Laboratoire d'essais et conseil · Granges-Paccot

Réserver un appel

Formations · Cybersécurité des produits

Formation CRA et RED : la cybersécurité de vos produits

Le Cyber Resilience Act change la donne pour tous les fabricants de produits connectés, de machines et de logiciels. En une journée, comprenez ce que le CRA et la cybersécurité RED exigent de vous, apprenez à analyser les risques de votre produit et repartez avec une feuille de route jusqu'à décembre 2027. En français, avec un objet connecté comme fil rouge.

S’inscrireVoir le programme
Prochaines sessions
Début 2027
La journée, par participant
650 CHF
Application complète du CRA
11.12.2027
Les deux textes dans une même journée
CRA + RED

Prochaine session

La prochaine date

Les premières sessions auront lieu début 2027, un an avant l'application complète du CRA. Pré-inscrivez-vous sans engagement : nous vous informons dès que la date et le lieu sont fixés.

  • Cybersécurité des produits : CRA et RED

    650 CHFpar participant, la journée

    Prochaine sessionDébut 2027Suisse romande · pré-inscription ouverte
    Durée
    1 journée
    Langue
    Français
    Public
    Fabricants de produits connectés, de machines et de logiciels
    À emporter
    Support de cours et modèles de travail
    Se pré-inscrireLe détail

Prix par participant pour la journée. La pré-inscription se fait par e-mail, sans paiement. La formation existe aussi en intra-entreprise, sur votre propre produit.

Pourquoi maintenant

Le compte à rebours a commencé

La cybersécurité n'est plus une option pour les fabricants qui vendent en Europe. Une partie des obligations s'applique déjà ; le reste arrive en décembre 2027, et la Suisse prépare sa propre loi sur le modèle du CRA.

  • Depuis le 1er août 2025

    Les équipements radio connectés doivent satisfaire aux exigences de cybersécurité de la directive RED, aussi en Suisse.

    Règlement délégué (UE) 2022/30 ; OOIT, annexe 1

  • Depuis le 11 septembre 2026

    Les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves, même pour les produits déjà sur le marché.

    CRA, art. 14 et 69

  • Le 11 décembre 2027

    Toutes les obligations du CRA s’appliquent : exigences de conception, gestion des vulnérabilités, documentation et marquage CE.

    Règlement (UE) 2024/2847

Sources : règlement (UE) 2024/2847 ; règlement délégué (UE) 2022/30 ; OOIT, RS 784.101.21 ; communiqué du Conseil fédéral du 25 septembre 2026.

Pour qui

Pour qui

  • Fabricants d’objets connectés

    Wi-Fi, Bluetooth, cellulaire : domotique, capteurs, appareils pilotés par application.

  • Constructeurs de machines

    Machines connectées, télémaintenance, automates en réseau.

  • Éditeurs de logiciels et firmware

    Logiciels vendus comme produits, micrologiciels embarqués.

  • Qualité, produit et direction

    Ceux qui pilotent la conformité et signent la déclaration UE.

Le programme

Six temps pour passer du texte au produit

Le programme est donné à titre indicatif. Chaque partie s’appuie sur un même objet connecté fil rouge et se termine par les erreurs fréquentes.

Ingénieure examinant la carte électronique d’un objet connecté
Partie 1

Le cadre : qui est concerné et par quoi

Produits avec éléments numériques, fabricants, importateurs et distributeurs, exclusions. Le CRA, la cybersécurité RED, le règlement machines et leur articulation, le calendrier jusqu'en 2027 et la situation en Suisse. Les classes de produits (par défaut, importants, critiques) et la procédure d'évaluation qui en découle.

Ce que vous recevez

  • Exercice : quelle classe, quelle procédure ?
  • CRA, RED et règlement machines
  • La situation en Suisse

Références

  • Règlement (UE) 2024/2847
  • Directive 2014/53/UE
Puce électronique protégée par plusieurs couches de boucliers lumineux
Partie 2

Les exigences essentielles

Sécurité par défaut, mises à jour, contrôle d'accès, confidentialité et intégrité, minimisation des données, résilience, surface d'attaque, journalisation : ce que demande l'annexe I du CRA, et comment les mécanismes de l'EN 18031 y répondent pour les équipements radio.

Ce que vous recevez

  • Annexe I du CRA
  • Mécanismes de l’EN 18031
  • Restrictions au Journal officiel

Références

  • CRA, annexe I
  • EN 18031-1 à -3
Ingénieurs construisant une carte de scénarios de menaces avec des notes autocollantes autour d’un prototype
Partie 3

L’analyse de risques cyber

La base de toute la démarche : inventaire des actifs, menaces, scénarios d'attaque, cotation de la faisabilité et de l'impact, puis choix des mesures. Exercice en groupe sur l'objet connecté fil rouge, avec nos modèles de travail.

Ce que vous recevez

  • Méthode en étapes
  • Exercice en groupe
  • Modèles à réutiliser

Références

  • CRA, art. 13
  • EN 18031
Ingénieur examinant un inventaire de composants logiciels et une liste de vulnérabilités
Partie 4

Vulnérabilités, mises à jour et signalement

Ce qui change après la vente : nomenclature logicielle (SBOM), traitement des vulnérabilités, mises à jour de sécurité pendant la période d'assistance, divulgation coordonnée, et signalement à l'ENISA en 24 et 72 heures, déjà obligatoire depuis septembre 2026.

