Aller au contenu
EU Rules Finder
Français (Langue)

Checklist du Cyber Resilience Act : votre score de préparation au CRA

Le règlement sur la cyberrésilience (Cyber Resilience Act) impose au fabricant d’un produit comportant des éléments numériques une série d’obligations : notifications, exigences de sécurité du produit, gestion des vulnérabilités et documents. Répondez à chacune pour votre produit et voyez où vous en êtes et ce qui reste ouvert, avec l’article de chaque point.

Vérifié par rapport aux sources le 17 octobre 2026

Votre préparation au CRA

Répondez à chaque ligne pour un produit. Le score ne compte que vos réponses ; rien n’est vérifié, envoyé ni conservé.

Obligations de notification (article 14) : à partir du 11 septembre 2026, y compris pour les produits déjà sur le marché
Exigences relatives au produit (annexe I, partie I) : à partir du 11 décembre 2027

« Ne s’applique pas » seulement si votre évaluation des risques de cybersécurité le montre, avec la justification dans la documentation technique (article 13, paragraphe 4).

Gestion des vulnérabilités (annexe I, partie II) : à partir du 11 décembre 2027
Obligations des fabricants (article 13) : à partir du 11 décembre 2027

Préparation : 0 %

Fait : 0 sur 38 lignes applicables

Sans réponse : 38 (comptées comme non faites)

Par domaine

  • Notifications0%
  • Exigences relatives au produit0%
  • Gestion des vulnérabilités0%
  • Obligations des fabricants0%

Points encore ouverts

  • Vulnérabilités activement exploitées : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’une correction, par la plateforme unique de signalement (Article 14(1), (2); Sans réponse) Registre des signalements CRA
  • Incidents graves ayant des répercussions sur la sécurité du produit : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d’un mois après la notification (Article 14(3) to (5); Sans réponse) Registre des signalements CRA
  • Vous savez quel CSIRT désigné comme coordinateur reçoit vos notifications : celui de l’État membre de votre établissement principal dans l’UE ou, à défaut, selon l’ordre de l’article 14, paragraphe 7 (Article 14(7); Sans réponse) Registre des signalements CRA
  • Les utilisateurs touchés, et le cas échéant tous les utilisateurs, sont informés de la vulnérabilité ou de l’incident et des mesures qu’ils peuvent prendre (Article 14(8); Sans réponse) Registre des signalements CRA
  • Cybersécurité adaptée aux risques (Annex I, Part I(1); Sans réponse)
  • Aucune vulnérabilité exploitable connue (Annex I, Part I(2)(a); Sans réponse)
  • Sécurisé par défaut, avec réinitialisation (Annex I, Part I(2)(b); Sans réponse)
  • Mises à jour de sécurité, automatiques par défaut (Annex I, Part I(2)(c); Sans réponse)
  • Protection contre l’accès non autorisé (Annex I, Part I(2)(d); Sans réponse)
  • Confidentialité des données (Annex I, Part I(2)(e); Sans réponse)
  • Intégrité des données, commandes et configuration (Annex I, Part I(2)(f); Sans réponse)
  • Minimisation des données (Annex I, Part I(2)(g); Sans réponse)
  • Disponibilité des fonctions essentielles (Annex I, Part I(2)(h); Sans réponse)
  • Impact limité sur les autres appareils et réseaux (Annex I, Part I(2)(i); Sans réponse)
  • Surfaces d’attaque limitées (Annex I, Part I(2)(j); Sans réponse)
  • Atténuation de l’exploitation (Annex I, Part I(2)(k); Sans réponse)
  • Journalisation et surveillance de sécurité, avec option de refus (Annex I, Part I(2)(l); Sans réponse)
  • Suppression sûre de toutes les données et de tous les paramètres (Annex I, Part I(2)(m); Sans réponse)
  • Vulnérabilités et composants recensés et documentés, avec une nomenclature des logiciels couvrant au moins les dépendances de niveau supérieur (Annex I, Part II(1); Sans réponse) Générateur de SBOM
  • Vulnérabilités gérées et corrigées sans retard, par des mises à jour de sécurité, distinctes des mises à jour de fonctionnalité lorsque c’est techniquement possible (Annex I, Part II(2); Sans réponse)
  • Essais et examens efficaces et réguliers de la sécurité du produit (Annex I, Part II(3); Sans réponse)
  • Vulnérabilités corrigées rendues publiques une fois la mise à jour de sécurité disponible (Annex I, Part II(4); Sans réponse)
  • Une politique de divulgation coordonnée des vulnérabilités, mise en place et appliquée (Annex I, Part II(5); Sans réponse)
  • Une adresse de contact pour signaler les vulnérabilités, et des mesures pour partager les informations à leur sujet, y compris sur les composants tiers (Annex I, Part II(6); Sans réponse)
  • Mises à jour distribuées de manière sécurisée, et automatiquement le cas échéant pour les mises à jour de sécurité (Annex I, Part II(7); Sans réponse)
  • Mises à jour de sécurité diffusées sans retard et gratuitement (sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure), avec des messages consultatifs (Annex I, Part II(8); Sans réponse)
  • Évaluation des risques de cybersécurité réalisée, documentée, mise à jour pendant la période d’assistance et incluse dans la documentation technique (Article 13(2) to (4); Sans réponse) Kit documentaire CRA (payant)
  • Diligence raisonnable sur les composants tiers, y compris les composants logiciels libres et ouverts ; les vulnérabilités qui y sont trouvées sont signalées à la personne ou l’entité qui fabrique le composant ou en assure la maintenance (Article 13(5), (6); Sans réponse)
  • Période d’assistance fixée selon la durée d’utilisation attendue du produit : au moins cinq ans, sauf si son utilisation attendue est plus courte (Article 13(8); Sans réponse)
  • Chaque mise à jour de sécurité reste disponible au moins 10 ans après sa publication, ou pour le reste de la période d’assistance si elle est plus longue (Article 13(9); Sans réponse)
  • Fin de la période d’assistance, au moins le mois et l’année, indiquée clairement au moment de l’achat (Article 13(19); Sans réponse)
  • Numéro de type, de lot ou de série sur le produit, ou sur l’emballage ou un document d’accompagnement si ce n’est pas possible (Article 13(15); Sans réponse)
  • Nom, adresse postale et adresse électronique ou autres coordonnées numériques sur le produit, l’emballage ou un document d’accompagnement, et un point de contact unique pour les utilisateurs (Article 13(16), (17); Sans réponse)
  • Informations et instructions destinées à l’utilisateur (annexe II) fournies avec le produit et tenues à disposition au moins 10 ans, ou pendant la période d’assistance si elle est plus longue (Article 13(18), Annex II; Sans réponse) Kit documentaire CRA (payant)
  • Documentation technique (annexe VII) établie avant la mise sur le marché du produit (Article 13(12), Article 31, Annex VII; Sans réponse) Kit documentaire CRA (payant)
  • Procédure d’évaluation de la conformité choisie et menée (article 32) ; les produits importants et critiques ont moins de voies (Article 13(12), Article 32; Sans réponse) Vérification de la classe CRA
  • Déclaration UE de conformité établie et marquage CE apposé ; une copie ou la déclaration simplifiée fournie avec le produit (Article 13(12), (20), Articles 28 and 30; Sans réponse) Kit documentaire CRA (payant)
  • Documentation technique et déclaration conservées au moins 10 ans après la mise sur le marché, ou pendant la période d’assistance si elle est plus longue (Article 13(13); Sans réponse)

