Calendrier
Les obligations de notification de l'article 14 s'appliquent depuis le 11 septembre 2026. Le reste du règlement s'applique à partir du 11 décembre 2027.
Règlement (UE) 2024/2847 · CRA
Préparez le Cyber Resilience Act selon votre rôle et la classe de votre produit.
Indiquez si vous fabriquez, importez, distribuez ou gérez du logiciel libre, et la classe de votre produit. Audexa n'affiche que les contrôles qui vous concernent : exigences essentielles, gestion des vulnérabilités, SBOM, notification à l'ENISA, documentation technique et marquage CE, avec un plan d'action pour combler chaque écart.
- 67 contrôles en 10 sections
- Profil par rôle et classe de produit
- Correspondances avec ISO 27001 et NIS2
Autoévaluation CRAFabricant · Important classe I
47%
Niveau de préparationDonnées d'exemple
- Exigences essentielles (annexe I, partie I)58%
- Gestion des vulnérabilités (annexe I, partie II)44%
- SBOM et période de support36%
- Notification à l'ENISA et au CSIRT52%
- Documentation technique et conformité39%
67 contrôles avec la façon de les évaluer et de les satisfaire
10 sections, du champ d'application à la surveillance du marché
57 correspondances avec ISO/IEC 27001:2022
44 correspondances avec NIS2 pour réutiliser l'existant
Ce qu'exige le CRA
La cybersécurité devient une condition pour vendre votre produit dans l'UE.
Le Cyber Resilience Act fixe des exigences de cybersécurité pour les produits comportant des éléments numériques, de la conception à la fin de la période de support. Les obligations dépendent du rôle de chaque opérateur et de la classe du produit.
Exigences essentielles
L'annexe I fixe des exigences pour le produit (sécurité par défaut, protection des données, mises à jour) et pour la gestion des vulnérabilités pendant la période de support.
Notification
Le fabricant notifie les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de déclaration, avec une alerte précoce sous 24 heures et une notification sous 72 heures.
Classe du produit
Les produits importants de classe I et II et les produits critiques suivent des procédures d'évaluation de la conformité plus exigeantes que les produits par défaut.
Documentation et marquage CE
Documentation technique, déclaration UE de conformité et marquage CE avant la mise sur le marché.
Importateurs et distributeurs
Ils doivent vérifier que le produit est conforme, qu'il porte le marquage CE et la documentation, et agir s'ils détectent un risque.
Sources: Règlement (UE) 2024/2847 (EUR-Lex)
Comment Audexa vous aide
Du profil du produit au plan d'action.
Le même parcours que les autres audits Audexa, adapté aux entreprises qui mettent des produits numériques sur le marché européen.
Délimiter
Uniquement ce qui vous concerne.
Question de profil
Choisissez un ou plusieurs rôles et la classe du produit, et voyez combien de questions comptera votre questionnaire.
Applicabilité motivée
Indiquez les contrôles qui s'appliquent, ceux qui ne s'appliquent pas et ceux hors périmètre, avec la raison.
Ce que vous avez déjà
À la création de l'audit, vous voyez ce que couvrent déjà vos audits ISO 27001 ou NIS2.
Évaluer et agir
Chaque écart avec sa prochaine étape.
Questionnaire guidé
Oui, Partiel, Non ou Non applicable pour chaque contrôle, avec un guide pour l'évaluer.
Comment satisfaire chaque contrôle
Étapes concrètes, preuves attendues, responsable suggéré, critère de clôture et date de revue.
Plan de tâches
Constats transformés en tâches avec sous-tâches, responsables et dates.
Démontrer
Toutes les preuves au même endroit.
Coffre de preuves
SBOM, rapports de tests, procédures de notification ou documentation technique, avec revue et expiration.
Politiques
Une bibliothèque de 67 modèles. 6 sont liés au CRA : « Politique de sécurité du produit et divulgation coordonnée des vulnérabilités », « Procédure de conformité du produit et marquage CE (CRA) », « Politique de développement sécurisé », « Politique de gestion des vulnérabilités et des correctifs », « Procédure de notification des incidents aux autorités » et « Procédure de traitement des demandes des autorités et de communication de données ». Ce sont des points de départ à adapter et à approuver.
Rapports et réaudit
Score, constats et rapport PDF et Excel. Réévaluez et comparez l'évolution.
Certaines fonctionnalités dépendent de votre offre et des modules activés.
Question de profil
Un fabricant et un distributeur ne répondent pas aux mêmes questions.
Avant le questionnaire, vous indiquez votre rôle, et vous pouvez en cocher plusieurs, car beaucoup d'entreprises fabriquent certains produits et en importent ou en distribuent d'autres. Vous choisissez ensuite la classe de votre produit principal, qui détermine la procédure d'évaluation de la conformité. Si vous ne la connaissez pas, commencez avec le produit non classé et modifiez-la plus tard.
