Questions fréquentes sur le CRA

Un client peut notamment exiger :

• Une assistance pendant la période d'assistance avec la mise à disposition des mises à jour de sécurité durant celle-ci.
• Des informations transparentes sur l'identification du produit et du fabricant.

Pour vous faire accompagner, vous pouvez vous adresser à des professionnels du secteur par exemple des prestataires qualifiés par l'ANSSI. Pour la mise en conformité, seule une évaluation réalisée conformément aux dispositions de l'annexe VIII permet d'établir la conformité requise. Pour les produits importants de classe II et critiques, l'évaluation doit obligatoirement être réalisée par un organisme notifié, pour les produits importants de classe 1 également si les normes ne sont pas utilisées.

Les fabricants doivent notifier toute vulnérabilité activement exploitée contenue dans leur produit comportant des éléments numériques ou tout incident grave ayant une incidence sur la sécurité de leurs produits. Ils doivent notamment soumettre une alerte précoce dans les 24h et une notification dans les 72h suivant la prise de connaissance de la vulnérabilité ou de l’incident.

La notification s’effectuera sur une plateforme unique au niveau européen : the Single Reporting Platform (SRP), dont la mise en ligne est annoncée par l'ENISA à partir du 11/09/2026. Après inscription, le fabricant pourra y déclarer une vulnérabilité ou un incident par des formulaires adaptés aux différents cas.

Cette même plateforme assurera la diffusion des notifications aux Centres de réponse aux incidents de sécurité informatique (CSIRT) des pays concernés et permettra le recueil des compléments d’information ultérieurs.

Concrètement :

• Lors de son inscription sur la SRP, l’éditeur indiquera le pays de l’Union auquel il se raccroche (là où il a son établissement principal, sinon autres critère de l’alinéa 7 de l’article 14 – l’interface accompagnera dans ce choix).
• Lors du dépôt d’une notification sur la SRP, l’éditeur indiquera les états concernés par la vulnérabilité (ou l’incident) notifié
• Le CSIRT coordinateur du pays auquel il s’est raccroché (le (Ouvre une nouvelle fenêtre) CERT-FR de l’ANSSI, si ce pays est la France) recevra un mail de notification, et par l’interface de la SRP:
  • accédera aux informations soumises par l’éditeur
  • diffusera les informations aux autres états concernés, qui eux-mêmes recevront un mail de notification et pourront consulter les informations via la SRP.
• L’éditeur devra par la suite apporter par cette même SRP les précisions et compléments dans les délais prévus par le CRA.

Les CSIRT coordinateurs pourront également communiquer ces informations avec leur Autorité de Surveillance du Marché (en France l’ANFR).

Il n'est pas obligatoire d'avoir une PSIRT. Le fabricant est libre de son organisation, dès lors qu’il fournit aux utilisateurs un point de contact unique et qu'il respectent bien les obligations qui lui incombent.

Les catégories de produits et les classes sont définies dans le CRA. Elles ne peuvent être modifiées que par des actes délégués (conformément à l'article 7 alinéa 3 du CRA). Par ce biais, il est possible pour la Commission européenne d'ajouter de nouvelles catégories, d'en supprimer, ou bien de déplacer des catégories de produits d'une classe à une autre.

L'acte délégué établissant la présomption de conformité au CRA pour les certificats EUCC doit en principe être adopté avant la fin de l'année 2026. Il précisera les conditions dans lesquelles un produit certifié peut bénéficier de la présomption de conformité du CRA pour la mise sur le marché.
Les certifications n'offrant pas de présomption de conformité (CSPN ou autres schémas nationaux, certification privée), peuvent, le cas échéant, être utilisées pour démontrer la conformité au CRA.
Les standards harmonisés comme les règles de notification des organismes d'évaluation de la conformité ont été concues pour permettre de mutualiser les efforts d'évaluation entre certaines certifications (FitCEM/CSPN, EUCC, IEC 62443, SESIP) et le CRA.

Il n'est pas nécessaire d'attendre les schémas de certifications établis dans le cadre du CSA, de même que les standards harmonisés en découlant. Ils permettent en revanche de bénéficier de la présomption de conformité mais restent d'utilisation volontaire. La conformité des produits mis sur le marché aux exigences essentielles définies à l'Annexe I du CRA est ainsi obligatoire dès l'entrée en vigueur du réglement.

