Aller au contenu
EU Rules Finder
Français (Langue)

Kit documentaire CRA : documentation technique, évaluation des risques et déclarations en fichiers Word

À partir du 11 décembre 2027, tout produit comportant des éléments numériques vendu dans l’UE doit avoir une documentation technique, une évaluation des risques en matière de cybersécurité et une déclaration UE de conformité ; les obligations de signalement de l’article 14 s’appliquent déjà. Saisissez une fois votre entreprise et vos produits ; le kit rédige les documents prévus par le règlement sur la cyberrésilience, en fichiers Word à modifier et à conserver.

Vérifié par rapport aux sources le 16 octobre 2026

Fabricant (votre entreprise)
Mandataire dans l’UE (facultatif)

Uniquement si vous en avez désigné un par mandat écrit (article 18). Sinon, laissez vide.

Gestion des vulnérabilités
Une adresse e-mail ou un formulaire web : votre point de contact unique (article 13, paragraphe 17). Il figure aussi dans security.txt.
Une page web, par exemple https://example.com/security.
Par exemple : micrologiciel signé via HTTPS, automatique par défaut, utilisateurs prévenus dans l’application.

Produits

Produit 1
Tel qu’indiqué sur le produit, par exemple R-200.
Tel qu’indiqué sur le produit ou son emballage, pour qu’il puisse être identifié.
Versions du micrologiciel ou de l’application couvertes par ces documents.
À quoi il sert et qui l’utilise, par exemple une caméra Wi-Fi pour la maison.
Ce qu’il doit continuer à faire et comment il se protège, lui et ses données, par exemple diffusion vidéo, stockage chiffré, mises à jour signées.
Environnement d’exploitation, réseau, données et fonctions qu’un attaquant pourrait viser.
Y compris une mauvaise utilisation raisonnablement prévisible.
Par exemple : 7 ans.
Au moins cinq ans, ou la durée d’utilisation prévue si elle est plus courte (article 13, paragraphe 8).
Par exemple : la durée pendant laquelle les utilisateurs peuvent s’attendre à l’utiliser, et la durée de vie prévue du matériel.

Vous hésitez ? Le vérificateur de classe gratuit de la page sur le règlement sur la cyberrésilience vous le dit.

Laissez vide s’il n’y en a pas ; le fichier indique alors TO COMPLETE.
Qui a testé, numéro du rapport, date.
Nom et numéro de l’organisme et le certificat, s’il est intervenu.
Par exemple la directive 2014/53/UE sur les équipements radioélectriques.
La déclaration simplifiée indique cette adresse (annexe VI).
Une page web avec les informations et instructions destinées aux utilisateurs, si vous les publiez en ligne.
Seulement si vous choisissez de la mettre à leur disposition.
Exigences essentielles (annexe I, partie I)

Pour chaque exigence : s’applique-t-elle à ce produit, et comment l’avez-vous mise en œuvre, ou pourquoi ne s’applique-t-elle pas ? Les exigences sans réponse sont marquées TO COMPLETE. Les documents citent les exigences en entier.

Langues de la déclaration UE de conformité (vos pays de vente)

Rien de ce que vous saisissez n’est envoyé. Les coordonnées de votre entreprise restent dans ce navigateur pour la prochaine fois.

Le contenu des fichiers

  • la documentation technique de chaque produit, point par point selon l’annexe VII ;
  • l’évaluation des risques en matière de cybersécurité de l’article 13, avec chaque exigence essentielle de l’annexe I, partie I, citée en entier et votre réponse à côté : s’applique et comment, ou ne s’applique pas et pourquoi ;
  • la déclaration UE de conformité (annexe V) et la déclaration simplifiée (annexe VI) dans chaque langue choisie, selon le libellé publié au Journal officiel dans cette langue ;
  • les informations et instructions destinées à l’utilisateur prévues à l’annexe II, avec la fin de la période d’assistance en mois et année ;
  • pour l’entreprise : une politique de divulgation coordonnée des vulnérabilités, une procédure de gestion des vulnérabilités selon l’annexe I, partie II, la procédure de signalement de l’article 14 avec ses délais, un registre des vulnérabilités et un fichier security.txt pour votre site.

Ce que le kit ne fait pas

Il ne décide rien à votre place. La catégorie de votre produit et la procédure d’évaluation de la conformité sont votre choix ; le kit ne propose que les procédures que l’article 32 autorise pour la catégorie choisie. Ce que vous laissez vide est marqué TO COMPLETE. Le kit n’écrit jamais qu’une exigence est respectée, qu’un essai est réussi ou qu’une norme est appliquée : c’est votre évaluation de la conformité qui le montre, et pour les produits importants et critiques un organisme notifié.

Si le règlement couvre votre produit et dans quelle catégorie : la vérification gratuite de la page règlement sur la cyberrésilience. Signaler une vulnérabilité exploitée ou un incident grave : le registre des signalements CRA gratuit.

Rien de ce que vous saisissez ne quitte votre navigateur ; les fichiers sont créés sur votre appareil. Des modèles, pas un conseil juridique. Les déclarations citent le Journal officiel ; tout ce que vous saisissez reste tel quel et n’est pas traduit.

Sources