Ce qu’un service complet de conformité CRA devrait livrer
La conformité au règlement européen sur la cyberrésilience (CRA) n’est ni un test d’intrusion unique ni un certificat ponctuel. Pour un fabricant, c’est un processus de constitution des preuves et de validation du produit avant sa mise sur le marché, reliant périmètre, évaluation des risques de cybersécurité, mesures techniques, gestion des vulnérabilités, documentation technique, voie d’évaluation de la conformité, marquage CE/déclaration UE et obligations après mise sur le marché.
Au 7 octobre 2026, le CRA est en phase transitoire : les obligations de notification des fabricants prévues à l’article 14 s’appliquent depuis le 11 septembre 2026, tandis que le règlement s’applique en général à compter du 11 décembre 2027. Un projet solide comporte donc deux pistes : un processus de notification déjà opérationnel et un programme de préparation à la mise sur le marché qui finalise les preuves relatives au produit et aux processus avant la date d’application générale du 11 décembre 2027.
Ce qu’un service complet de conformité CRA devrait livrer
Le service devrait transformer les exigences juridiques en livrables contrôlés. Le résultat central n’est pas un avis générique mais un dossier traçable indiquant le produit et la version évalués, les risques et exigences applicables, leur mise en œuvre ou justification, les essais probants, la voie de conformité retenue et les activités à maintenir après la mise sur le marché.
Le fabricant reste responsable du produit et de la déclaration UE de conformité. Conseillers, laboratoires et organismes d’évaluation peuvent fournir analyses et preuves, mais les responsabilités et points de décision doivent être intégrés au processus de mise en circulation du fabricant.
Contrôle initial : figer le produit, l’opérateur, le périmètre et la voie
Avant de commander des essais, il faut figer l’objet réglementaire : fabricant, famille et variantes, versions logiciel/firmware, dépendances de traitement de données à distance, destination, usage raisonnablement prévisible, marchés, distribution, composants tiers et entité responsable des mises à jour et vulnérabilités.
Il faut ensuite déterminer l’applicabilité et la catégorie : autre produit, produit important de classe I, produit important de classe II ou produit potentiellement critique. Cette classification modifie la voie d’évaluation. Toute incertitude doit devenir une décision ouverte avec preuves et responsable, et non être masquée dans un bon de commande de laboratoire.
Flux opérationnel de l’analyse initiale à la préparation au marché
| Étape | Entrée clé | Livrable | Contrôle / transfert |
|---|---|---|---|
| 1. Entrée et périmètre | Architecture, versions, chaîne d’approvisionnement, usage | Définition contrôlée du produit et note d’applicabilité CRA | Pas d’essai réglementaire sans configuration identifiable |
| 2. Classification et voie | Fonctionnalités annexes III/IV; normes, spécifications et schémas disponibles | Décision de classification et voie planifiée | Escalade si classe ou voie incertaine |
| 3. Risque et exigences | Menaces, actifs, interfaces, environnement | Évaluation documentée des risques et matrice exigences-contrôles | Chaque exigence applicable de l’annexe I a un responsable et un plan de preuve |
| 4. Plan de preuves | Contrôles, rapports existants, dossiers de développement | Plan d’essais et de preuves avec critères d’acceptation et responsables des preuves | Éviter les doublons et identifier les preuves manquantes |
| 5. Essais et correction | Version représentative, interfaces, SBOM/dépendances, mécanisme de mise à jour | Rapports, constats, corrections et nouveaux essais | Constats critiques clos ou formellement traités au regard du risque avant l’évaluation |
| 6. Dossier technique | Risques, conception, essais, processus vulnérabilités | Documentation orientée annexe VII plus informations destinées à l’utilisateur et sur l’assistance | Le dossier correspond à la version mise sur le marché |
| 7. Conformité et mise en circulation | Dossier plus paquet spécifique à la voie | Résultat d’évaluation, déclaration UE et paquet CE si applicable | Pas de mise en circulation avec conditions de conformité ouvertes |
| 8. Après-marché | Plan d’assistance, accès aux notifications, processus de modifications | Gestion vulnérabilités, préparation SRP, enregistrements des mises à jour et de la gestion des modifications | Les changements importants déclenchent une réévaluation documentée |
Essais et preuves : démontrer l’évaluation des risques, pas un « test CRA » générique
Le CRA ne se réduit pas à une suite d’essais universelle. Les essais devraient découler de l’évaluation des risques et des exigences applicables de l’annexe I. Selon le produit, ils peuvent combiner revue d’architecture et de configuration, tests d’interfaces et d’authentification, analyse de vulnérabilités, analyse SBOM/dépendances, test d’intrusion, test du mécanisme de mise à jour, cas d’abus et vérification des processus de vulnérabilités.