Vos propres réponses, pas une évaluation : le score ne montre pas que le produit respecte le règlement.

Ce que couvre la vérification

  • Les obligations de notification (article 14) : vulnérabilités activement exploitées et incidents graves, au CSIRT désigné comme coordinateur et à l’ENISA par la plateforme unique de signalement, et information des utilisateurs.
  • Les exigences essentielles de cybersécurité du produit (annexe I, partie I) : une exigence générale et treize exigences particulières.
  • Les exigences relatives à la gestion des vulnérabilités (annexe I, partie II) : huit points, dont la nomenclature des logiciels.
  • Les autres obligations des fabricants (article 13) : évaluation des risques, composants, période d’assistance, mises à jour, marquages, informations pour l’utilisateur, documentation technique, évaluation de la conformité, déclaration et marquage CE, conservation des documents.

Dates

  • L’article 14 (notifications) s’applique à partir du 11 septembre 2026, y compris aux produits mis sur le marché avant le 11 décembre 2027 (article 69, paragraphe 3, et article 71, paragraphe 2).
  • Le reste du règlement s’applique à partir du 11 décembre 2027. Un produit mis sur le marché avant cette date n’y est soumis que s’il fait l’objet d’une modification substantielle à partir de cette date (article 69, paragraphe 2).

Comment le score est calculé

Seules les lignes répondues « Fait » comptent. « Fait en partie », « Pas commencé » et les lignes sans réponse comptent comme ouvertes, de sorte que le score ne montre jamais plus que ce que vous avez répondu. « Ne s’applique pas » retire une ligne du total ; ce choix n’existe que pour les exigences particulières de l’annexe I, partie I, point 2, qui s’appliquent sur la base de l’évaluation des risques de cybersécurité et le cas échéant, et la documentation technique doit en donner la justification (article 13, paragraphe 4). Le pourcentage est arrondi à l’unité inférieure.

Ce que la vérification ne fait pas

Elle ne teste ni n’évalue votre produit : le score compte vos propres réponses, et un score élevé ne montre pas que le produit respecte le règlement. Elle couvre les fabricants seulement, pas les importateurs (article 19), les distributeurs (article 20) ni les intendants de logiciels ouverts (article 24). Pour la classe de votre produit et sa procédure d’évaluation de la conformité, utilisez la vérification CRA ; pour les délais de notification, le registre des signalements CRA ; pour la nomenclature des logiciels, le générateur de SBOM.

Vos réponses ne quittent pas votre navigateur et ne sont pas conservées : recharger la page les efface. Copiez ou imprimez le résultat pour le garder.

Sources