référentiel · Règlement sur la cyberrésilience (UE) 2024/2847

CRA : Votre produit, votre dossier, tout au même endroit

Le règlement sur la cyberrésilience fixe des exigences pour les produits comportant des éléments numériques sur l’ensemble du cycle de vie. Complass vous guide produit par produit, de l’applicabilité au marquage CE.

Essayer gratuitement Demander une démo

Image fixe de la courte vidéo « La gestion de la conformité en 20 secondes » — **La gestion de la conformité en 20 secondes** Projet, prochaine étape, liste de contrôle, déclaration d’applicabilité, dossier d’audit. Beispieldaten der Demo-Firma.

Qu’est-ce que CRA?

Le règlement sur la cyberrésilience (CRA) est le règlement (UE) 2024/2847 concernant des exigences horizontales de cybersécurité pour les produits comportant des éléments numériques. Il impose la sécurité dès la conception, le traitement des vulnérabilités pendant toute la période de support, la notification des vulnérabilités activement exploitées et une évaluation de la conformité avec marquage CE.

État des contenus: 06.10.2026

Suis-je concerné ?

Le CRA s’applique aux produits comportant des éléments numériques mis à disposition sur le marché de l’UE, c’est-à-dire aux matériels et logiciels dotés d’une connexion de données, tels que commandes, appareils et applications. Les obligations concernent principalement les fabricants, ainsi que les importateurs et distributeurs. Des exceptions s’appliquent notamment aux produits déjà couverts par certaines autres règles de l’UE.

Les obligations de notification au titre de l’art. 14 s’appliquent depuis le 11 septembre 2026, y compris pour les produits mis sur le marché avant cette date.

Vérifier gratuitement si CRA s’applique En quelques minutes, sans inscription.

Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.

Base juridique

Dates clés

Calculer gratuitement les délais de notification pour votre cas

Product compliance: CE cyber file, SBOM, CSAF and exchange with customers

Comment Complass vous aide

10phases
33étapes guidées
17modèles de documents
32exigences dans le catalogue

Un projet par produit
Dix phases, de l’applicabilité et du rôle à la déclaration de conformité, aux obligations après la mise sur le marché et à la responsabilité du fait des produits, en passant par la classification et l’évaluation des risques.
Catalogue pour l’annexe I
Exigences essentielles de cybersécurité et traitement des vulnérabilités avec statut et preuves, pouvant être reliés à l’IEC 62443-3-3 et au règlement Machines.
Vulnérabilités de votre propre produit
Importez la SBOM, rapprochez en continu les composants des données publiques sur les vulnérabilités et créez l’incident de l’art. 14 prérempli en cas d’exploitation active.
Documentation technique
Modèles pour, entre autres, l’appréciation des risques, le concept de SBOM, le processus de traitement des vulnérabilités, la politique de divulgation, les informations à l’utilisateur selon l’annexe II et la déclaration UE de conformité.

Voir dans la visite guidée

Les phases du module

Applicabilité, rôle et calendrier
Description du produit, classification et procédure d’évaluation de la conformité
Appréciation des risques de cybersécurité
Exigences essentielles de cybersécurité pour le produit (annexe I, partie I)
Gestion des vulnérabilités, SBOM et période de support (annexe I, partie II)
Obligations de notification au titre de l’art. 14 (applicables depuis le 11 septembre 2026)
Informations pour les utilisateurs et documentation technique
Évaluation de la conformité, déclaration UE de conformité et marquage CE
Obligations après la mise sur le marché
Product liability under Directive (EU) 2024/2853

Catalogue: Annexe I – Exigences essentielles de cybersécurité

Dossier cyber CE par produit

The CRA and the Machinery Regulation in one file per product and version: requirements, SBOM, vulnerabilities, support period. Complass drafts the technical documentation and the EU declaration of conformity.

Ce qu’il vous faut au minimum en tant que Fabricants

Si vous êtes fabricant au sens du CRA, cette sélection couvre les obligations dans Complass. Le contrôle d’applicabilité gratuit vous le dit.

Sélection minimale Fabricants

Forfait Start, taille S, avec Vulnérabilités et techniques d’attaque

348 € HT par mois

Cyber Resilience Act (CRA): Exigences essentielles, évaluation de conformité et marquage CE. (art. 13 CRA (s’ouvre dans un nouvel onglet))
Vulnérabilités et techniques d’attaque (SBOM, dossier produit CRA et MITRE ATT&CK inclus): Traiter les vulnérabilités et, pour les vulnérabilités activement exploitées, émettre une alerte précoce sous 24 heures. (Art. 14, annexe I, partie II CRA (s’ouvre dans un nouvel onglet))+ 149 €
Gestion des incidents
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)

Essai gratuit de 14 jours Commander

Si vous n’êtes qu’importateur ou distributeur (art. 19, 20 CRA), le référentiel CRA sans module Vulnérabilités suffit dans Complass : Start, 199 € net/mois. Qui propose des produits sous son propre nom ou les modifie substantiellement est considéré comme fabricant (art. 21, 22 CRA). Voir la sélection: Sélection minimale un importateur ou distributeur

Recommandé

Business

739 € HT par mois

Plus d’effet avec Gestion des actifs et zones, Supplier Management et Gestion de la continuité d’activité (BCM), de la place pour 10 utilisateurs et 2 référentiels.

Essayer Business

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 06/11/2026. Tous les forfaits et modules dans l’aperçu des tarifs

Vous pouvez aussi remplir les obligations sans Complass. Complass aide à la mise en œuvre et à la preuve et ne remplace pas un conseil juridique. Mentions juridiques

Questions fréquentes

Nous construisons des machines avec une commande. Le CRA ou le règlement Machines s’applique-t-il ?

Souvent les deux. Complass montre les recoupements et relie les catalogues afin que vous ne fournissiez la preuve qu’une seule fois.

Complass transmet-il la notification à l’ENISA ?

Non. Complass calcule les délais et prépare le contenu ; vous transmettez la notification via la plateforme de notification.

Guide Cyber Resilience Act for software makers: setting up SBOM, vulnerability handling and the 24-hour report

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.