Question 1

Mon produit relève-t-il du Cyber Resilience Act ?

Accepted Answer

Le règlement (UE) 2024/2847 s'applique aux produits comportant des éléments numériques mis à disposition sur le marché de l'Union dans le cadre d'une activité commerciale. En sont notamment exclus les dispositifs médicaux, les produits aéronautiques, les véhicules à moteur et les produits à finalité de défense ou de sécurité nationale ; les logiciels libres fournis hors activité commerciale ne sont pas concernés. La première étape du parcours établit votre note de qualification.

Question 2

À partir de quand le Cyber Resilience Act s'applique-t-il ?

Accepted Answer

Le règlement est entré en vigueur le 10 décembre 2024. Les obligations de signalement des vulnérabilités activement exploitées et des incidents graves s'appliquent à compter du 11 septembre 2026, et l'ensemble des obligations principales — dont les exigences essentielles et le marquage CE — à compter du 11 décembre 2027 (article 71).

Question 3

Qu'est-ce qu'un produit « important » ou « critique » au sens du CRA ?

Accepted Answer

Un produit est important lorsque sa fonctionnalité principale correspond à une catégorie de l'annexe III — classe I (par exemple VPN, systèmes d'exploitation, gestionnaires de mots de passe) ou classe II (par exemple pare-feu, hyperviseurs, microprocesseurs résistants aux manipulations). Il est critique lorsqu'il relève de l'annexe IV (par exemple cartes à puce, passerelles de compteurs intelligents). La catégorie détermine la procédure d'évaluation de la conformité (article 32).

Question 4

Quelles autorités interviennent en France pour le CRA ?

Accepted Answer

Au niveau européen, l'ENISA reçoit les signalements via une plateforme unique. En France, l'ANSSI est l'autorité de notification des organismes d'évaluation de la conformité, le CERT-FR est le CSIRT destinataire des signalements (article 14) et l'ANFR assure la surveillance du marché.

Question 5

Cet outil remplace-t-il un avocat ou un organisme notifié ?

Accepted Answer

Non. L'outil aide les fabricants, importateurs et distributeurs à structurer et documenter leur mise en conformité au Cyber Resilience Act ; il ne constitue pas un conseil juridique individualisé et ne se substitue pas, le cas échéant, à l'évaluation par un organisme notifié. Pour un accompagnement sur mesure, le cabinet AVCA Legal (barreau de Thonon-les-Bains, Léman et Genevois) est à votre disposition.

Espace CRA