CRA Scope Check
Deux entreprises sur cinq qui ont entendu parler du Cyber Resilience Act n'ont pas établi s'il s'applique à elles, et la moitié ne distingue pas un fabricant d'un intendant de logiciels ouverts. Quatre questions tranchent les deux points, avec l'article derrière chaque réponse.
Votre situation
Rien de ce que vous choisissez ne quitte cette page. C'est un arbre de décision fondé sur les définitions du règlement, exécuté dans votre navigateur.
Ce qui s'applique à vous
Art. 3(13) : vous développez ou fabriquez le produit, ou le faites fabriquer, et le commercialisez sous votre nom ou votre marque, à titre onéreux ou gratuit.
Un importateur ou un distributeur qui met un produit sur le marché sous son propre nom ou sa propre marque, ou qui modifie substantiellement un produit déjà mis sur le marché, est considéré comme fabricant et soumis aux articles 13 et 14.
- Depuis le 11 septembre 2026
- Signalez une vulnérabilité activement exploitée ou un incident grave à votre CSIRT coordinateur et à l'ENISA : alerte précoce dans les 24 heures suivant la prise de connaissance, notification dans les 72 heures, rapport final après le correctif (Art. 14, Art. 71(2)). Les produits mis sur le marché avant décembre 2027 comptent aussi (Art. 69(3)).
- À partir du 11 décembre 2027
- Les exigences essentielles de l'annexe I, la documentation technique, l'évaluation de la conformité et le marquage CE (Art. 13).
- Sanctions
- Un manquement aux articles 13 ou 14 relève de la tranche la plus haute : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial (Art. 64(2)). En tant que micro ou petite entreprise, vous ne pouvez pas être sanctionné d'une amende pour une alerte précoce de 24 heures manquée (Art. 64(10)). L'obligation de signaler demeure, comme toutes les autres.
Trois choses à faire cette semaine
- Inscrivez-vous sur l'ENISA Single Reporting Platform et désignez un Primary Assigned Representative.
- Sachez ce que chaque produit embarque : une SBOM par version, conservée là où les personnes d'astreinte peuvent la lire.
- Décidez qui constate la prise de connaissance, et où l'instant est consigné. L'horloge compte à partir de cette décision.
Art. 3, « importateur » : vous êtes établi dans l'UE et mettez sur le marché un produit qui porte le nom ou la marque d'une personne établie hors de l'UE.
Vos propres obligations figurent à l'article 19 et s'appliquent à partir du 11 décembre 2027 : ne mettre sur le marché que des produits conformes, vérifier que le fabricant a rempli sa part, conserver la documentation, et informer le fabricant et les autorités de surveillance du marché lorsque vous apprenez une vulnérabilité ou une non-conformité.
L'obligation de signalement de l'article 14 reste au fabricant, sauf si vous apposez votre propre nom sur le produit ou le modifiez substantiellement ; elle devient alors la vôtre (Art. 21).
À demander à votre fabricant dès aujourd'hui : qui est leur Assigned Representative sur la plateforme ENISA, et comment vous préviendront-ils dans les 24 heures ?
Art. 3, « distributeur » : vous mettez un produit à disposition sur le marché de l'UE sans en modifier les propriétés, et vous n'en êtes ni le fabricant ni l'importateur.
Vos propres obligations figurent à l'article 20 et s'appliquent à partir du 11 décembre 2027 : vérifier le marquage CE et la documentation avant de fournir le produit, et informer le fabricant ou l'importateur et les autorités de surveillance du marché lorsque vous apprenez une vulnérabilité ou une non-conformité.
L'obligation de signalement de l'article 14 reste au fabricant, sauf si vous apposez votre propre nom sur le produit ou le modifiez substantiellement ; elle devient alors la vôtre (Art. 21).
À demander à votre fabricant dès aujourd'hui : qui est leur Assigned Representative sur la plateforme ENISA, et comment vous préviendront-ils dans les 24 heures ?
Art. 3(14) : une personne morale, autre qu'un fabricant, qui soutient de manière systématique et durable le développement de produits libres et ouverts déterminés, destinés à des activités commerciales, et en assure la viabilité.
L'article 24 fixe vos obligations : une politique de cybersécurité pour le projet, la coopération avec les autorités de surveillance du marché, et l'obligation de signalement de l'article 14(1) dans la mesure où vous participez au développement (Art. 24(3)). Les intendants ne peuvent pas être sanctionnés d'une amende (Art. 64(10)).
La date d'application générale est le 11 décembre 2027 ; la plateforme de l'ENISA accepte déjà les notifications des intendants. Un projet monétisé, ou développé par une entreprise dans le cadre de son activité, fait de cette entreprise un fabricant.
Le règlement couvre les produits comportant des éléments numériques (Art. 3(1)). Un logiciel proposé uniquement comme service n'en est pas un, sauf s'il constitue le traitement de données à distance dont un produit a besoin pour remplir l'une de ses fonctions (Art. 3(2)) ; il fait alors partie de ce produit, et le fabricant du produit en répond.
NIS2 (directive (UE) 2022/2555) peut s'appliquer au service lui-même. C'est une autre loi, avec un autre régime de signalement.
Le règlement s'applique aux produits mis à disposition dans le cadre d'une activité commerciale (Art. 3, « mise à disposition sur le marché »). Développer et publier un logiciel libre et ouvert sans le monétiser n'en est pas une (considérant 18).
Elle devient commerciale lorsque vous facturez le logiciel ou son support au-delà de la couverture des coûts, ou lorsqu'une entreprise le développe dans le cadre de son activité. Refaites alors cette vérification en tant que fabricant.
L'article 2 laisse le produit au droit qui le couvre déjà : les dispositifs médicaux et de diagnostic in vitro relevant des règlements (UE) 2017/745 et 2017/746 (Art. 2(2)). les véhicules à moteur réceptionnés par type au titre du règlement (UE) 2019/2144 (Art. 2(2)). les produits certifiés au titre du règlement (UE) 2018/1139 sur l'aviation civile (Art. 2(3)). les équipements marins relevant de la directive 2014/90/UE (Art. 2(4)). les pièces de rechange qui remplacent des composants identiques et sont fabriquées selon la même spécification (Art. 2(6)). les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou conçus pour traiter des informations classifiées (Art. 2(7)).
Vérifiez-le par ligne de produits. Un appareil exclu placé à côté d'une passerelle ou d'une application qui ne le sont pas ne les sort pas du champ d'application.
Ceci n'est pas un avis juridique. Chaque réponse cite son article du règlement (UE) 2024/2847 ; lisez l'article avant d'agir. EUR-Lex · Lire le guide de l'article 14
Pourquoi c'est la question à laquelle la plupart des entreprises n'ont pas répondu
41%
des entreprises qui connaissent le CRA n'ont pas déterminé s'il s'applique à elles.
54%
cherchent encore la différence entre un fabricant et un intendant de logiciels ouverts.
66%
des répondants ne connaissent pas le règlement, un an après son entrée en vigueur.
Source : Linux Foundation / OpenSSF, 2026 CRA Awareness and Readiness Report (juin 2026, 843 répondants)
Concerné ? Alors l'horloge tourne déjà.
ExploitClock confronte vos SBOM aux listes de vulnérabilités exploitées toutes les 15 minutes, lance l'horloge des 24 heures lorsque vous confirmez la prise de connaissance, rédige la notification ENISA dans les champs mêmes de la plateforme et conserve la preuve.