À qui s’adresse Complass
Vous développez des logiciels, des firmwares, des applications ou des appareils connectés et les vendez dans l’UE. Depuis le 11 septembre 2026, vous devez notifier les vulnérabilités activement exploitées et les incidents graves au titre du règlement sur la cyberrésilience ; à partir du 11 décembre 2027, toutes les exigences applicables à vos produits s’appliquent. Complass vous accompagne produit par produit, de la classification au marquage CE, puis pendant la période de support.
Pour une vulnérabilité activement exploitée, vous disposez de 24 heures pour l’alerte précoce, y compris pour les produits présents depuis longtemps sur le marché. Cela n’est possible qu’avec un processus rodé.
Bibliothèques, open source et composants de fournisseurs : sans nomenclature logicielle à jour, impossible de dire quel produit est touché par une nouvelle vulnérabilité.
La directive RED, le CRA, le Data Act et, le cas échéant, le règlement sur l’IA s’articulent, avec leurs propres délais et régimes transitoires.
Le règlement sur la cyberrésilience s’applique aux produits comportant des éléments numériques qui peuvent être connectés à un appareil ou à un réseau, donc à la plupart des logiciels et à presque tous les appareils connectés. Sont notamment exclus les dispositifs médicaux et les véhicules disposant de leur propre réception par type.
Référentiels: CRA · Directive RED · IEC 62443 pour les fabricants · Data Act · Règlement sur l’IA
Vous ne savez pas quels référentiels s’appliquent à vous ? Lancer « Suis-je concerné ? »
Coûts, effort et délai : consultant uniquement, consultant avec Complass ou mise en œuvre interne avec Complass ? Ouvrir le calculateur des coûts de conformité
L’IA dans le produit. Si votre produit contient un système d’IA, vérifiez sa classification selon le règlement sur l’IA. Si l’IA est un composant de sécurité d’un produit qui, selon le droit de l’UE, nécessite une évaluation de la conformité par un tiers, elle peut être à haut risque. Les obligations de transparence, par exemple pour les chatbots, s’appliquent depuis le 2 août 2026. Art. 6 règlement sur l’IAArticle 6 AI Act Classification rules for high-risk AI systems1. Irrespective of whether an AI system is placed on the market or put into service independently of the products referred to in points (a) and (b), that AI system shall be considered to be high-risk where both of the following conditions are fulfilled: - (a) the AI system is intended to be used as a safety component of a product, or the AI system is itself a product, covered by the Union harmonisation legislation …Ouvrir l’original (EUR-Lex – consolidated version of 27.07.2026) ↗ Art. 50 règlement sur l’IAArticle 50 AI Act Transparency obligations for providers and deployers of certain AI systems1. Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use. This …Ouvrir l’original (EUR-Lex – consolidated version of 27.07.2026) ↗
Information générale, pas de conseil juridique. Cette page résume la situation juridique de manière simplifiée et ne remplace pas l’examen de votre cas particulier. Seul le texte des lois et des normes fait foi.
Logiciels standard, applications et firmware : nomenclature logicielle, mises à jour et notifications pendant toute la période de support.
Appareils domotiques, IoT et industriels avec fonction radio : aujourd’hui la directive RED, à partir de décembre 2027 le CRA.
Automates, passerelles et composants réseau ; les routeurs et autres composants réseau sont en partie considérés comme produit important, avec une procédure de conformité plus stricte. L’IEC 62443-4-1 et 4-2 constituent un cadre répandu.
Produits avec IA intégrée : classification selon le règlement sur l’IA en plus du CRA.
Classification, évaluation des risques, exigences de l’annexe I, documentation technique et déclaration de conformité, conduites par phases.
En savoir plus sur la fonctionImportez des nomenclatures logicielles (CycloneDX, SPDX), associez les vulnérabilités et les avis des fabricants (CSAF) et exportez la SBOM et le VEX pour les clients et les autorités.
En savoir plus sur la fonctionVulnérabilité activement exploitée ou incident grave : Complass affiche les trois étapes de notification avec leur délai et les informations requises.
En savoir plus sur la fonctionUn référentiel dédié aux fabricants avec des modèles pour le processus de développement, le modèle de menaces et le processus PSIRT, en lien avec le CRA.
Le modèle sectoriel « Fabricants » présélectionne le CRA, la directive sur les équipements radioélectriques et la gestion des vulnérabilités avec SBOM. Vous ajoutez le règlement sur l’IA si nécessaire.
disponible
à partir de 427 € par mois HT dans l’offre Start, taille S, paiement annuel
disponible
à partir de 79 € par mois HT dans l’offre Cabinet, taille S, paiement annuel
Tous les prix s’adressent aux entreprises, et non aux consommateurs. Ils s’entendent hors TVA, avec paiement annuel ; en cas de paiement mensuel, une majoration de 15 % s’applique. État au 16/10/2026. Enterprise et groupes d’entreprises sur demande.
Oui. Un logiciel vendu de manière autonome est lui aussi un produit comportant des éléments numériques. Les services cloud purs sans lien avec un produit ne relèvent en règle générale pas du CRA, mais de NIS2. En revanche, le traitement de données à distance sans lequel un produit ne peut pas remplir sa fonction fait partie du produit.
Vous devez notifier les vulnérabilités activement exploitées et les incidents de sécurité graves via la plateforme de notification unique, avec une alerte précoce sous 24 heures. Cela vaut aussi pour les produits que vous avez mis sur le marché avant cette date.
Cette série de normes n’est pas obligatoire, mais elle est souvent exigée pour les composants industriels. L’IEC 62443-4-1 décrit les exigences applicables à un processus de développement sécurisé, l’IEC 62443-4-2 les exigences techniques de sécurité applicables aux composants. Complass relie les deux aux exigences du CRA.
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
