Le CRA, de « est-ce que ça nous concerne ? » à un dossier technique que vous pouvez assumer.
La majeure partie du règlement sur la cyberrésilience s'applique à partir du 11 décembre 2027. Le signalement de l'article 14 s'applique depuis le 11 septembre 2026. SkyQon accompagne le fabricant à travers les questions dans leur ordre : est-ce que ça s'applique, dans quelle classe, que manque-t-il, et que faut-il écrire. Gratuit là où ça peut l'être, à prix fixe là où ça ne peut pas.
Pas un avis juridique. SkyQon ne certifie pas les produits, ne les teste pas et ne déclare pas la conformité : le fabricant déclare, et un organisme notifié intervient pour certaines classes.
Trois dates
Le règlement est entré en vigueur le 10 décembre 2024 et s'applique pleinement à partir du 11 décembre 2027 (art. 71, paragraphe 2). Deux parties sont arrivées plus tôt : le chapitre IV sur les organismes notifiés s'applique depuis le 11 juin 2026, et les obligations de signalement de l'article 14 depuis le 11 septembre 2026.
Les produits mis sur le marché avant le 11 décembre 2027 ne relèvent des autres obligations que s'ils font l'objet d'une modification substantielle après cette date (art. 69, paragraphe 2). Le signalement de l'article 14 s'applique à eux quoi qu'il en soit (art. 69, paragraphe 3) : une vulnérabilité activement exploitée dans un produit livré il y a des années déclenche déjà aujourd'hui une horloge de 24 heures.
Champ d'application
Qui est concerné, en termes simples
Le règlement s'applique aux produits comportant des éléments numériques mis à disposition sur le marché de l'UE dont la finalité prévue ou l'utilisation raisonnablement prévisible comprend une connexion de données directe ou indirecte à un dispositif ou à un réseau (art. 2, paragraphe 1). Un produit comportant des éléments numériques est un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément (art. 3, point 1).
Vous êtes le fabricant si vous développez ou fabriquez un tel produit, ou le faites concevoir, développer ou fabriquer, et le commercialisez sous votre propre nom ou marque, à titre onéreux ou gratuit (art. 3, point 13). La mise à disposition sur le marché désigne toute fourniture en vue de la distribution ou de l'utilisation dans le cadre d'une activité commerciale, à titre onéreux ou gratuit (art. 3, point 22). Un logiciel que vous offrez dans le cadre d'une activité commerciale compte.
Les principales exclusions
- Les dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro et les véhicules déjà couverts par leurs propres règles de réception par type de l'Union (art. 2, paragraphe 2).
- Les produits aéronautiques certifiés au titre des règles de l'Union en matière d'aviation civile (art. 2, paragraphe 3) ; les produits proches de l'aviation mais non certifiés sont un cas pour la vérification gratuite.
- Les équipements marins relevant des règles de l'Union sur les équipements marins (art. 2, paragraphe 4).
- Les produits couverts par d'autres règles de l'Union offrant un niveau de protection équivalent, exclus par acte délégué (art. 2, paragraphe 5). Aucun acte de ce type n'a été adopté (vérifié le 12 novembre 2026).
- Les pièces détachées fabriquées uniquement pour remplacer des composants identiques, selon les mêmes spécifications (art. 2, paragraphe 6).
- Les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou conçus pour traiter des informations classifiées (art. 2, paragraphe 7).
Trois cas que le texte ne règle pas en une ligne : un logiciel libre fourni en dehors d'une activité commerciale n'est pas concerné, un logiciel libre monétisé ou assorti d'un support commercial peut l'être, et une fondation peut relever du régime allégé des gestionnaires de logiciels libres (considérants 17 à 19, art. 3, point 14, art. 24) ; un importateur ou un distributeur qui vend sous son propre nom devient le fabricant (art. 21) ; et un produit ayant fait l'objet d'une modification substantielle après le 11 décembre 2027 est traité comme nouvellement mis sur le marché (art. 3, point 30, art. 69, paragraphe 2). La vérification gratuite répond à ces cas par « incertain, parlons-en » et l'article, pas par une supposition.
Le parcours, dans l'ordre
Chaque étape répond à la question dont la suivante a besoin. Commencez là où vous en êtes ; les deux premières sont gratuites et sans compte.
- 1. Vérification gratuite du champ et de la classeQuelques questions par produit : votre rôle, les exclusions, ce qu'est le produit, s'il est fourni commercialement, la catégorie de l'annexe III ou de l'annexe IV, la taille de votre entreprise, les normes que vous appliquez et la date d'arrivée du produit sur le marché. Vous obtenez les articles applicables et une classe candidate, ou « incertain » avec la raison. Lancer la vérification.
- 2. Auto-évaluation gratuite du signalementDouze questions sur la procédure de l'article 14, notées sur la page : qui prend connaissance, qui dépose, quel CSIRT, quelles preuves vous conservez. Faire l'auto-évaluation.
- 3. Le kit de signalement en 24 heuresLa procédure de l'article 14 répétée, les cinq modèles de dépôt, les avis aux utilisateurs en quatre langues et un script d'exercice de 90 minutes, installés en une semaine. Prix de lancement 99 €. Voir le kit.
