Cyber Resilience Act : votre guide pratique
Que vous soyez un fabricant de dispositifs américain cherchant à accéder au marché européen ou un fabricant européen gérant un portefeuille existant, le CRA change fondamentalement ce que signifie mettre sur le marché un produit connecté.
Cette page vous guide à travers les quatre phases de la mise en conformité: de la compréhension de la réglementation jusqu’à la maintenance de la conformité sur l’ensemble du cycle de vie du produit.
Explorez les 4 étapes de la conformité CRA
Etape 1 - Périmètre, exigences et échéances
Qui est concerné ? (Une réglementation à portée mondiale)
Le CRA s’applique à tout « Produit comportant des éléments numériques » (PDE) mis sur le marché européen, quel que soit le pays d’établissement du fabricant. En pratique : tout dispositif doté d’un processeur connecté à un réseau ou à un autre appareil. Cela couvre aussi bien un simple capteur qu’une passerelle industrielle ou un moniteur médical.
Pour les OEM américains et internationaux : l’accès au marché européen exige désormais une adaptation stratégique. Contrairement au contexte américain — qui repose largement sur des référentiels volontaires (NIST IR 8425, U.S. Cyber Trust Mark) — le CRA est un règlement juridiquement contraignant. Il introduit également une obligation de gestion des vulnérabilités et des exigences post-commercialisation, allant au-delà des initiatives telles que l’Executive Order 14028.
Classification technique (Annexe III)
Par défaut (majorité des produits) :
La plupart des produits relèvent de cette catégorie et suivent un processus d’évaluation de conformité par auto-évaluation.
Produits Importants:
- Class I : Inclut les systèmes de gestion d’identité, les navigateurs et certains composants liés aux réseaux. Ces produits peuvent être évalués sans tierce partie en suivant une norme harmonisée.
- Class II : Inclut les systèmes d’exploitation (Linux/RTOS), les hyperviseurs et l’infrastructure cryptographique. Ces produits nécessitent obligatoirement une évaluation par un organisme tiers notifié.
Produits critiques :
Cartes à puce, compteurs intelligents, HSM : ces produits requièrent une évaluation externe conforme à un schéma européen de certification en cybersécurité (EUCC).
Les 15 exigences techniques essentielles (Annexe I)
- Sécurité par défaut : Surface d’attaque minimale et absence de mots de passe génériques par défaut
- Contrôle d’accès: Authentification robuste et prévention des accès non autorisés
- Confidentialité : Chiffrement adapté des données au repos et en transit
- Intégrité : Mécanismes tels que le Secure Boot pour prévenir l’exécution de code non autorisé
- Minimisation des données: Traitement des seules données nécessaires à la finalité du produit
- Gestion des vulnérabilités: Processus d’identification, de gestion et de correction des vulnérabilités tout au long du cycle de vie
- Développement & livraison sécurisés: Absence de vulnérabilités exploitables connues lors de la mise sur le marché
- SBOM: Capacité à fournir une nomenclature logicielle (lisible par machine le cas échéant)
- Mises à jour: Capacité à distribuer des mises à jour de sécurité de manière sûre et fiable
- Décommissionnement sécurisé: Capacité à effacer ou protéger les données utilisateur en fin de vie
- Notification d’incidents: Signalement des vulnérabilités activement exploitées aux autorités compétentes dans les délais requis (notification initiale sous 24h)
- Disponibilité & résilience : Protéger la disponibilité des fonctions essentielles et de base, également après un incident, notamment par des mesures de résilience et d’atténuation contre les attaques par déni de service
- Protection du réseau: Réduire au minimum l’impact négatif des produits eux-mêmes ou des appareils connectés sur la disponibilité des services fournis par d’autres dispositifs ou réseaux
- Limitation de la surface d’attaque: Être conçu, développé et produit de manière à limiter les surfaces d’attaque, y compris les interfaces externes
- Surveillance de la sécurité: Fournir des informations liées à la sécurité en enregistrant et en surveillant les activités internes pertinentes, notamment l’accès ou la modification de données, de services ou de fonctions, avec un mécanisme de désinscription pour l’utilisateur
Échéances clés
CRA vs. RED : le changement de paradigme
De nombreux fabricants sont actuellement focalisés sur la Directive sur les équipements radio (RED) Article 3.3 (obligatoire depuis 2025). Alors que la RED porte sur les interfaces sans fil, le CRA étend des principes de sécurité similaires à l’ensemble des produits comportant des éléments numériques.
À noter : à compter de décembre 2027, le CRA remplacera les exigences en matière de cybersécurité de la RED (l’acte délégué RED). Satisfaire aux exigences RED constitue un point de départ solide, mais le CRA introduit des obligations plus larges et plus strictes, notamment en matière de gestion des vulnérabilités, de sécurité tout au long du cycle de vie et de transparence logicielle (SBOM).
Le CRA en 2 minutes!
Découvrez
nos autres ressources
Etape 2 - Stratégie & Risk Assessment
Le CRA impose une évaluation des risques de cybersécurité documentée. Chez Witekio, nous transformons cette exigence légale en une feuille de route technique en trois étapes, avec une approche pragmatique visant à vous permettre d’atteindre la conformité sans bloquer votre R&D
Cartographie des vecteurs d’attaque
Analyse d’impact des contre-mesures
Définition des objectifs de sécurité
Cyber Resilience Act – Évitez les pénalités et renforcez votre sécurité
Etape 3 - Security by Design
architecture et sécurité
Validation & SBOM
support LTS et OTA
Explorez
Nos autres ressources
Etape 4 -Maintenance long terme & gestion des CVE
Le CRA oblige les fabricants à assurer le support sécurité pendant toute la durée du cycle de vie du produit, pour une durée alignée sur l’usage attendu du produit (pouvant s’étendre plusieurs années après sa mise sur le marché). Witekio fournit l’infrastructure nécessaire pour absorber cette charge :
Surveillance en continu
Triage spécifique au matériel
Gestion des correctifs sur la du
Vous ne savez pas par où commencer ?
We transform your device vision into reality
4 pays
Certifiés ISO 27001