Le marquage CE atteste de la conformité aux exigences essentielles du CRA, soit par une autoévaluation soit par une évaluation de conformité opérée par un tiers.
La certification octroyée par le centre de certification national atteste de la robustesse réelle d’un produit. Elle est basée sur une analyse de conformité et des tests de pénétration réalisés par un évaluateur dont la compétence a été auditée par l’ANSSI, selon un schéma et un référentiel adapté aux besoins de sécurité des utilisateurs et tenant compte des évolutions de l'état de l'art.

Aucune norme n’est obligatoire dans le cadre du CRA. Leur objet est de faciliter la présomption de conformité. La mise en œuvre des normes harmonisées, citées au JOUE (Journal Officiel de l’Union Européenne) permet de présumer de la conformité au règlement, mais tout autre moyen peut être utilisé par le demandeur. Les éléments des normes donnant présomption de conformité sont signalés dans un tableau récapitulatif faisant le lien entre les exigences du règlement et les différentes sections de la norme. Ce tableau se trouve en annexe de chaque norme (Annexe Z ou ZZ).

La mise en conformité est une obligation réglementaire indépendante de la disponibilité des normes. Les normes harmonisées, citées au JOUE (Journal Officiel de l’Union Européenne) ont pour objet de faciliter la démonstration de la présomption de conformité.
[PSS] Les exigences prévues en annexe I du CRA sont applicables directement ; les fabricants n'ont pas à attendre l'adoption des normes pour se conformer au CRA.
Le respect des normes offre une présomption de conformité aux exigences.

Le CRA n’impose pas l’utilisation de démarches de tests spécifiques, ni une fréquence de ces tests. Les démarches de tests (méthodes et cas de tests) ainsi que leurs fréquences sont fixées par l'analyse de risques cyber réalisée par le fabriquant au titre de l'article 13(2) du CRA.
Cependant si des normes harmonisées contiennent des dispositions relatives à la réalisation des tests sur les produits, il est donc recommandé de s'appuyer au maximum sur celles-ci.

Dans certains cas, notamment pour les produits importants de classe II et les produits critiques, la conformité au règlement CRA implique, depuis juin 2026, des évaluations qui seront menées par des organismes notifiés (ON).
Pour être notifié, un organisme d'évaluation de la conformité doit en faire la demande auprès de l'ANSSI qui, accréditation, le notifiera auprès de la Commission européenne comme apte à exercer des missions d'évaluation dans le cadre du CRA.

L’ANSSI assurera le rôle d’autorité notifiante au titre du CRA en charge d’évaluer, de notifier et de contrôler les organismes d’évaluation de la conformité (OEC) exerçant dans le cadre du CRA. La notification sera opérée sur la base d’une accréditation octroyée par le COFRAC.

Le processus d'évaluation de la conformité des produits numériques repose sur des modules définis dans le cadre règlementaire du NLF (New legislative framework) adaptés à leur niveau de criticité (cf. Annexe VIII).
Module A : Une auto-évaluation est effectuée par le fabricant (ici, pas de tiers impliqué obligatoirement mais possible) qui déclare ensuite la conformité du produit.
Module B + C : Un organisme notifié examine la conception et le développement du produit, avec des tests périodiques, et le fabricant déclare la conformité.
Module H : Un organisme notifié examine la capacité du système de contrôle de la qualité du fabricant à assurer la conformité de ses produits au CRA, avec des tests et vérifications périodiques, et le fabricant déclare la conformité.

La procédure de notification sera prochainement publiée par l'ANSSI. Celle-ci se basera sur l'accréditation par le Cofrac de l'organisme candidat à la notification. Il est prévu que l'accréditation soit ouverte au second semestre 2026, et les notifications devraient donc commencer fin 2026.

L’ANSSI assurera le rôle d’autorité notifiante au titre du CRA en charge d’évaluer, de contrôler et de notifier les organismes d’évaluation de la conformité (OEC) exerçant dans le cadre du CRA. La notification sera opérée sur la base d’une accréditation octroyée par le COFRAC.
Les règles de contrôle associées à l'accréditation des organismes notifiés ne sont pas modifiées par le CRA. Le suivi et le contrôle de l'accréditation sont ainsi du ressort du Cofrac et obéissent à ses procédures.

La norme d'accréditation dépend du type d'évaluation à réaliser. Pour l'évaluation basée sur le module B du NLF, le vecteur d'accréditation sera la norme ISO/IEC 17065.
Pour l'évaluation basée sur le module H, le vecteur d'accréditation sera la norme ISO/IEC 17021-1.