- 4. Le module complémentaire Incident ReportingLes horloges de 24 heures, de 72 heures et du rapport final qui tournent dans le tableau de bord, avec des brouillons préremplis et un registre des dépôts que l'on ne peut qu'enrichir. Vous déposez ; SkyQon tient l'heure et la trace. Voir Incident Reporting.
- 5. Évaluation d'applicabilité et d'écarts CRA, 3 500 €Une conclusion écrite d'applicabilité et de classification par produit avec les articles cités, une liste d'écarts au regard de l'annexe I, parties I et II, et des devoirs de l'article 13, un plan par ordre de priorité, et un rapport signé dans votre chaîne de preuves. Voir l'évaluation.
- 6. Sprint de mise en œuvre CRA, à partir de 5 000 €Le squelette de la documentation technique, les informations destinées aux utilisateurs, le projet de déclaration que vous signez, le SBOM et le processus de traitement des vulnérabilités, la politique de divulgation et le security.txt, les preuves de mise à jour sécurisée et la période d'assistance. Devis à l'issue de l'évaluation. Voir le sprint.
- 7. CRA Product Evidence dans le tableau de bordLe registre des produits, l'analyse des écarts par produit avec pièces justificatives, le rapport de preuves produit signé, le rapprochement du SBOM, le journal de gestion des vulnérabilités, les preuves de mise à jour sécurisée et les projets de documents, en module complémentaire à partir de Pro, avec Incident Reporting inclus. Voir les sept modules.
Services
Deux services à périmètre fixe
Réalisés par l'équipe qui a écrit et répété la propre procédure de l'article 14 de SkyQon. Les deux se terminent par des preuves que vous conservez ; aucun par un certificat.
Le module complémentaire
Dans le tableau de bord
CRA Product Evidence conserve l'évaluation et le sprint comme un dossier vivant plutôt qu'un classeur : sept modules et un rapport signé par produit, sur la même chaîne de preuves que votre travail NIS2.
Comment ça marche, en quatre étapes
- 1. Enregistrer et classerAjoutez chaque produit, indiquez votre rôle et répondez aux questions de classification. La classe et les articles qui la justifient sont conservés avec le produit.
- 2. Déposer le SBOMUn fichier CycloneDX ou SPDX par version. SkyQon compare les composants chaque jour à OSV.dev et à la NVD, et ajoute CISA KEV et EPSS à chaque correspondance.
- 3. Traiter ce qui est trouvéTriez chaque correspondance, notez pourquoi elle vous concerne ou non, tenez le registre de réception et publiez des avis de sécurité. Une correspondance exploitée activement propose de lancer le délai de l'article 14 ; une personne décide.
- 4. Garder les preuvesMarquez chaque exigence de l'annexe I comme en place, partielle ou prévue, avec les fichiers joints, générez les projets de documents et scellez un rapport signé par produit.
Les sept modules
- Registre des produits. Chaque produit comportant des éléments numériques, son rôle (fabricant, marque propre, importateur), sa classe (par défaut, importante de classe I ou II, critique), la voie de conformité, la période d'assistance et le canal de réception. La classification applique les mêmes règles citées que le contrôle gratuit et est enregistrée par produit.
- Analyse des écarts par produit. Chaque exigence de l'annexe I, parties I et II, et chaque obligation de l'article 13 avec un statut (en place, partiel, planifié, ou non applicable avec la justification écrite que demande l'article 13, paragraphe 4), un responsable, une échéance, des pièces justificatives (PDF, images, texte) et l'historique complet.
- Rapport CRA Product Evidence signé. Par produit et par période : les statuts, les empreintes des pièces et la classification, sur votre chaîne de preuves existante à hachage chaîné et vérifiable sur la page publique de vérification comme tout rapport SkyQon. Le rapport de preuves NIS2 gagne une section par produit. Les lignes sont déclarées par le fabricant et consignées par SkyQon, jamais vérifiées par SkyQon.
- SBOM. Déposez un fichier CycloneDX ou SPDX (JSON) par version de produit, historique conservé. Les composants sont rapprochés chaque jour d'OSV.dev et de la NVD et enrichis avec CISA KEV et FIRST EPSS ; alertes pour les composants vulnérables et exploités activement. Seuls les identifiants de paquets quittent la plateforme. Une correspondance exploitée activement propose de lancer en un clic l'horloge de signalement de l'article 14 ; une personne décide, rien ne démarre tout seul.
- Gestion des vulnérabilités. La politique de divulgation coordonnée des vulnérabilités consignée, un contrôle du security.txt, un journal de réception et de correction horodaté à chaque étape (reçu, trié, correction en cours, corrigé, avis publié), et des avis de sécurité rédigés et exportés en Markdown ou HTML.
- Mises à jour sécurisées. Par produit : le mécanisme de mise à jour, si les mises à jour de sécurité sont séparées et gratuites, la période de disponibilité (article 13, paragraphe 9, dix ans), l'identité de signature du code (un certificat émis via Private CA Management ou un certificat que vous déposez) et la posture TLS du point de mise à jour.
