Complass – Navigate compliance Complass – Navigate compliance

référentiel

Règlement sur la cyberrésilience (UE) 2024/2847

Le règlement sur la cyberrésilience fixe des exigences pour les produits comportant des éléments numériques sur l’ensemble du cycle de vie. Complass vous guide produit par produit, de l’applicabilité au marquage CE.

Image fixe de la courte vidéo « La gestion de la conformité en 20 secondes »
La gestion de la conformité en 20 secondes Projet, prochaine étape, liste de contrôle, déclaration d’applicabilité, dossier d’audit. Beispieldaten der Demo-Firma.

Qu’est-ce que CRA?

Le règlement sur la cyberrésilience (CRA) est le règlement (UE) 2024/2847 concernant des exigences horizontales de cybersécurité pour les produits comportant des éléments numériques. Il impose la sécurité dès la conception, le traitement des vulnérabilités pendant toute la période de support, la notification des vulnérabilités activement exploitées et une évaluation de la conformité avec marquage CE.

État des contenus:

Suis-je concerné ?

Le CRA s’applique aux produits comportant des éléments numériques mis à disposition sur le marché de l’UE, c’est-à-dire aux matériels et logiciels dotés d’une connexion de données, tels que commandes, appareils et applications. Les obligations concernent principalement les fabricants, ainsi que les importateurs et distributeurs. Des exceptions s’appliquent notamment aux produits déjà couverts par certaines autres règles de l’UE.

Les obligations de notification au titre de l’art. 14 s’appliquent depuis le 11 septembre 2026, y compris pour les produits mis sur le marché avant cette date.

Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.

Base juridique

Dates clés

  1. Entrée en vigueur du règlement · Art. 71, par. 1Article 71 Règlement sur la cyberrésilience Entrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
  2. Le chapitre IV (organismes notifiés, art. 35 à 51) s’applique · Art. 71, par. 2Article 71 Règlement sur la cyberrésilience Entrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
  3. Les obligations de notification de l’art. 14 s’appliquent – y compris pour les produits existants · Art. 71, par. 2, art. 69, par. 3Article 71 Règlement sur la cyberrésilience Entrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
  4. EHR systems: conformity assessment under the EHDS Regulation (Art. 32(5a)); amendment of Art. 13(4) and Art. 31(3) · Art. 104 Regulation (EU) 2025/327Article 71 Règlement sur la cyberrésilience Entrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
  5. Application intégrale du règlement · Art. 71, par. 2Article 71 Règlement sur la cyberrésilience Entrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
  6. 24 heures / 72 heures / 14 jours Alerte précoce, notification et rapport final pour les vulnérabilités activement exploitées (rapport final 14 jours après la disponibilité d’un patch) · Art. 14 CRAArticle 14 Règlement sur la cyberrésilience Obligations en matière de communication d’informations incombant aux fabricants1. Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗

Calculer gratuitement les délais de notification pour votre cas

Comment Complass vous aide

  • 10phases
  • 33étapes guidées
  • 17modèles de documents
  • 32exigences dans le catalogue
  • Un projet par produit

    Dix phases, de l’applicabilité et du rôle à la déclaration de conformité, aux obligations après la mise sur le marché et à la responsabilité du fait des produits, en passant par la classification et l’évaluation des risques.

  • Catalogue pour l’annexe I

    Exigences essentielles de cybersécurité et traitement des vulnérabilités avec statut et preuves, pouvant être reliés à l’IEC 62443-3-3 et au règlement Machines.

  • Vulnérabilités de votre propre produit

    Importez la SBOM, rapprochez en continu les composants des données publiques sur les vulnérabilités et créez l’incident de l’art. 14 prérempli en cas d’exploitation active.

  • Documentation technique

    Modèles pour, entre autres, l’appréciation des risques, le concept de SBOM, le processus de traitement des vulnérabilités, la politique de divulgation, les informations à l’utilisateur selon l’annexe II et la déclaration UE de conformité.

Les phases du module

  1. Applicabilité, rôle et calendrier
  2. Description du produit, classification et procédure d’évaluation de la conformité
  3. Appréciation des risques de cybersécurité
  4. Exigences essentielles de cybersécurité pour le produit (annexe I, partie I)
  5. Gestion des vulnérabilités, SBOM et période de support (annexe I, partie II)
  6. Obligations de notification au titre de l’art. 14 (applicables depuis le 11 septembre 2026)
  7. Informations pour les utilisateurs et documentation technique
  8. Évaluation de la conformité, déclaration UE de conformité et marquage CE
  9. Obligations après la mise sur le marché
  10. Product liability under Directive (EU) 2024/2853

Catalogue: Annexe I – Exigences essentielles de cybersécurité

Modules associés

Dossier cyber CE par produit

Le CRA et le règlement Machines dans un seul dossier par produit et par version : exigences, SBOM, vulnérabilités, période de support. Complass prépare le brouillon de la documentation technique et de la déclaration UE de conformité.

Ce qu’il vous faut au minimum en tant que Fabricants

La première sélection couvre les obligations dans Complass, si elles s’appliquent à vous. Le contrôle d’applicabilité gratuit indique si c’est le cas. Vers le contrôle de concernement

Ce qu’il vous faut au minimum

Si vous êtes fabricant au sens du CRA : cette sélection couvre les obligations qui en découlent dans Complass. Elle est présélectionnée lorsque vous testez ou commandez.

Taille du portail Start

  • Cyber Resilience Act (CRA): Exigences essentielles, évaluation de conformité et marquage CE. (art. 13 CRA (s’ouvre dans un nouvel onglet))
  • Vulnérabilités et techniques d’attaque (SBOM, dossier produit CRA et MITRE ATT&CK inclus): Traiter les vulnérabilités et, pour les vulnérabilités activement exploitées, émettre une alerte précoce sous 24 heures. (Art. 14, annexe I, partie II CRA (s’ouvre dans un nouvel onglet))
  • Gestion des incidents: inclus
  • RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base): inclus
Prix de la sélection minimale
PostePrix net par mois
Start S179 €
Cyber Resilience Act (CRA)inclus
Vulnérabilités et techniques d’attaque (SBOM, dossier produit CRA et MITRE ATT&CK inclus)149 €
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)inclus
Total328 € HT/mois

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Ajuster la sélection dans l’aperçu des prix: Sélection minimale Fabricants

Si vous n’êtes qu’importateur ou distributeur (art. 19, 20 CRA), le référentiel CRA sans module Vulnérabilités suffit dans Complass : Start, 179 € net/mois. Qui propose des produits sous son propre nom ou les modifie substantiellement est considéré comme fabricant (art. 21, 22 CRA). Voir la sélection: Sélection minimale un importateur ou distributeur

Recommandé pour plus d’effet Offre, pas une obligation

Business

Plus d’effet avec Gestion des risques et Gestion de la continuité d’activité (BCM), de la place pour 10 utilisateurs et 2 référentiels.

598 € net/mois, 270 € de plus que la sélection minimale.

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Voir dans l’aperçu des tarifs: Sélection minimale Fabricants

Questions fréquentes

Nous construisons des machines avec une commande. Le CRA ou le règlement Machines s’applique-t-il ?

Souvent les deux. Complass montre les recoupements et relie les catalogues afin que vous ne fournissiez la preuve qu’une seule fois.

Complass transmet-il la notification à l’ENISA ?

Non. Complass calcule les délais et prépare le contenu ; vous transmettez la notification via la plateforme de notification.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.