Laboratoire d'essais et conseil · Granges-Paccot

Réserver un appel

Règlement (UE) 2024/2847

Cyber Resilience Act (CRA)

Le Cyber Resilience Act impose des exigences de cybersécurité à presque tous les produits matériels et logiciels qui comportent des éléments numériques, vendus dans l'UE. Le signalement des vulnérabilités s'applique depuis le 11 septembre 2026, l'ensemble du règlement à partir du 11 décembre 2027. Säfeli évalue votre produit, met en place avec vous les processus exigés et prépare la documentation technique.

Réserver un appel de 30 minVoir nos prestations
Signalement des vulnérabilités
11.09.2026
Application complète
11.12.2027
Délais de signalement
24 h · 72 h
Amende maximale ou 2,5 % du CA
15 M€

Pour qui

Qui est concerné

  • Fabricants de produits matériels

    Objets connectés, machines, équipements électroniques, composants avec logiciel.

  • Éditeurs de logiciels

    Logiciels mis sur le marché comme produits, applications livrées avec un appareil.

  • Importateurs et distributeurs

    Vérifier le marquage CE, la documentation et les obligations du fabricant.

  • Intégrateurs de composants

    Diligence raisonnable sur les composants tiers et les logiciels libres intégrés.

Nos prestations

Votre mise en conformité au CRA, étape par étape

Du champ d’application à la documentation technique, avec les processus qui doivent fonctionner pendant toute la période d’assistance.

Ingénieure examinant la carte électronique d’un objet connecté
Champ et classe

Êtes-vous concerné ? Champ et classe du produit

Connexion de données directe ou indirecte, traitement à distance, exclusions sectorielles, produit par défaut, important de classe I ou II, ou critique : nous déterminons si le CRA s'applique à votre produit et quelle procédure d'évaluation suivre.

Ce que vous recevez

  • Analyse du champ d’application
  • Classe du produit et procédure d’évaluation
  • Calendrier de mise en conformité

Références

  • CRA, art. 2, 3, 7 et 8
  • CRA, annexes III et IV
Puce électronique protégée par plusieurs couches de boucliers lumineux
Exigences essentielles

Analyse de risques et exigences de conception

Sur la base d'une analyse des risques de cybersécurité, nous vérifions chaque exigence de l'annexe I : sécurité par défaut, contrôle d'accès, chiffrement, intégrité, minimisation des données, résilience, surface d'attaque, journalisation, effacement sûr des données.

Ce que vous recevez

  • Analyse des risques de cybersécurité documentée
  • Tableau des exigences et justifications
  • Écarts et mesures de conception

Références

  • CRA, art. 13, par. 2 à 4
  • CRA, annexe I, partie I
L’analyse de menaces (TARA)
Ingénieur examinant un inventaire de composants logiciels et une liste de vulnérabilités
Vulnérabilités

Gestion des vulnérabilités et SBOM

Nomenclature logicielle (SBOM), tests de sécurité réguliers, politique de divulgation coordonnée, distribution sécurisée des mises à jour, signalement à l'ENISA : nous mettons en place avec vous les processus qui doivent fonctionner pendant toute la période d'assistance.

Ce que vous recevez

  • SBOM et inventaire des composants
  • Politique de divulgation coordonnée
  • Processus de signalement 24 h, 72 h et rapport final

Références

  • CRA, annexe I, partie II
  • CRA, art. 14
Consultant comparant un dossier technique à une liste d’exigences
Documentation

Documentation technique et déclaration UE

Description, architecture, analyse de risques, processus de gestion des vulnérabilités, justification de la période d'assistance, normes appliquées, rapports d'essais : nous constituons la documentation de l'annexe VII et préparons la déclaration UE de conformité.

Ce que vous recevez

  • Documentation technique selon l’annexe VII
  • Informations et instructions pour l’utilisateur
  • Déclaration UE de conformité

Références

  • CRA, annexe VII
  • CRA, art. 28

Et aussi

Dates et obligations

Le CRA en dates et en obligations

Le règlement est entré en vigueur le 10 décembre 2024. Ses obligations s'appliquent par étapes, et certaines concernent aussi les produits déjà vendus.

  1. 10.12.2024Entrée en vigueur
  2. 11.06.2026Règles sur les organismes notifiés
  3. 11.09.2026Signalement des vulnérabilités et incidents
  4. 11.12.2027Application complète

  • Vulnérabilité activement exploitée

    Alerte précoce en 24 heures, notification en 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’un correctif.

    CRA, art. 14

  • Incident grave

    Alerte précoce en 24 heures, notification en 72 heures, rapport final un mois après la notification, via la plateforme de l’ENISA.

