Plan de contrôleCyber Resilience Act

Un importateur ou un distributeur est considéré comme fabricant et soumis aux art. 13 et 14 lorsqu'il met un produit sur le marché sous son propre nom ou sa propre marque, ou lorsqu'il apporte une modification substantielle à un produit déjà mis sur le marché.

Importateurs et distributeurs : assimilation applicable à partir du 11 décembre 2027 (art. 71 § 2) ; une marque propre peut déjà relever de la définition du fabricant (art. 3, point 13) pour l'art. 14.

CRA, art. 21 ; art. 3, point 30 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 21 : importateurs et distributeurs soumis aux obligations des fabricants

Toute autre personne qui apporte une modification substantielle à un produit et le met à disposition sur le marché est considérée comme fabricant, pour la partie modifiée, ou pour tout le produit si la modification a des répercussions sur sa cybersécurité dans son ensemble. Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis au règlement que s'il fait l'objet d'une modification substantielle à compter de cette date, l'art. 14 excepté.

Applicable à partir du 11 décembre 2027 (art. 71 § 2) à toute personne qui modifie substantiellement un produit et le met à disposition sur le marché.

CRA, art. 22 ; art. 3, point 30 ; art. 69 § 2 et 3 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 22 : autres cas d'application des obligations des fabricants

Les obligations de signalement de l'art. 14 s'appliquent depuis le 11 septembre 2026 à tous les produits relevant du règlement, y compris ceux mis sur le marché avant le 11 décembre 2027, même lorsqu'ils ne doivent satisfaire aux autres exigences qu'en cas de modification substantielle.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 69 § 3 (rectificatif du 2 juillet 2025) ; art. 71 § 2 · EUR-Lex : Rectificatif au règlement (UE) 2024/2847, JO L du 2.7.2025 : art. 64 § 10 et art. 69 § 3

Déterminer si la fonctionnalité de base du produit relève d'une catégorie de produits importants de l'annexe III (classe I ou II) ou de produits critiques de l'annexe IV, d'après la description technique du règlement d'exécution (UE) 2025/2392 ; l'intégration d'un tel produit dans un autre ne soumet pas, à elle seule, ce dernier aux procédures de l'art. 32 § 2 et 3.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 7 § 1 et 4 ; art. 8 ; annexes III et IV ; règlement d'exécution (UE) 2025/2392, art. 2 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 7 : produits importants

Notifier toute vulnérabilité activement exploitée (preuves fiables d'une exploitation par un acteur malveillant sans l'autorisation du propriétaire du système) et tout incident grave ayant des répercussions sur la sécurité du produit (atteinte, réelle ou possible, à la protection de données ou fonctions sensibles ou importantes, ou introduction ou exécution d'un code malveillant) dont le fabricant prend connaissance.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 1, § 3 et § 5 ; art. 3, points 42 et 44 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

Notifier la vulnérabilité activement exploitée simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par la plateforme unique de signalement, d'abord par une alerte précoce sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, indiquant, le cas échéant, les États membres où le fabricant sait que le produit a été mis à disposition.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 1 et § 2, point a) ; art. 16 § 1 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

À moins que les informations pertinentes n'aient déjà été communiquées, transmettre une notification de vulnérabilité sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de la vulnérabilité : informations générales sur le produit, nature générale de l'exploitation et de la vulnérabilité, mesures correctives ou d'atténuation prises et à prendre par les utilisateurs et, s'il y a lieu, degré de sensibilité des informations.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 2, point b) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

À moins que les informations pertinentes n'aient déjà été communiquées, transmettre un rapport final au plus tard 14 jours après la mise à disposition d'une mesure de correction ou d'atténuation : description de la vulnérabilité, de sa gravité et de ses répercussions ; le cas échéant, informations sur tout acteur malveillant l'ayant exploitée ; précisions sur la mise à jour de sécurité ou les autres mesures correctives. Si le CSIRT le demande, fournir un rapport intermédiaire de situation.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 2, point c), et § 6 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

