ;
- une évaluation de la conformité : autoévaluation pour la plupart des produits ; normes harmonisées ou organisme tiers pour les produits importants et critiques ;
- une documentation technique, une déclaration UE de conformité et le marquage CE.
Les produits de consommation connectés relèvent souvent aussi du RSGP. Vérifiez-le avec le test RSGP.