    CRA, art. 14 et 16

  • Période d’assistance

    Fixée selon la durée d’utilisation attendue du produit, au moins cinq ans sauf durée d’utilisation plus courte, avec des mises à jour de sécurité gratuites.

    CRA, art. 13, par. 8 ; annexe I, partie II

  • Conservation

    Documentation technique et déclaration UE conservées au moins dix ans, ou pendant la période d’assistance si elle est plus longue.

    CRA, art. 13, par. 13

  • Produits déjà sur le marché

    Soumis au CRA seulement en cas de modification substantielle après le 11 décembre 2027, mais l’obligation de signalement s’applique à tous.

    CRA, art. 69

  • Sanctions

    Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial pour le non-respect des exigences essentielles et des obligations principales.

    CRA, art. 64

Sources : règlement (UE) 2024/2847, art. 13, 14, 16, 64, 69 et 71.

Annexe I

Les exigences essentielles de conception

Treize propriétés de sécurité, à mettre en œuvre selon l'analyse de risques. Chaque exigence écartée doit être justifiée.

  • Sécurisé par défaut et mis à jour

    Aucune vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, mises à jour de sécurité, automatiques par défaut.

    Annexe I, partie I, point 2 a) à c)

  • Contrôle d’accès

    Authentification et gestion des identités et des accès adaptées, signalement des accès non autorisés possibles.

    Annexe I, partie I, point 2 d)

  • Confidentialité et intégrité

    Chiffrement des données au repos et en transit, intégrité des données, des commandes, des programmes et de la configuration.

    Annexe I, partie I, point 2 e) et f)

  • Données minimales, effacement sûr

    Ne traiter que les données nécessaires à l’usage prévu, permettre de supprimer durablement données et paramètres.

    Annexe I, partie I, point 2 g) et m)

  • Disponibilité et résilience

    Préserver les fonctions essentielles, y compris face aux attaques par déni de service, sans perturber les autres appareils ou réseaux.

    Annexe I, partie I, point 2 h) et i)

  • Surface d’attaque et surveillance

    Limiter les interfaces exposées, réduire l’impact d’un incident, journaliser et surveiller les activités internes pertinentes.

    Annexe I, partie I, point 2 j) à l)

Normes

Les normes du CRA

Les normes harmonisées du CRA sont en cours d'élaboration. En attendant, l'EN 18031 et la série IEC 62443 servent de base solide.

TypeNormeObjet
CRAFprEN 40000-1-2*Principes, gestion des risques produit et activités du cycle de vie (en approbation)
CRAprEN 40000-1-3*Gestion des vulnérabilités (en approbation)
CRAprEN 40000-1-4*Exigences génériques de sécurité (publication prévue en 2027)
CRANormes verticales ETSI et CENELEC*Produits importants et critiques (publication prévue fin 2026 à mi-2027)
REDEN 18031-1, -2 et -3:2024Cybersécurité des équipements radio, harmonisées pour la directive RED
IndustrieIEC 62443-4-1:2018Cycle de développement sécurisé des produits
IndustrieIEC 62443-4-2:2019Exigences techniques de sécurité des composants
IoTETSI EN 303 645 V3.1.3Cybersécurité de l'IoT grand public

* Projets en cours au CEN et au CENELEC au 1er octobre 2026 ; calendrier susceptible d'évoluer. Seule la publication de la référence au Journal officiel donne la présomption de conformité au CRA (art. 27).

Classes de produits

Qui évalue la conformité ?

La procédure dépend de la classe du produit. Säfeli n'est pas un organisme notifié : nous préparons votre produit et votre dossier, quelle que soit la procédure.

  • Produit par défaut

    La grande majorité des produits. Le fabricant évalue lui-même la conformité (contrôle interne).

    CRA, art. 32, par. 1

  • Important, classe I

    Ex. routeurs, systèmes d’exploitation, gestionnaires de mots de passe, caméras de sécurité, serrures connectées, jouets connectés. Contrôle interne seulement avec des normes harmonisées appliquées entièrement.

    CRA, art. 32, par. 2 ; annexe III

  • Important, classe II

    Ex. hyperviseurs, pare-feu, systèmes de détection d’intrusion, microcontrôleurs inviolables. Évaluation par un tiers obligatoire.

    CRA, art. 32, par. 3 ; annexe III

  • Critique

    Boîtiers matériels de sécurité, passerelles de compteurs intelligents, cartes à puce. Certification européenne ou procédures de la classe II.

    CRA, art. 8 et 32, par. 4 ; annexe IV

Notre méthode

Votre mise en conformité au CRA en quatre étapes

  1. Appel de découverte

    Votre produit, ses connexions, vos marchés et votre calendrier. 30 minutes.

