Services de mise en conformité au Cyber Resilience Act

Accompagner les fabricants tout au long du parcours de conformité au CRA, de la compréhension initiale à l’évaluation de conformité.

Le Cyber Resilience Act n’est pas encore entièrement obligatoire, mais ses obligations s’appliqueront progressivement. Les fabricants présentent différents niveaux de maturité en cybersécurité, et la préparation dépend de quand les obligations du CRA s’appliqueront et de dans quelle mesure les produits et les organisations sont déjà prêts. 

Liste de contrôle de conformité CRA : étapes clés pour les fabricants

• ✓ Identifier la classification de produit applicable (Default, Important Classe I/II, Critique)
• ✓ Déterminer la voie d’évaluation de conformité appropriée (Module A, B+C, H ou schéma CSA)
• ✓ Vérifier la disponibilité des normes harmonisées (hEN) pour les produits Importants
• ✓ Préparer la documentation technique
• ✓ Réaliser une auto‑évaluation ou faire appel à un organisme tiers
• ✓ Garantir la conformité aux exigences en cybersécurité et réglementaires
• ✓ Maintenir la documentation et les preuves de conformité

Comprendre la réglementation CRA

Lire le guide essentiel CRA

Commencez par comprendre le périmètre, les objectifs et la structure du Cyber Resilience Act, ainsi que les produits et opérateurs économiques concernés.

La conformité au CRA implique des obligations spécifiques sur l’ensemble du cycle de vie du produit, soutenues par des exigences essentielles en cybersécurité définissant ce que doivent respecter les produits avec éléments numériques en pratique. Obligations des fabricants CRA

Bien que la conformité complète ne soit obligatoire qu’en décembre 2027, la notification des vulnérabilités exploitées et des incidents graves deviendra obligatoire en septembre 2026. Obligations de reporting CRA (septembre 2026)

Identifier la classification de produit applicable et les voies potentielles de conformité

Dans le cadre du Cyber Resilience Act, les fabricants disposent de plusieurs voies d’évaluation de la conformité. Cependant, ce choix n’est pas totalement discrétionnaire. Le CRA définit clairement quelles voies de conformité sont applicables selon la catégorie du produit. 

Avant de sélectionner une voie de conformité au CRA, les fabricants doivent d’abord déterminer si leur produit entre dans le champ d’application du CRA et comment il est classé. Cette classification initiale limite ou permet directement les modules d’évaluation de la conformité disponibles.

Voies vers la conformité au CRA

• Module A – Contrôle interne : Le fabricant est seul responsable de garantir la conformité aux exigences essentielles de cybersécurité de l’annexe I. Il prépare la documentation technique et garantit des processus appropriés de conception, de développement, de production et de gestion des vulnérabilités. La déclaration de conformité est établie et le marquage CE apposé, la documentation étant conservée pendant au moins dix ans ou pendant la période de support.
• Module B – Examen UE de type: Un organisme notifié évalue la conception technique du produit et les processus de gestion des vulnérabilités sur la base de la documentation soumise. Il vérifie la conformité aux exigences essentielles et, en cas de résultat favorable, délivre un certificat d’examen UE de type pour le type de produit approuvé.
• Module C – Conformité au type sur la base du contrôle interne de la production: Le fabricant garantit que les unités produites sont conformes au type approuvé dans le cadre du module B et continuent de satisfaire aux exigences de cybersécurité. Des contrôles de production sont mis en œuvre, le marquage CE est apposé et la déclaration de conformité est établie et conservée pendant la période requise.
• Module H – Conformité sur la base de l’assurance qualité complète: Le fabricant met en œuvre un système de gestion de la qualité approuvé par un organisme notifié couvrant l’ensemble du cycle de vie du produit. L’organisme notifié évalue le système et effectue une surveillance continue afin de garantir le maintien de la conformité. Les produits portent le marquage CE et une déclaration de conformité. 
• Schéma CSA : Les produits, services ou processus TIC peuvent être certifiés dans le cadre des schémas européens de certification en cybersécurité définis dans le Cybersecurity Act. La certification est réalisée par des organismes accrédités ou des autorités nationales et confirme la conformité aux exigences définies. Les certificats sont valables dans tous les États membres de l’UE.

S’aligner dès maintenant pour la conformité au CRA, avec un futur organisme notifié

Applus+ Laboratories progresse dans le processus d’accréditation et de notification en tant qu’organisme notifié (NB) dans le cadre du Cyber Resilience Act. En attendant, les fabricants peuvent déjà commencer à préparer leurs produits et leur documentation technique pour l’évaluation de conformité au CRA, en particulier pour les voies impliquant une évaluation par un tiers telles que les modules B+C et le module H.

Une préparation anticipée permet aux fabricants d’évaluer à l’avance la conception du produit, les processus de gestion des vulnérabilités et les preuves associées, réduisant ainsi l’incertitude et évitant les reprises une fois que les évaluations formelles par organisme notifié auront commencé.