Pour chaque essai, conserver version, configuration, environnement, méthode, critère d’acceptation, résultat, correction et nouvel essai. Avec un laboratoire externe, conserver périmètre des essais et cahier des charges afin de rattacher le rapport à la version exacte candidate à la mise sur le marché. Un résultat « réussi » sur une version non identifiée ou obsolète constitue une preuve faible.
Documentation technique et dossier de mise en circulation
Le dossier technique devrait être construit pendant la production des preuves, non reconstitué à la fin. Il comprend normalement :
- identification, architecture et référence de version/configuration ;
- évaluation des risques, destination et usage raisonnablement prévisible ;
- mise en correspondance des exigences applicables de l’annexe I avec les contrôles mis en œuvre et les preuves ;
- informations de conception/développement et preuves sur composants/dépendances ;
- rapports d’essais, corrections et nouveaux essais ;
- processus de gestion/divulgation coordonnée des vulnérabilités, mécanisme de mise à jour et assistance en matière de sécurité ;
- justification de la période d’assistance et informations/instructions utilisateur ;
- documents de la voie d’évaluation, déclaration UE et preuves de mise en circulation avec marquage CE si applicables.
La documentation technique doit être établie avant la mise sur le marché et mise à jour si nécessaire pendant la période d’assistance. Le fabricant doit la conserver, avec la déclaration UE, au moins dix ans après la mise sur le marché ou pendant la période d’assistance si celle-ci est plus longue.
Voie d’évaluation de la conformité et transferts vers des tiers
| Voie produit | Conséquence pratique |
|---|---|
| Autres produits | Le contrôle interne module A est une voie disponible ; les preuves doivent néanmoins démontrer les exigences essentielles applicables. |
| Produits importants classe I | Le module A reste disponible pour les exigences concernées uniquement si les conditions de l’article 32(2) sont remplies via normes harmonisées, spécifications communes ou certification qualifiante. Sinon : examen UE de type (B) suivi de la conformité au type (C), ou assurance qualité complète (H). |
| Produits importants classe II | B+C, H ou, si disponible et applicable, schéma européen de certification cybersécurité au niveau au moins « substantiel ». |
| Produits critiques | Vérifier la voie actuelle au titre des articles 8/32 et tout acte délégué ou exigence de certification avant de réserver l’évaluation ; ne pas supposer une voie unique pour toute l’annexe IV. |
La coordination des prestataires devrait être gérée comme un transfert contrôlé. Avant envoi à un organisme notifié ou autre prestataire, confirmer son habilitation et son périmètre, convenir de la langue et du paquet, figer la version et ouvrir un journal de questions. En 2026, l’infrastructure d’évaluation et les normes CRA sont encore en déploiement : le statut du prestataire et les normes applicables devraient être vérifiés en temps réel, et non déduits d’anciens supports commerciaux.
Contrôle de mise sur le marché, notifications et gestion des modifications
La préparation au marché est une décision de mise sur le marché, et non uniquement la fin des essais. Le contrôle devrait confirmer que le produit mis sur le marché correspond à la configuration de référence évaluée, que la documentation de conformité requise est approuvée, que les informations destinées à l’utilisateur et sur l’assistance en matière de sécurité sont prêtes, que la période d’assistance a été déterminée et que les responsables après mise sur le marché ont accès aux systèmes de réception des signalements de vulnérabilités, de mise à jour et de notification.