  2. Analyse des écarts

    Champ, classe, exigences essentielles, processus existants.

  3. Mise en conformité

    Analyse de risques, mesures de conception, SBOM, processus de vulnérabilités, tests.

  4. Dossier

    Documentation technique, instructions et déclaration UE de conformité.

Marché suisse

Le CRA et la Suisse

Le CRA s'applique à tout produit vendu dans l'UE, y compris par un fabricant suisse. En Suisse, le Conseil fédéral a décidé le 25 septembre 2026 de créer une loi fédérale sur la cybersécurité inspirée du CRA, avec un projet en consultation d'ici juin 2027 : se préparer au CRA, c'est aussi se préparer au futur droit suisse.

Source : OFCS, communiqué du 25.09.2026.

Questions fréquentes

Questions fréquentes sur le Cyber Resilience Act

Votre produit soulève une question particulière ? Posez-la directement à un ingénieur.

Réserver un appel
Qu’est-ce qu’un produit comportant des éléments numériques ?

Un produit matériel ou logiciel, y compris ses solutions de traitement de données à distance et ses composants vendus séparément, dont l'usage prévu ou raisonnablement prévisible comprend une connexion de données, directe ou indirecte, à un appareil ou à un réseau. Le traitement à distance couvert est celui dont l'absence empêcherait une fonction du produit.

Sources : Règlement (UE) 2024/2847, art. 2, par. 1, et art. 3

Mon produit est déjà vendu : que dois-je faire ?

Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au CRA qu'en cas de modification substantielle ultérieure. En revanche, l'obligation de signaler les vulnérabilités activement exploitées et les incidents graves s'applique à tous les produits depuis le 11 septembre 2026. Les nouvelles versions et les nouveaux produits doivent être conformes dès le 11 décembre 2027.

Sources : Règlement (UE) 2024/2847, art. 14, 69 et 71

Qu’est-ce qu’une SBOM ?

Une nomenclature des logiciels (software bill of materials) : la liste, lisible par une machine, des composants logiciels du produit, au moins de ses dépendances directes. Elle permet de savoir rapidement si une vulnérabilité publiée vous concerne. Elle fait partie de la documentation technique et doit être remise à l'autorité sur demande motivée ; vous n'êtes pas tenu de la publier.

Sources : Règlement (UE) 2024/2847, annexe I, partie II, point 1 ; annexe VII, point 8

Faut-il une analyse de risques ?

Oui. Le fabricant évalue les risques de cybersécurité de son produit, la documente et la met à jour pendant la période d'assistance. Elle tient compte de l'usage prévu et raisonnablement prévisible, des conditions d'utilisation et de la durée d'utilisation, et justifie quelles exigences de l'annexe I s'appliquent et comment.

Sources : Règlement (UE) 2024/2847, art. 13, par. 2 à 4

Existe-t-il déjà des normes harmonisées pour le CRA ?

Elles sont en préparation : la Commission a adressé le 3 février 2025 une demande de normalisation pour 41 normes, horizontales et verticales. Selon le calendrier prévisionnel des organismes européens de normalisation, les premières sont attendues en 2026, les exigences génériques en 2027. La présomption de conformité ne vaut qu'une fois la référence publiée au Journal officiel.

Sources : Décision d’exécution C(2025) 618 (M/606) ; règlement (UE) 2024/2847, art. 27

Le CRA concerne-t-il aussi les importateurs et les distributeurs ?

Oui. L'importateur et le distributeur vérifient notamment que le produit porte le marquage CE, que la documentation est disponible et que le fabricant a rempli ses obligations. Celui qui met un produit sur le marché sous son propre nom ou le modifie substantiellement devient fabricant.

Sources : Règlement (UE) 2024/2847, chapitre II

Le CRA s’applique-t-il en Suisse ?

Pas en tant que tel, mais il s'applique à tout produit vendu dans l'UE, y compris par un fabricant suisse. En Suisse, le Conseil fédéral a décidé le 25 septembre 2026 de créer une loi fédérale sur la cybersécurité inspirée du CRA ; un projet doit être mis en consultation d'ici juin 2027.

Sources : OFCS, communiqué du 25.09.2026

Réserver un appel

Parlez-nous de votre produit

Choisissez directement un créneau de 30 minutes avec un ingénieur. Pas d'échange d'e-mails : vous choisissez l'heure, nous préparons l'échange.

Choisir un créneau

Coordonnées

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Téléphone
+41 79 737 37 93
Langues
Français, allemand, anglais
Réserver un appel