Notifier l'incident grave ayant des répercussions sur la sécurité du produit simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par la plateforme unique de signalement, d'abord par une alerte précoce sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, indiquant au minimum si l'incident pourrait avoir été causé par des actes illicites ou malveillants et, le cas échéant, les États membres de mise à disposition.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 3 et § 4, point a) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

À moins que les informations pertinentes n'aient déjà été communiquées, transmettre une notification d'incident sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de l'incident : informations générales disponibles sur sa nature, évaluation initiale, mesures correctives ou d'atténuation prises et à prendre par les utilisateurs et, le cas échéant, degré de sensibilité des informations.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 4, point b) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

À moins que les informations pertinentes n'aient déjà été communiquées, transmettre dans un délai d'un mois à compter de la présentation de la notification d'incident un rapport final : description détaillée de l'incident, de sa gravité et de ses répercussions ; type de menace ou cause profonde l'ayant probablement déclenché ; mesures d'atténuation appliquées et en cours. Si le CSIRT le demande, fournir un rapport intermédiaire de situation.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 4, point c), et § 6 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

Soumettre les notifications au point final de notification électronique du CSIRT désigné comme coordinateur de l'État membre de l'établissement principal (où sont principalement prises les décisions relatives à la cybersécurité des produits, à défaut celui de l'établissement comptant le plus de salariés dans l'Union) ; sans établissement principal dans l'Union, selon l'ordre de l'art. 14 § 7 : mandataire, importateur, distributeur, puis utilisateurs les plus nombreux.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 7 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

Après avoir pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave, informer les utilisateurs du produit touchés et, s'il y a lieu, tous les utilisateurs de la vulnérabilité ou de l'incident et, si nécessaire, des mesures correctives ou d'atténuation qu'ils peuvent mettre en place, s'il y a lieu dans un format structuré, lisible par machine et pouvant être facilement traité automatiquement.

Fabricants (art. 3, point 13) : applicable depuis le 11 septembre 2026 (art. 71 § 2), y compris aux produits mis sur le marché avant le 11 décembre 2027 (art. 69 § 3 rectifié).

CRA, art. 14 § 8 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 14 : obligations de communication d'informations des fabricants

