Ce qu’est le CRA et qui il concerne
Le règlement (UE) 2024/2847, connu sous le nom de CRA, fixe des exigences de cybersécurité pour les produits comportant des éléments numériques : matériel et logiciel qui se connectent, directement ou indirectement, à un autre appareil ou à un réseau. Il s’applique à ce qui est mis sur le marché de l’UE, et les lignes directrices de la Commission de 2026 confirment que le matériel avec logiciel intégré, comme un ordinateur ou une carte mère, est concerné.
Le responsable est le fabricant : celui qui met le produit sur le marché sous son nom. Si vous vendez une machine avec un ordinateur à l’intérieur, vous répondez de toute la machine, et l’ordinateur est l’une de ses pièces numériques les plus importantes.
Les dates qui comptent
| Date | Ce qui commence |
|---|---|
| 11 septembre 2026 | Signalement des vulnérabilités activement exploitées et des incidents graves : alerte précoce sous 24 heures, notification sous 72 heures et rapport final, via la plateforme unique de l’ENISA. Aussi pour les produits déjà vendus. |
| 20 janvier 2027 | Le nouveau règlement Machines (UE) 2023/1230 s’applique, y compris la protection des systèmes de commande contre la corruption. |
| 11 décembre 2027 | Obligations complètes du CRA : exigences essentielles, évaluation de la conformité, documentation technique et marquage CE au titre du règlement. |
Ce que demande le CRA, en pratique
- Sécurité dès la conception et par défaut : pas de mots de passe génériques et services inutiles fermés.
- Gestion des vulnérabilités pendant la période de support, qui doit en général être d’au moins cinq ans, sauf si le produit est destiné à une utilisation plus courte.
- Mises à jour de sécurité gratuites, séparées des mises à jour fonctionnelles quand c’est possible.
- Une nomenclature logicielle (SBOM) dans un format lisible par machine, couvrant au moins les dépendances de premier niveau, dans la documentation technique.
- Un point de contact où chacun peut signaler une vulnérabilité, et la date de fin du support communiquée à l’utilisateur.
Le non-respect est puni d’amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, et un produit sans le marquage CE correspondant ne peut pas être vendu dans l’UE.
L’ordinateur intégré : ce qu’il faut demander à votre fournisseur
Beaucoup de constructeurs de machines se heurtent au même problème : ils ne peuvent pas compléter leur documentation parce que leurs fournisseurs ne leur donnent pas les informations. Pour l’ordinateur, demandez ceci :
- La liste des composants et des versions de firmware (BIOS ou UEFI, contrôleurs et gestion à distance) de chaque configuration.
- Un engagement de mises à jour du firmware pendant la période de support de votre produit.
- Un avertissement si une vulnérabilité apparaît dans l’une de ses pièces, pour que vous puissiez tenir votre propre délai de 24 heures.
- Une plateforme figée : changer l’ordinateur vous oblige à revoir votre documentation technique.
- Un système d’exploitation à support long (Windows IoT Enterprise LTSC ou une version Linux LTS), Secure Boot et TPM activés, et aucun compte avec un mot de passe d’usine.
- Un enregistrement par numéro de série de la configuration exacte de chaque unité.
Un plan simple jusqu’à décembre 2027
- Faites l’inventaire de vos produits et de tout ce qu’ils contiennent de numérique.
- Demandez à chaque fournisseur sa liste de composants et ses engagements de mise à jour.
- Fixez la période de support de chaque produit.
- Mettez en place dès maintenant le processus de signalement des vulnérabilités : il est obligatoire depuis septembre 2026.
- Préparez la documentation technique et l’évaluation de la conformité, et faites-les relire par un spécialiste.
Comment nous traitons l’ordinateur de votre produit
Dans le programme OEM, l’ordinateur part sur une plateforme figée (aucun changement sans préavis ni revalidation), avec sa configuration exacte et le résultat du test de 24 heures enregistrés par numéro de série, avec votre image système chargée et testée, avec des systèmes à support long et une gestion à distance par KVM-IPMI dédié. Sur demande, nous fournissons la liste des composants et des versions de firmware de chaque unité pour votre documentation technique.
Matériel et guides associés
Questions fréquentes
Le CRA concerne-t-il les unités déjà vendues ?
L’obligation de signaler les vulnérabilités activement exploitées et les incidents graves, en vigueur depuis le 11 septembre 2026, s’applique aussi aux produits déjà sur le marché. Les autres exigences s’appliquent à ce qui est mis sur le marché à partir du 11 décembre 2027.
Qu’est-ce qu’une SBOM ?
La nomenclature logicielle : tous les logiciels, bibliothèques et composants d’un produit, avec leurs versions. Le CRA la demande dans un format lisible par machine dans la documentation technique ; elle n’a pas à être publiée.
Pendant combien de temps dois-je fournir des mises à jour ?
Pendant la période de support que vous déclarez, qui doit en général être d’au moins cinq ans, sauf si le produit est destiné à une utilisation plus courte.
Que se passe-t-il en cas de non-conformité ?
Les amendes peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, et un produit sans le marquage CE correspondant ne peut pas être vendu dans l’UE.
Préparons-nous l’ordinateur de votre machine ?
Dites-nous ce que vous fabriquez et combien d’unités par an. Nous vous proposons la plateforme et ce que nous documentons pour chaque unité en moins de 12 heures ouvrées.