Coût de conformité au CRA : construire un budget crédible
Coût de conformité au CRA : construire un budget crédible
Il n’existe ni tarif unique du règlement européen sur la cyberrésilience (CRA), ni frais de certification obligatoires pour tous les produits. Distinguez le travail propre au produit, la voie d’évaluation de conformité et la sécurité après commercialisation. Le marquage CE n’est pas un certificat CRA que l’on achète.
Existe-t-il une redevance CRA officielle ?
Le règlement (UE) 2024/2847 ne fixe aucun tarif uniforme dans l’UE pour le contrôle interne du fabricant ou l’apposition du marquage CE. Le contrôle interne n’impose pas automatiquement un organisme notifié payant. Si une évaluation tierce est requise, son coût se négocie selon le périmètre ; essais et conseil sont des prestations distinctes. Aucun montant universel en euros ne peut être étayé.
Les notifications prévues à l’article 14 s’appliquent depuis le 11 septembre 2026, y compris pour des produits déjà mis à disposition dans l’UE. La plupart des autres obligations s’appliquent à partir du 11 décembre 2027. Le budget 2026 doit déjà couvrir la notification.
La catégorie du produit détermine la voie et le budget
Au titre de l’article 32, confrontez les fonctions principales aux annexes III et IV et aux descriptions techniques officielles. Ce tableau oriente le budget, mais ne constitue pas une classification définitive.
| Catégorie | Voie d’évaluation possible | Effet budgétaire |
|---|---|---|
| Produits courants | Le contrôle interne du fabricant (module A) est généralement possible. | Analyse des risques, preuves techniques et dossier ; les essais externes ne sont pas systématiquement obligatoires. |
| Produits importants de classe I | Contrôle interne seulement avec normes harmonisées pertinentes, spécifications communes ou schéma européen de certification de cybersécurité admissible ; sinon organisme notifié. Vérifier l’exception des logiciels libres. | Chiffrer deux voies tant que les conditions ne sont pas vérifiées : interne et tierce. |
| Produits importants de classe II / produits critiques | Organisme notifié ou, si légalement disponible et applicable, schéma européen de certification de cybersécurité. Examiner l’exception relative à certains logiciels libres importants. | Préciser périmètre, module, variantes et nouveaux essais ; la seule déclaration interne peut être insuffisante. |
Construire un tableau des postes de dépenses
Séparez les dépenses initiales des charges sur la durée de vie ; documentez responsable, quantité et preuve.
| Poste | Facteur de coût | Pièce à demander |
|---|---|---|
| Classification et analyse des écarts | Usage, fonctions de sécurité, composants et contrôles existants. | Périmètre, voie réglementaire et hypothèses écrites. |
| Corrections et dossier technique | Conception sécurisée, risques, vulnérabilités, fournisseurs et notices. | Lots de travaux, jours-hommes et critères de recette. |
| Tests et nouveaux essais | Interfaces, menaces, environnement, échantillons, versions logicielles. | Plan d’essai, nombre d’échantillons, corrections et coût de reprise. |
| Évaluation de conformité externe | Uniquement si requise ou choisie ; modules B+C et H de périmètres différents. | Notification CRA de l’organisme, livrables, suivi et frais de changement. |
| Production et versions | Sites, sous-traitants, déclinaisons et validation des mises à jour. | Contrôles de site réellement prévus ; pas d’audit d’usine universel. |
| Cybersécurité après mise sur le marché et rôles dans l’UE | Durée de support, veille, correctifs, signalements et services réels d’importation/représentation. | Budget annuel et responsabilités contractuelles. |
Trois scénarios budgétaires, sans prix garanti
- Logiciel courant avec processus de sécurité matures — Coût d’évaluation externe potentiellement limité ; priorité aux écarts, preuves et dispositif d’alerte et de mises à jour.
- Classe I avec normes applicables incertaines — Deux budgets : contrôle interne admissible ou organisme notifié sinon. Vérifier le statut des normes avant prix ferme.
- Gamme d’appareils connectés de classe II avec mises à jour fréquentes du micrologiciel — Prévoir tierce évaluation ou régime éligible disponible, échantillons représentatifs et prix des changements et nouveaux essais ; justifier les preuves mutualisées.
Données nécessaires à un devis sérieux
Sans ces informations, un prix chiffré demeure une hypothèse non engageante.
- Fabricant, marque, circuit de vente UE, importateur ou mandataire éventuel et répartition des rôles.
- Description, usage prévu, fonctions principales, connexion, environnement et marchés.
- Classe CRA justifiée ; normes, spécifications communes ou schéma de certification de cybersécurité et vérification de leur applicabilité.
- Versions, variantes, fournisseurs, nomenclature logicielle (SBOM), dépendances tierces et traitement distant.
- Analyse de risques, essais, réponse aux incidents, vulnérabilités, correctifs et dossier disponibles.
- Durée du support, calendrier de versions, modifications substantielles possibles, échantillons et ressources.
Ordonner les dépenses et éviter les reprises
- Délimiter le produit et les incertitudes de qualification CRA ; ne pas acheter de certification d’abord.
- Vérifier la voie légale, les normes et schémas disponibles et l’habilitation de l’organisme sur le périmètre.
- Réutiliser les preuves fiables ; faire chiffrer seulement les écarts démontrés.
- Fixer par écrit critères d’entrée en essais, versions, échantillons, reprises, modifications et exclusions.
- Réserver séparément un budget de veille, correctifs, support et notification au titre de l’article 14.
Comparer les devis et prévoir les coûts récurrents
Exigez la distinction entre livrables fixes, options, travail interne, déplacements et contrôles sur site justifiés, nouveaux tests, suivi éventuel, taxes et support. Un « certificat CRA à X euros » sans classe ni périmètre n’est pas un devis comparable.
Pour la mise en œuvre, consultez les services de mise en conformité au CRA ; pour la classification et la stratégie, les prestations de conseil en classification CRA ; pour les autres régimes CE, les coûts du marquage CE. Ces questions doivent être distinguées.
Sources officielles
- Règlement (UE) 2024/2847 : articles 32 et 71, annexes
- Commission : synthèse CRA et évaluation de conformité
- Commission : obligations de notification
Questions fréquentes sur le coût du CRA
Le marquage CE ou la déclaration CRA impliquent-ils une taxe fixe ?
Le CRA ne prévoit pas de redevance générale pour l’apposition du marquage CE ou l’établissement de la déclaration UE de conformité. Les travaux internes ont un coût ; un organisme notifié peut facturer son évaluation lorsqu’il intervient.
Les essais en laboratoire sont-ils imposés à toute classe I ?
Non. Vérifiez la légalité du contrôle interne et les preuves nécessaires. Des essais indépendants peuvent néanmoins être utiles.
Un seul examen couvre-t-il toute une gamme ?
Seulement si la procédure, les similitudes documentées, les différences et le périmètre accepté le permettent. Chiffrez les variantes de produit, les modifications du micrologiciel et les éventuels nouveaux essais.
Le fabricant hors UE doit-il toujours payer un mandataire européen ?
Pas automatiquement. Un mandataire CRA peut être désigné par mandat écrit ; les obligations de l’importateur et des autres acteurs doivent être appréciées séparément.
Pourquoi prévoir des dépenses liées aux vulnérabilités avant décembre 2027 ?
Les obligations de signalement de l’article 14 s’appliquent depuis le 11 septembre 2026. Le dispositif de signalement doit donc être budgété, même si la plupart des autres exigences applicables aux produits prennent effet le 11 décembre 2027.