Lors de la mise sur le marché, s'assurer que le produit a été conçu, développé et fabriqué conformément aux exigences essentielles de l'annexe I, partie I, dont un niveau de cybersécurité approprié en fonction des risques ; le produit n'est mis à disposition que s'il y satisfait et si les processus du fabricant sont conformes à l'annexe I, partie II.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 6 ; art. 13 § 1 ; annexe I, partie I, point 1 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Évaluer les risques de cybersécurité du produit, en tenir compte de la planification à la maintenance, la documenter et la mettre à jour selon les besoins pendant la période d'assistance ; elle analyse au moins l'utilisation prévue et raisonnablement prévisible et les conditions d'utilisation, indique si et comment les exigences de l'annexe I, partie I, point 2, s'appliquent et sont mises en œuvre, et comment sont appliqués le point 1 et la partie II.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 2, § 3 et § 7 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Selon l'évaluation des risques, mettre le produit à disposition sans vulnérabilité exploitable connue et avec une configuration de sécurité par défaut, sauf accord contraire avec l'entreprise utilisatrice pour un produit sur mesure, y compris la possibilité de réinitialiser le produit à son état d'origine.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, a) et b) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Selon l'évaluation des risques, concevoir le produit de façon que ses vulnérabilités puissent être corrigées par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques régulières activées par défaut mais faciles à désactiver, avec communication aux utilisateurs des mises à jour disponibles et possibilité de les différer temporairement.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, c) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Selon l'évaluation des risques, protéger contre les accès non autorisés par des mécanismes de contrôle appropriés (authentification, gestion des identités ou des accès) et signaler tout accès non autorisé ; protéger la confidentialité des données stockées, transmises ou traitées, par exemple par un chiffrement de pointe au repos ou en transit ; protéger l'intégrité des données, commandes, programmes et configuration contre toute manipulation non autorisée et signaler les corruptions.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, d) à f) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Selon l'évaluation des risques, ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité prévue du produit ; protéger la disponibilité des fonctions essentielles et de base, notamment après un incident, y compris par des mesures de résilience face aux dénis de service ; réduire au maximum les répercussions négatives du produit ou des appareils connectés sur la disponibilité des services d'autres dispositifs ou réseaux.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, g) à i) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Selon l'évaluation des risques, concevoir, développer et fabriquer le produit de manière à limiter les surfaces d'attaque, y compris les interfaces externes, et à réduire les répercussions d'un incident par des mécanismes et techniques appropriés de limitation de l'exploitation de failles.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, j) et k) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Selon l'évaluation des risques, enregistrer et surveiller les activités internes pertinentes (accès ou modification des données, services ou fonctions) en laissant à l'utilisateur la possibilité de désactiver le mécanisme ; permettre aux utilisateurs de supprimer facilement, en toute sécurité et de manière permanente toutes les données et tous les paramètres et, lorsque les données peuvent être transférées vers d'autres produits ou systèmes, veiller à ce que ce soit de manière sécurisée.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie I, point 2, l) et m) · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Inclure l'évaluation des risques de cybersécurité dans la documentation technique lors de la mise sur le marché et, lorsque certaines exigences essentielles ne sont pas applicables au produit, y faire figurer une justification claire.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 4 ; annexe VII, point 3 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Faire preuve de diligence raisonnable lors de l'intégration de composants obtenus auprès de tiers, de sorte qu'ils ne compromettent pas la cybersécurité du produit, y compris pour les composants de logiciels libres et ouverts qui n'ont pas été mis à disposition dans le cadre d'une activité commerciale.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 5 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Lorsqu'une vulnérabilité est identifiée dans un composant intégré, y compris un composant logiciel ouvert, la signaler à la personne ou entité qui en assure la maintenance, la traiter selon l'annexe I, partie II, et, lorsqu'une modification corrective a été mise au point, partager le code ou la documentation correspondants avec le fabricant ou le mainteneur du composant, dans un format lisible par machine s'il y a lieu.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 6 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Fixer une période d'assistance reflétant la durée pendant laquelle le produit est censé pouvoir être utilisé (attentes raisonnables des utilisateurs, nature et utilisation prévue du produit, droit de l'Union applicable), d'au moins cinq ans, ou égale à la durée d'utilisation prévue si elle est inférieure ; y gérer efficacement les vulnérabilités selon l'annexe I, partie II, et documenter les informations prises en compte dans la documentation technique.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 8, premier à troisième et cinquième alinéas ; annexe VII, point 4 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Recenser et documenter les vulnérabilités et les composants des produits, notamment par l'établissement d'une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie II, point 1 ; annexe VII, point 8 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Gérer et corriger sans retard les vulnérabilités, y compris par des mises à jour de sécurité, fournies séparément des mises à jour de fonctionnalité lorsque cela est techniquement possible ; soumettre régulièrement les produits à des tests et examens de sécurité efficaces.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie II, points 2 et 3 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Dès la publication d'une mise à jour de sécurité, communiquer sur les vulnérabilités corrigées (description, informations permettant d'identifier le produit concerné, conséquences, gravité, informations claires et accessibles pour y remédier) ; dans des cas dûment justifiés où les risques de la publication l'emportent sur ses avantages, elle peut être retardée jusqu'à ce que les utilisateurs aient pu appliquer le correctif.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie II, point 4 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Disposer de politiques et de procédures appropriées, dont une politique de divulgation coordonnée des vulnérabilités mise en place et appliquée, pour traiter et corriger les vulnérabilités signalées par des sources internes ou externes ; faciliter le partage d'informations sur les vulnérabilités des produits et de leurs composants tiers, notamment en fournissant une adresse de contact pour leur signalement.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 8, sixième alinéa ; annexe I, partie II, points 5 et 6 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Prévoir des mécanismes de distribution sécurisée des mises à jour pour que les vulnérabilités soient corrigées ou atténuées rapidement, le cas échéant en automatisant les mises à jour de sécurité ; diffuser sans retard les correctifs ou mises à jour de sécurité disponibles, gratuitement sauf accord contraire avec un utilisateur professionnel pour un produit sur mesure, accompagnés de messages consultatifs sur les mesures éventuelles à prendre.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, annexe I, partie II, points 7 et 8 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), annexe I : exigences essentielles de cybersécurité