- Rôles : fabricant, importateur, distributeur, steward de logiciels libres
- Classes : non classé (par défaut), important classe I, important classe II ou critique
- Une section pour classer le produit si ce n'est pas encore fait
- Nombre de questions affiché avant de commencer
Profil du produitCRA
- FabricantSélectionné
- ImportateurSélectionné
- DistributeurNon
- Classe du produitImportant classe I
Notification
Vulnérabilités et incidents, avec des délais clairs.
Une section vérifie que vous savez détecter une vulnérabilité activement exploitée ou un incident grave et le notifier via la plateforme unique de déclaration au CSIRT coordinateur et à l'ENISA. Une autre couvre la gestion des vulnérabilités : SBOM, divulgation coordonnée, mises à jour de sécurité et période de support.
- Alerte précoce, notification et rapport final
- Information des utilisateurs concernés
- SBOM et période de support déclarée
- Correspondances avec NIS2 pour réutiliser votre procédure d'incident
Notification CRAArt. 14
- Alerte précoce24 h
- Notification72 h
- Rapport final14 jours après la correction
- Procédure approuvéePreuve en vigueur
Comment ça marche
Trois étapes pour préparer le CRA.
Définissez le profil
Choisissez vos rôles et la classe du produit, et voyez ce que couvre déjà votre travail existant.
Répondez avec un guide
Évaluez les contrôles applicables et vérifiez les réponses proposées depuis ISO 27001 ou NIS2.
Exécutez et réauditez
Avancez dans le plan de tâches, rassemblez les preuves et réévaluez avant chaque échéance.
Offres
Disponible à partir de l'offre Premium.
Le Cyber Resilience Act est inclus dans Premium et Diamond. Il ne fait pas partie de Free ni de Core. Nous vous remettons une proposition ferme lors de la démo.
Premium
RecommandéPour les équipes produit et sécurité qui veulent le cycle complet.
- CRA et les autres nouveaux référentiels
- 10 audits par mois et 3 utilisateurs
- 200 actifs par section
- Politiques, preuves, risques, tâches et assistant Aude
Diamond
Pour les fabricants avec de nombreux produits ou de grandes équipes.
- Audits et utilisateurs illimités
- Tout Premium
Questions fréquentes
Ce que l'on nous demande souvent sur Cyber Resilience Act.
Depuis quand le Cyber Resilience Act s'applique-t-il ?
Le règlement est entré en vigueur en décembre 2024. Les obligations de notification des vulnérabilités activement exploitées et des incidents graves s'appliquent depuis le 11 septembre 2026, et le reste, dont les exigences essentielles et le marquage CE, à partir du 11 décembre 2027.
Je suis importateur ou distributeur, pas fabricant. Suis-je concerné ?
Oui, avec des obligations différentes. Vous indiquez votre rôle dans la question de profil et le questionnaire inclut la section importateurs et distributeurs. Si vous modifiez un produit de façon substantielle ou le vendez sous votre marque, vous pouvez endosser les obligations du fabricant : un contrôle permet de le vérifier.
Audexa réalise-t-il l'évaluation de la conformité ou le marquage CE ?
Non. Audexa vous aide à vous préparer : autoévaluation, plan d'action et preuves. L'évaluation de la conformité est réalisée par vous ou par un organisme notifié selon la classe du produit, et le marquage CE relève du fabricant. Le résultat d'Audexa est indicatif et ne constitue pas un conseil juridique.
Qu'est-ce qui change selon la classe du produit ?
La classe détermine la procédure d'évaluation de la conformité. C'est pourquoi le profil demande la classe de votre produit principal et qu'une section du questionnaire vérifie l'évaluation correspondante. Si vous ne connaissez pas encore la classe, commencez avec le produit non classé et modifiez-la plus tard.
Nous travaillons déjà avec ISO 27001 et NIS2. Est-ce utile ?
Oui. Il existe 57 correspondances avec ISO 27001:2022 et 44 avec NIS2. Les réponses à couverture élevée arrivent proposées avec la mention « Vérifiez-le » et une personne les confirme. Ce ne sont pas des équivalences juridiques.
Dans quelles langues est-il disponible ?
En espagnol, anglais, français, italien et allemand, comme tous les référentiels Audexa.
Demander une démo
Découvrez comment préparer le CRA dans Audexa.
En 30 minutes, nous parcourons le profil par rôle et classe, le questionnaire, le plan de tâches et les preuves.
- Nous examinons votre rôle et la classe de votre produit.
- Nous vous montrons les contrôles, les constats et les tâches.
- Nous vous expliquons quelle offre convient à votre équipe.