Vous développez des machines, des automates, des composants ou des logiciels et les mettez sur le marché de l’UE. Avec le règlement sur la cyberrésilience et le règlement Machines, la cybersécurité devient partie intégrante du marquage CE. Complass vous guide, produit par produit, jusqu’à la déclaration de conformité.
Notifier les vulnérabilités activement exploitées et les incidents graves, avec alerte précoce sous 24 heures, depuis le 11 septembre 2026 Art. 14 CRAArticle 14 Règlement sur la cyberrésilienceObligations en matière de communication d’informations incombant aux fabricants1. Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
Développer les produits conformément aux exigences de l’annexe I du CRA et documenter l’évaluation des risques Art. 13 CRAArticle 13 Règlement sur la cyberrésilienceObligations incombant aux fabricants1. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I. 2. Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
Traiter les vulnérabilités pendant la période de support, avec SBOM et mises à jour de sécurité gratuites Anhang I Teil II CRAAnnexe I Partie II Règlement sur la cyberrésilienceExigences relatives à la gestion des vulnérabilitésLes fabricants des produits comportant des éléments numériques: 1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits; 2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
Documentation technique, évaluation de la conformité, déclaration UE de conformité et marquage CE, à partir du 11 décembre 2027 Art. 71 CRAArticle 71 Règlement sur la cyberrésilienceEntrée en vigueur et application1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. 2. Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
Protection contre la corruption et sécurité du système de commande selon le règlement Machines, à partir du 20 janvier 2027 Annexe III, point 1.1.9, règlement MachinesAnnexe III Section 1.1.9 Règlement MachinesProtection contre la corruptionLa machine ou le produit connexe sont conçus et construits de telle sorte que le raccordement à ceux-ci d’un autre dispositif, par l’intermédiaire de toute caractéristique du dispositif connecté lui-même ou de tout dispositif distant qui communique avec la machine ou le produit connexe, ne crée pas de situation dangereuse. Un composant matériel informatique de transmission de signaux ou de données, pertinent pour le …État : 06.10.2026 · Source : EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026Ouvrir l’original (EUR-Lex – OJ L 165, 29.6.2023; Art. 3, 8, 20, 25a–25e and 47 as consolidated on 27.07.2026) ↗
Information générale, pas de conseil juridique. Cette page résume la situation juridique de manière simplifiée et ne remplace pas l’examen de votre cas particulier. Seul le texte des lois et des normes fait foi.
Secteurs et produits
Construction de machines et d’installations Domaine prioritaire
CRA et règlement Machines côte à côte pour chaque machine, de l’automate à l’accès à distance. Le domaine que Complass couvre le plus en profondeur.
Composants, automates et IoT
API, capteurs et appareils connectés avec l’IEC 62443-4-2 comme base. Produits radio en outre selon la directive RED avec l’EN 18031.
Logiciels
Les logiciels autonomes comportant des éléments numériques relèvent du CRA. Les services cloud purs sans produit associé ne sont en principe pas régis par le CRA, mais par NIS2.
Produits connectés et IA
Accès aux données pour les utilisateurs de produits connectés selon le Data Act, fonctions d’IA intégrées au produit selon le règlement sur l’IA.
Comment Complass vous aide
CRA par produit
Classification en produit standard, produit important ou critique, exigences de l’annexe I, évaluation de la conformité et documentation jusqu’au marquage CE.
Tenez à jour la SBOM de chaque produit et exportez-la en CycloneDX ou SPDX. Trouvez et évaluez les vulnérabilités connues des composants et déclarez-les au format VEX.
Développement sécurisé de produits selon l’IEC 62443-4-1 et exigences applicables aux composants selon la 62443-4-2, en lien avec le CRA.
L’offre adaptée
Ce qu’il vous faut au minimum en tant que Fabricants
La première sélection couvre les obligations dans Complass, si elles s’appliquent à vous. Le contrôle d’applicabilité gratuit indique si c’est le cas. Vers le contrôle de concernement
Ce qu’il vous faut au minimum
Si vous êtes fabricant au sens du CRA : cette sélection couvre les obligations qui en découlent dans Complass. Elle est présélectionnée lorsque vous testez ou commandez.
Vulnérabilités et techniques d’attaque (SBOM, dossier produit CRA et MITRE ATT&CK inclus): Traiter les vulnérabilités et, pour les vulnérabilités activement exploitées, émettre une alerte précoce sous 24 heures. (Art. 14, annexe I, partie II CRA (s’ouvre dans un nouvel onglet))
Gestion des incidents: inclus
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base): inclus
Prix de la sélection minimale
Poste
Prix net par mois
Start S
179 €
Cyber Resilience Act (CRA)
inclus
Vulnérabilités et techniques d’attaque (SBOM, dossier produit CRA et MITRE ATT&CK inclus)
149 €
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)
inclus
Total
328 € HT/mois
En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.
Bon à savoir : vous pouvez aussi remplir ces obligations sans Complass. Complass vous accompagne dans la mise en œuvre et la preuve, mais ne remplace pas un conseil juridique. Mentions juridiques
Autres offres
Pour les produits relevant du CRA, il existe le modèle sectoriel Fabricants. Les fabricants de dispositifs médicaux ne relèvent pas du CRA ; le modèle Technologie médicale est prévu pour eux.
disponible
Modèle sectoriel : Fabricants
Règlement sur la cyberrésilience par produit jusqu’au marquage CE
Directive RED (équipements radioélectriques) avec EN 18031
Gestion des vulnérabilités avec SBOM
à partir de 427 € par mois HT dans l’offre Start, taille S, paiement annuel
Tous les prix s’adressent aux entreprises, et non aux consommateurs. Ils s’entendent hors TVA, avec paiement annuel ; en cas de paiement mensuel, une majoration de 15 % s’applique. État au 16/10/2026. Enterprise et groupes d’entreprises sur demande.
Questions fréquentes
Notre produit relève-t-il du CRA ?+
Le CRA s’applique aux produits comportant des éléments numériques qui peuvent être connectés, directement ou indirectement, à un appareil ou à un réseau. Cela concerne la plupart des automates, des machines connectées et des logiciels. Il existe des exceptions, notamment pour les produits soumis à leurs propres règles, comme les dispositifs médicaux et les véhicules. Le test d’applicabilité « Suis-je concerné ? » et la classification par produit dans Complass montrent à quelle classe appartient votre produit.
Quel est le lien entre le CRA et le règlement Machines ?+
Les deux exigent de la cybersécurité, sous des angles différents : le CRA pour le produit comportant des éléments numériques, le règlement Machines pour le fonctionnement sûr de la machine. De nombreux documents, comme l’appréciation des risques et la documentation technique, servent pour les deux. Complass tient les deux référentiels côte à côte pour chaque produit.
Nous fabriquons et exploitons notre propre production. Faut-il deux solutions ?+
Non. Dans Complass, vous gérez vos produits selon le CRA et le règlement Machines, et votre propre exploitation selon NIS2, l’ISO 27001 ou l’IEC 62443, dans le même compte.
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