Chaque mise à jour de sécurité mise à la disposition des utilisateurs pendant la période d'assistance reste disponible après son émission pendant au moins dix ans ou pendant le reste de la période d'assistance, la période la plus longue étant retenue.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 9 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Désigner un point de contact unique permettant aux utilisateurs de communiquer directement et rapidement avec le fabricant, notamment pour signaler des vulnérabilités ; il est facilement identifiable, figure dans les informations destinées à l'utilisateur (annexe II) et permet aux utilisateurs de choisir leurs moyens de communication préférés, sans se limiter aux outils automatisés.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 17 ; annexe II, point 2 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Préciser au moment de l'achat, de manière claire, compréhensible et aisément accessible et, le cas échéant, sur le produit, son emballage ou par des moyens numériques, la date de fin de la période d'assistance, au moins le mois et l'année ; lorsque cela est techniquement possible, prévoir l'affichage d'une notification informant les utilisateurs que le produit a atteint la fin de sa période d'assistance.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 19 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Avant la mise sur le marché, établir la documentation technique réunissant les moyens employés pour garantir la conformité du produit et des processus du fabricant à l'annexe I, avec au moins les éléments de l'annexe VII (description générale, conception et gestion des vulnérabilités, évaluation des risques, période d'assistance, normes appliquées, rapports d'essais, déclaration UE), et la mettre à jour régulièrement, le cas échéant, au moins pendant la période d'assistance.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 12, premier alinéa ; art. 31 § 1 et 2 ; art. 33 § 5 ; annexe VII · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 31 : documentation technique

Appliquer ou faire appliquer la procédure d'évaluation de la conformité choisie : contrôle interne (module A), modules B et C, module H ou schéma européen de certification ; classe I sans normes harmonisées, spécifications communes ou certification appliquées en totalité : modules B et C ou H ; classe II : modules B et C, H ou certification au moins « substantiel » ; annexe IV : certification exigée par acte délégué (art. 8 § 1) ou, à défaut, procédures de la classe II.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 12, deuxième alinéa ; art. 32 § 1 à 5 ; art. 8 § 1 ; annexe VIII · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 32 : procédures d'évaluation de la conformité

Lorsque la conformité est démontrée, établir la déclaration UE de conformité selon le modèle de l'annexe V, mise à jour en tant que de besoin, dans les langues requises et unique si plusieurs actes de l'Union l'exigent ; fournir avec le produit une copie de la déclaration ou une déclaration simplifiée (annexe VI) indiquant l'adresse internet exacte du texte complet.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 12, troisième alinéa, et § 20 ; art. 28 ; annexes V et VI · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 28 : déclaration UE de conformité

Apposer le marquage CE avant la mise sur le marché, de manière visible, lisible et indélébile sur le produit ou, si sa nature ne le permet pas, sur l'emballage et la déclaration UE ; pour un logiciel, sur la déclaration UE ou sur le site internet qui l'accompagne, dont la section est aisément et directement accessible aux consommateurs ; le faire suivre du numéro de l'organisme notifié intervenant au titre du module H.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 12, troisième alinéa ; art. 30 § 1 à 4 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 30 : règles et conditions d'apposition du marquage CE