- Générateur de documents. La documentation technique de l'annexe VII (avec la présentation simplifiée pour PME, signalée comme un format que la Commission n'a pas encore adopté au titre de l'article 33, paragraphe 5 : chaque élément reste requis), les informations destinées aux utilisateurs de l'annexe II et le projet de déclaration UE de conformité de l'annexe V, générés depuis le registre, modifiables, exportés en Word avec le bandeau « PROJET : le fabricant signe ; SkyQon ne déclare pas la conformité ». Versions conservées.
Commencez par le contrôle gratuit du champ d'application et de la classe, répétez le signalement avec le kit, obtenez la réponse par écrit avec l'évaluation, comblez les écarts dans le sprint, et conservez la trace dans le module complémentaire. Renseignez-vous sur le module complémentaire.
Intégrations
Fonctionne avec
Les formats SBOM et les sources de vulnérabilités que le module lit, et les outils vers lesquels le reste de SkyQon envoie.
- CycloneDX
- SPDX
- OSV.dev
- NVD
- CISA KEV
- FIRST EPSS
- Slack
- Microsoft Teams
- PagerDuty
- n8n
- Webhooks
- Splunk
- Microsoft Sentinel
- Jira (par e-mail)
- ServiceNow (par e-mail)
- HaloPSA
- Vanta
- Drata
- AWS Certificate Manager
- Cloudflare
- Amazon Route 53
- Azure DNS
- EJBCA
- Microsoft AD CS
- HashiCorp Vault
- AWS Private CA
- Tout fournisseur OIDC ou SAML, comme Okta ou Microsoft Entra ID
- SCIM
Chaque connexion de cette liste existe aujourd'hui dans SkyQon. Les noms de produits appartiennent à leurs propriétaires.
Dit avant de commencer
Ce que SkyQon ne fait pas
- Certifier, tester ou déclarer. Le fabricant établit la déclaration UE de conformité (art. 28) et appose le marquage CE (art. 30). Un organisme notifié intervient pour les produits importants sans normes harmonisées appliquées et pour les produits de classe II (art. 32). SkyQon produit des preuves et des documents ; il ne réalise pas d'évaluation de la conformité.
- Déposer vos signalements. Le kit et le module complémentaire tiennent la procédure, les horloges et la trace. C'est vous qui déposez sur la plateforme unique de signalement de l'ENISA.
- Donner un avis juridique. Pas un avis juridique. Les questions de champ contestées relèvent de votre conseil ; nos conclusions écrites citent les articles pour que cette conversation soit courte.
Questions fréquentes
Le CRA s'applique-t-il aux logiciels que nous offrons ?
Il le peut. La mise à disposition sur le marché désigne toute fourniture dans le cadre d'une activité commerciale, à titre onéreux ou gratuit (art. 3, point 22). Un logiciel gratuit fourni dans le cadre d'une activité commerciale est concerné ; un logiciel libre fourni en dehors d'une telle activité ne l'est pas, et les considérants 17 à 19 tracent cette frontière. La vérification gratuite signale ce cas comme un point à discuter.
Dans quelle classe est notre produit ?
La plupart des produits relèvent de la catégorie par défaut et le fabricant les évalue lui-même (art. 32, paragraphe 1). Les produits énumérés à l'annexe III sont importants, de classe I ou de classe II (art. 7) ; les produits énumérés à l'annexe IV sont critiques (art. 8). Le règlement d'exécution (UE) 2025/2392 donne les descriptions techniques de chaque catégorie. Intégrer un composant listé ne place pas, à lui seul, le produit qui le contient dans cette catégorie.
Pouvons-nous auto-évaluer un produit important de classe I ?
Uniquement en appliquant des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité qui couvrent les exigences (art. 32, paragraphe 2). Aucune norme harmonisée pour le CRA n'a encore été citée au Journal officiel (vérifié le 12 novembre 2026), donc aujourd'hui un produit de classe I a besoin d'un organisme notifié. Un produit de classe II en a toujours besoin (art. 32, paragraphe 3).
Devons-nous signaler pour un produit antérieur au règlement ?
Oui, au titre de l'article 14. Les produits mis sur le marché avant le 11 décembre 2027 ne sont visés par les autres obligations que s'ils font l'objet d'une modification substantielle après cette date (art. 69, paragraphe 2), mais les obligations de signalement s'appliquent à eux depuis le 11 septembre 2026 (art. 69, paragraphe 3).
Les petites entreprises sont-elles traitées différemment ?
À deux endroits. Les micro et petites entreprises sont exemptées d'amende pour le non-respect du délai de 24 heures de l'alerte précoce (art. 64, paragraphe 10, point a)), et elles pourront utiliser un formulaire simplifié de documentation technique une fois que la Commission l'aura adopté (art. 33, paragraphe 5). Ce formulaire n'a pas encore été adopté, et chaque élément de l'annexe VII reste exigé.
Texte officiel: Regulation (EU) 2024/2847 · Lire le guide CRA complet
Commencez par la vérification gratuite
Dix minutes par produit, les articles cités, et un « incertain » clair là où le texte ne tranche pas. Réservez ensuite l'évaluation si vous voulez la réponse par écrit.