Qu’est-ce que le règlement sur la cyberrésilience, en termes simples ?

Le règlement sur la cyberrésilience (CRA), règlement (UE) 2024/2847, est la loi européenne sur la sécurité des produits comportant des éléments numériques : matériels et logiciels qui se connectent à un appareil ou à un réseau, des routeurs et caméras aux applications et systèmes d’exploitation vendus dans l’UE. Il impose des obligations aux fabricants, et des obligations plus légères aux importateurs et distributeurs. Les produits doivent être conçus en pensant à la sécurité, mis sur le marché sans vulnérabilité exploitable connue et avec une configuration sûre par défaut, et recevoir des mises à jour de sécurité pendant une période d’assistance définie par le fabricant. Les fabricants doivent traiter les vulnérabilités de façon structurée, documenter les composants utilisés et signaler les vulnérabilités activement exploitées et les incidents graves, comme le prévoit l’article 14. Certaines catégories, comme les produits de sécurité et les équipements réseau, relèvent d’une évaluation de la conformité plus stricte, et les produits qui satisfont aux exigences portent le marquage CE. Les dates d’application de chaque partie figurent dans ses dispositions finales. Si vous ne faites qu’acheter et utiliser des produits, le CRA vous aide surtout : attendez des fournisseurs des durées d’assistance et des engagements de mise à jour plus clairs.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

Cette réponse figure aussi, avec plus de contexte, ici : Droit de l’UE : RGPD, DORA, CRA et AI Act

← Les 20 questions sur Droit de l’UE : RGPD, DORA, CRA et AI ActTous les thèmes