Tenir la documentation technique et la déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit ou pendant la période d'assistance, la période la plus longue étant retenue.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 13 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Veiller à ce que des procédures garantissent que la production en série reste conforme, en tenant compte des modifications du processus de développement et de production, de la conception ou des caractéristiques du produit, et des modifications des normes harmonisées, schémas de certification ou spécifications techniques au regard desquels la conformité est déclarée.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 14 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Faire porter au produit un numéro de type, de lot ou de série ou tout autre élément permettant son identification ou, à défaut, le fournir sur l'emballage ou un document d'accompagnement ; indiquer sur le produit, son emballage ou un document l'accompagnant, ainsi que dans les informations de l'annexe II, le nom, la raison sociale ou la marque et les adresses postale, électronique ou numérique et, le cas échéant, le site internet du fabricant.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 15 et § 16 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Accompagner le produit des informations et instructions de l'annexe II, sous forme papier ou électronique, claires, compréhensibles, intelligibles et lisibles, dans une langue aisément compréhensible, permettant une installation, un fonctionnement et une utilisation sécurisés ; les tenir à disposition au moins dix ans après la mise sur le marché ou pendant la période d'assistance, la plus longue étant retenue, y compris en ligne.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 18 ; annexe II · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Dès la mise sur le marché et pendant la période d'assistance, le fabricant qui considère ou a des raisons de croire que le produit ou ses processus ne sont pas conformes aux exigences essentielles de l'annexe I prend immédiatement les mesures correctives nécessaires pour les mettre en conformité, ou pour procéder au retrait ou au rappel du produit, selon le cas.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 21 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Sur requête motivée d'une autorité de surveillance du marché, lui communiquer, dans une langue aisément compréhensible par elle, toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit et des processus à l'annexe I, et coopérer à toute mesure prise pour éliminer les risques de cybersécurité présentés par le produit. Des informations inexactes, incomplètes ou trompeuses sont sanctionnées (art. 64 § 4).

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 22 ; art. 64 § 4 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Le fabricant qui cesse ses activités et ne peut de ce fait plus se conformer au règlement en informe, avant que la cessation ne prenne effet, les autorités de surveillance du marché concernées et, par tout moyen disponible et dans la mesure du possible, les utilisateurs des produits concernés.

Fabricants (art. 3, point 13 ; art. 21 et 22) : applicable à partir du 11 décembre 2027 (art. 71 § 2), aux produits mis sur le marché à compter de cette date ou substantiellement modifiés ensuite (art. 69 § 2).

CRA, art. 13 § 23 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 13 : obligations incombant aux fabricants

Le mandat écrit autorise au minimum le mandataire à tenir la déclaration UE et la documentation technique à la disposition des autorités au moins dix ans ou pendant la période d'assistance, la plus longue étant retenue, à leur communiquer sur requête motivée les documents de conformité et à coopérer aux mesures prises ; les obligations de l'art. 13 § 1 à 11, § 12, premier alinéa, et § 14 ne peuvent pas lui être confiées.

Fabricants ayant désigné un mandataire, et mandataires (art. 3, point 15) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 18 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 18 : mandataires

Fournir aux autorités de surveillance du marché, sur demande, le nom et l'adresse de tout opérateur économique qui a fourni à l'entité un produit et, lorsqu'elle en dispose, de tout opérateur économique auquel elle en a fourni un, pendant dix ans à compter de la date à laquelle le produit lui a été fourni et pendant dix ans à compter de la date à laquelle elle l'a fourni.

Tous les opérateurs économiques (art. 3, point 12) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 23 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 23 : identification des opérateurs économiques

Ne mettre sur le marché que des produits conformes à l'annexe I, partie I, dont les processus du fabricant sont conformes à la partie II ; avant la mise sur le marché, veiller à ce que le fabricant ait mené la procédure d'évaluation de la conformité et établi la documentation technique, que le produit porte le marquage CE et soit accompagné de la déclaration UE et des informations de l'annexe II, et que les art. 13 § 15, 16 et 19 soient respectés ; pouvoir le prouver.

Importateurs (art. 3, point 16) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 19 § 1 et 2 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 19 : obligations incombant aux importateurs

Ne pas mettre sur le marché un produit qu'il considère ou a des raisons de croire non conforme ; informer le fabricant et les autorités d'un risque de cybersécurité important, et les autorités d'un tel risque lié à des facteurs non techniques ; après la mise sur le marché, prendre immédiatement les mesures correctives nécessaires, informer le fabricant sans retard injustifié d'une vulnérabilité et, en cas de risque important, immédiatement les autorités des États de mise à disposition.