Ce que vous recevez

  • SBOM et composants tiers
  • Processus de vulnérabilités
  • Signalement 24 h / 72 h

Références

  • CRA, art. 13 et 14
  • CRA, annexe I, partie II
Caméra connectée ouverte reliée à un ordinateur pour une évaluation de sécurité
Partie 5

Évaluation de la conformité et dossier

Contrôle interne ou intervention d'un tiers, état des normes, documentation technique, déclaration UE de conformité, informations pour l'utilisateur et marquage CE. Ce que le dossier doit contenir et comment le tenir à jour pendant toute la période d'assistance.

Ce que vous recevez

  • Procédures d’évaluation
  • Documentation technique
  • Déclaration UE et marquage

Références

  • CRA, art. 31 et 32
  • CRA, annexes V et VII
Boucle lumineuse en forme d’infini jalonnée de points
Partie 6

Votre feuille de route

Pour finir, chacun applique la démarche à son propre produit : classe, exigences prioritaires, écarts probables et étapes jusqu'à décembre 2027. Vous repartez avec un plan d'action, pas seulement avec des connaissances.

Ce que vous recevez

  • Plan d’action pour votre produit
  • Priorités 2026–2027
  • Questions au formateur

Et aussi

Objectifs

Ce que vous saurez faire

Une journée pratique, avec un objet connecté fil rouge, des exercices et des modèles que vous réutilisez ensuite sur vos propres produits.

  • Savoir si vous êtes concerné

    Produit avec éléments numériques, rôle d’opérateur, exclusions, classe du produit et procédure d’évaluation.

  • Lire les exigences

    Les exigences essentielles du CRA et de la RED, et ce qu’elles signifient pour votre conception.

  • Analyser les risques

    Mener une analyse de risques cyber sur votre produit et en tirer les mesures.

  • Organiser l’après-vente

    Gestion des vulnérabilités, SBOM, mises à jour, signalement en 24 et 72 heures.

  • Constituer le dossier

    Documentation technique, déclaration UE, informations pour l’utilisateur.

  • Établir votre feuille de route

    Les priorités pour votre produit d’ici décembre 2027.

Notre méthode

Ce que vous savez faire le soir

  1. Situer votre produit

    Concerné ou non, classe, procédure, textes applicables.

  2. Analyser les risques

    Actifs, menaces, scénarios et mesures.

  3. Organiser l’après-vente

    Vulnérabilités, mises à jour et signalement.

  4. Planifier

    Une feuille de route jusqu’à décembre 2027.

Questions fréquentes

Questions fréquentes sur la formation

Une question avant de vous inscrire ? Écrivez-nous ou réservez un appel.

Réserver un appel
Mon produit est-il concerné par le CRA ?

Très probablement, s'il contient du logiciel et peut se connecter, directement ou indirectement, à un appareil ou à un réseau : objet connecté, machine, appareil électronique, logiciel vendu comme produit. Certains produits ont leur propre réglementation, comme les dispositifs médicaux ou les véhicules. La matinée de la formation sert justement à le déterminer pour votre produit.

Sources : Règlement (UE) 2024/2847, art. 2 et 3

Nous sommes une entreprise suisse : sommes-nous concernés ?

Oui, dès que vous vendez dans l'UE : le CRA s'applique aux produits mis sur le marché européen, quel que soit le lieu de fabrication. En Suisse, la cybersécurité RED s'applique déjà aux équipements radio, et le Conseil fédéral a chargé le DDPS d'élaborer d'ici juin 2027 un projet de loi fondé sur le CRA.

Sources : Règlement (UE) 2024/2847 ; OOIT, RS 784.101.21, annexe 1 ; communiqué du Conseil fédéral du 25.09.2026

Quelle différence entre la RED et le CRA ?

La cybersécurité de la directive RED s'applique depuis août 2025 aux équipements radio connectés, avec les normes EN 18031. Le CRA couvre tous les produits avec éléments numériques, ajoute la gestion des vulnérabilités et le signalement, et prendra le relais du volet cyber de la RED le 11 décembre 2027. La formation traite les deux, parce que vos produits sont souvent concernés par les deux.

Sources : Règlement délégué (UE) 2022/30 ; règlement (UE) 2024/2847

Faut-il des connaissances en cybersécurité ?

Non. Une culture technique de base en électronique, en logiciel ou en automatisme suffit. Les notions de sécurité nécessaires sont expliquées pendant la journée.

Pouvons-nous organiser la formation dans notre entreprise ?

Oui. En intra-entreprise, nous pouvons travailler directement sur votre produit : classe, exigences applicables et premières pistes d'analyse de risques. Contactez-nous pour un devis.

La formation rend-elle notre produit conforme ?

Non. Elle vous donne la méthode, les repères et une feuille de route. La conformité se démontre produit par produit, avec une analyse de risques, des mesures, des essais et une documentation. Nous pouvons vous accompagner ensuite si vous le souhaitez.

Réserver un appel

Une question sur la formation ?

Un appel de 30 minutes avec un ingénieur pour savoir si la journée répond à vos besoins.

Choisir un créneau

Coordonnées

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Téléphone
+41 79 737 37 93
Langues
Français, allemand, anglais
Réserver un appel