Depuis le 11 septembre 2026, les fabricants doivent notifier via la plateforme unique de notification du CRA (SRP) les vulnérabilités activement exploitées et les incidents graves affectant la sécurité. La Commission indique une alerte sous 24 heures et une notification complète sous 72 heures ; le rapport final suit les délais CRA selon le type d’événement. Le processus devrait être testé avant un incident : il convient de définir qui peut soumettre une notification, qui valide les faits sur lesquels elle repose et comment les preuves techniques sont conservées.
Après la mise en circulation, tout changement de code, matériel, dépendances, cryptographie, interfaces, traitement distant, destination, modalités d’assistance ou processus de gestion des vulnérabilités devrait faire l’objet d’une revue d’impact documentée afin de décider si risques, preuves, informations utilisateur ou conclusion de conformité doivent être mis à jour.
Blocages fréquents de la mise en conformité CRA
- classification non résolue alors que les essais commencent, d’où une mauvaise voie budgétée ;
- variantes et dépendances infonuagiques ou de traitement à distance non maîtrisées par configuration ;
- risques, SBOM et périmètre d’essai portant sur des versions différentes ;
- preuves fournisseurs absentes pour composants critiques ou dépendances de mise à jour ;
- correctifs réalisés sans conserver correction et nouvel essai ;
- période d’assistance, réception des signalements de vulnérabilités et responsabilité des notifications décidés au lancement ;
- évaluation tierce réservée avant cohérence interne du dossier technique.
Ce que cette page ne remplace pas
Pour le choix d’un conseiller, la gouvernance ou une analyse stratégique des écarts, voir la page consultant CRA. Pour le budget et les facteurs de coût, voir la page coûts CRA. Pour la mécanique CE multi-régimes, voir les services de marquage CE. Ici, l’objet est la chaîne d’exécution et de transfert vers un dossier de preuves prêt pour la mise en circulation.
Questions fréquentes sur les services de conformité CRA
Peut-on commencer les essais avant la classification CRA finale ?
Oui pour des essais d’ingénierie, mais ils ne constituent pas un programme de conformité complet tant que le périmètre, la configuration de référence et la voie d’évaluation ne sont pas maîtrisés. La classification peut modifier les preuves requises et l’étendue de l’intervention d’un tiers.
Un test d’intrusion prouve-t-il la conformité CRA ?
Non. Un test d’intrusion peut étayer certains risques et certaines exigences, mais la conformité CRA dépend aussi de l’évaluation des risques, des propriétés de sécurité du produit, des processus de gestion des vulnérabilités, de la documentation, de la voie de conformité applicable, des informations destinées à l’utilisateur et des obligations après la mise sur le marché.
Un organisme notifié est-il nécessaire pour chaque produit ?
Non. La voie dépend de la classification et, pour les produits importants de classe I, des conditions de l’article 32(2). Les produits importants de classe II suivent les voies plus strictes de l’article 32(3). La voie d’évaluation précise devrait être arrêtée avant la soumission.
Qu’est-ce qui doit déjà fonctionner en octobre 2026 ?
Les obligations de notification du fabricant au titre de l’article 14 s’appliquent depuis le 11 septembre 2026. Une organisation qui met sur le marché de l’UE des produits concernés devrait donc déjà disposer d’un processus SRP opérationnel, d’un triage initial des incidents et vulnérabilités, de responsabilités décisionnelles attribuées et de règles de conservation des preuves, même si le CRA s’applique de manière générale à partir du 11 décembre 2027.
Quand devrait-on réévaluer un produit déjà mis sur le marché ?
Le contrôle des changements doit être déclenché lorsqu’une modification peut affecter le risque cyber, la configuration évaluée, les preuves relatives aux exigences essentielles, les modalités d’assistance ou la conclusion de conformité. Les lignes directrices relatives au CRA traitent également de la modification substantielle ; les cas limites devraient être documentés et soumis à un niveau de décision approprié, plutôt que d’être considérés par défaut comme de la maintenance courante.
Sources officielles
- Règlement (UE) 2024/2847 — règlement sur la cyberrésilience
- Commission européenne — règlement sur la cyberrésilience
- Commission européenne — guide fabricants
- Commission européenne — obligations de notification
- Commission européenne — normalisation CRA
- Commission européenne — guide de mise en œuvre, juillet 2026
- ENISA — plateforme unique de notification du CRA