Importateurs (art. 3, point 16) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 19 § 3 et 5 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 19 : obligations incombant aux importateurs

Indiquer sur le produit, son emballage ou un document l'accompagnant ses nom, raison sociale ou marque et adresses de contact ; tenir une copie de la déclaration UE à la disposition des autorités au moins dix ans ou pendant la période d'assistance, la plus longue étant retenue, et s'assurer que la documentation technique peut leur être fournie ; répondre à leurs requêtes motivées ; informer autorités et utilisateurs de la cessation d'activité du fabricant.

Importateurs (art. 3, point 16) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 19 § 4, 6, 7 et 8 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 19 : obligations incombant aux importateurs

Agir avec la diligence requise et, avant de mettre un produit à disposition sur le marché, vérifier qu'il porte le marquage CE et que le fabricant et l'importateur se sont conformés à l'art. 13 § 15, 16, 18, 19 et 20 et à l'art. 19 § 4 (identification, coordonnées, notice, date de fin d'assistance, déclaration UE) et ont communiqué tous les documents nécessaires.

Distributeurs (art. 3, point 17) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 20 § 1 et 2 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 20 : obligations des distributeurs

Ne pas mettre à disposition un produit qu'il considère ou a des raisons de croire non conforme à l'annexe I et, en cas de risque de cybersécurité important, en informer sans retard injustifié le fabricant et les autorités ; pour un produit mis à disposition, veiller aux mesures correctives ; informer le fabricant d'une vulnérabilité sans retard injustifié et, si le risque est important, immédiatement les autorités ; répondre aux requêtes motivées ; signaler la cessation d'activité du fabricant.

Distributeurs (art. 3, point 17) : applicable à partir du 11 décembre 2027 (art. 71 § 2).

CRA, art. 20 § 3 à 6 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 20 : obligations des distributeurs

Mettre en place et documenter de manière vérifiable une politique de cybersécurité favorisant le développement sécurisé du produit et un traitement efficace des vulnérabilités par ses développeurs, encourageant le signalement volontaire (art. 15) et couvrant la documentation, le traitement et la correction des vulnérabilités et le partage d'informations dans la communauté ; coopérer avec les autorités et leur fournir cette documentation sur demande motivée.

Intendants de logiciels ouverts (art. 3, point 14) : applicable à partir du 11 décembre 2027 (art. 71 § 2) ; aucune amende administrative (art. 64 § 10, b), et phrase introductive rectifiée le 2 juillet 2025).

CRA, art. 24 § 1 et 2 ; art. 3, point 14 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 24 : obligations des intendants de logiciels ouverts

Notifier les vulnérabilités activement exploitées (art. 14 § 1) dès lors que l'intendant participe au développement des produits ; notifier les incidents graves et informer les utilisateurs (art. 14 § 3 et 8) lorsque ces incidents touchent les réseaux et systèmes d'information qu'il fournit pour le développement de ces produits.

Intendants de logiciels ouverts (art. 3, point 14) : applicable à partir du 11 décembre 2027 (art. 71 § 2) ; aucune amende administrative (art. 64 § 10, b), et phrase introductive rectifiée le 2 juillet 2025).

CRA, art. 24 § 3 ; art. 71 § 2 · EUR-Lex : Règlement (UE) 2024/2847 (CRA), article 24 : obligations des intendants de logiciels ouverts

Les amendes administratives prévues par l'art. 64 § 2 à 9 ne s'appliquent pas aux fabricants qui sont des microentreprises ou des petites entreprises en cas de non-respect du délai de l'alerte précoce de 24 heures (art. 14 § 2, a), et § 4, a)) ; la dérogation ne couvre ni la notification à 72 heures, ni le rapport final, ni les autres obligations. L'art. 64 ne s'applique qu'à partir du 11 décembre 2027 (art. 71 § 2).

Fabricants micro ou petites entreprises : moins de 50 personnes et CA annuel ou total du bilan annuel n'excédant pas 10 M€ (recommandation 2003/361/CE, annexe, art. 2 § 2).

CRA, art. 64 § 10, a) (rectificatif du 2 juillet 2025) ; art. 3, point 19 ; recommandation 2003/361/CE, annexe, art. 2 · EUR-Lex : Rectificatif au règlement (UE) 2024/2847, JO L du 2.7.2025 : art. 64 § 10 et art. 69 § 3