Logiciel de conformité CRA : les obligations du règlement sur la cyberrésilience couvertes par CE-Copilot
Qui cherche un logiciel CRA trouve deux types d’outils : des outils de développement qui génèrent une SBOM, analysent le code à la recherche de vulnérabilités et distribuent les mises à jour, et des logiciels de conformité qui prennent en charge la classification, l’évaluation, les preuves et les notifications. CE-Copilot appartient à la seconde catégorie. Ce guide expose dans quelle mesure CE-Copilot couvre les obligations du règlement sur la cyberrésilience : obligation par obligation, avec la référence juridique et la formule.
La couverture, obligation par obligation
Sur 25 domaines d’obligations, CE-Copilot en couvre 12 et 8 en partie ; 5 se situent en dehors du logiciel. Dans les trois cas, la mise en œuvre technique sur la machine et la responsabilité restent du ressort du fabricant.
Couvert dans CE-Copilot (12)
Le logiciel vous guide dans l’obligation et documente le résultat.
Vérifier le champ d’application
art. 2, art. 3, point 1
L’outil de recherche de normes ne propose le CRA comme applicable que lorsque la description de la machine fait apparaître une connexion de données ; les mentions négatives ne comptent pas et, sans justificatif, le CRA est signalé comme à vérifier. Dans le module Cybersécurité, vous vérifiez la connexion de données et les exclusions au titre de l’article 2, y compris le règlement délégué (UE) 2025/1535.
à partir de Starter
Classer les produits importants et critiques
art. 7, art. 8, annexes III et IV
Vous indiquez la fonctionnalité de base et cochez les catégories applicables des annexes III et IV, avec les descriptions techniques du règlement d’exécution (UE) 2025/2392. La classification ne devient contraignante qu’avec votre confirmation.
à partir de Starter
Obligations selon la date de mise sur le marché
art. 69, art. 71, par. 2
La date confirmée détermine les obligations applicables à un exemplaire : les obligations de notification depuis le 11 septembre 2026, l’ensemble du règlement pour une mise sur le marché à partir du 11 décembre 2027, et de même après une modification substantielle à partir de cette date.
à partir de Starter
Déterminer la procédure d’évaluation de la conformité
art. 32
L’application déduit les procédures admises de la classification. Elle tient compte du fait que, pour les produits de classe I sans norme harmonisée, spécification commune ni schéma de certification, le contrôle interne (module A) n’est pas disponible.
à partir de Starter
Évaluer les risques de cybersécurité
art. 13, par. 2 et 3
Le périmètre de l’évaluation avec la destination, l’utilisation raisonnablement prévisible, l’environnement d’exploitation, les actifs à protéger et les conditions d’utilisation, ainsi que les menaces avec mesures et risque résiduel. L’évaluation s’appuie sur l’inventaire des interfaces du projet.
à partir de Professional
Documenter les exigences de l’annexe I
annexe I, parties I et II, art. 13, par. 4
Une matrice avec le libellé de chaque exigence : si elle s’applique sur la base de l’évaluation des risques, avec une justification dans la négative, ainsi que la mise en œuvre et les preuves. La partie I, point 1, et les exigences de gestion des vulnérabilités de la partie II s’appliquent toujours.
à partir de Professional
Composants tiers et logiciels libres
art. 13, par. 5
Une liste des composants qui signale les logiciels libres et ouverts et consigne, pour chaque composant, la preuve de la diligence raisonnable.
à partir de Professional
Fixer la période d’assistance
art. 13, par. 8 et 19
La période d’assistance avec sa justification fondée sur la durée d’utilisation attendue, une vérification par rapport au minimum de cinq ans et la date de fin qui doit être communiquée aux utilisateurs au moment de l’achat.
à partir de Professional
Gérer les cas de notification au titre de l’article 14
art. 14, par. 1 à 4, art. 69, par. 3
Pour chaque cas : le moment de la prise de connaissance, l’alerte précoce dans les 24 heures, la notification dans les 72 heures et le rapport final, avec un voyant sur la page du projet, des modèles de texte conformes au libellé de l’article 14, le CSIRT compétent et le numéro de dossier de la plateforme de signalement. Les cas notifiés ne peuvent pas être supprimés.
à partir de Professional
Informations destinées aux utilisateurs au titre de l’annexe II
art. 13, par. 18, annexe II
Vous tenez à jour les informations de l’annexe II une seule fois. Elles figurent dans le rapport CRA et dans le chapitre cybersécurité de la notice d’instructions (module complémentaire à partir de Professional).
à partir de Professional
Documentation technique
art. 31, annexe VII
Une section cybersécurité selon l’annexe VII dans la liste de contrôle de la documentation technique (à partir de Starter), ainsi que le rapport CRA en PDF et Word et un chapitre dédié dans le dossier complet (à partir de Professional).
à partir de Starter
Déclaration UE de conformité
art. 28, annexe V
Le CRA n’apparaît dans la déclaration qu’une fois la classification et la date confirmées et lorsque les obligations principales s’appliquent à l’exemplaire. La procédure et les spécifications appliquées ont leurs propres champs.
à partir de Starter
Couvert en partie (8)
Une partie se trouve dans le logiciel ; vous fournissez le reste.
Nomenclature des logiciels (SBOM)
annexe I, partie II, point 1
CE-Copilot enregistre le fichier SBOM, par exemple au format CycloneDX ou SPDX, dans le projet et consigne si et comment les utilisateurs y ont accès. Vous générez et analysez la SBOM avec vos outils de développement.
à partir de Professional
Gérer les vulnérabilités
annexe I, partie II, points 2 à 8
Pour la correction, les tests réguliers, la publication des vulnérabilités corrigées, la politique de divulgation coordonnée des vulnérabilités, la distribution sécurisée et les mises à jour de sécurité gratuites, vous documentez la mise en œuvre et les preuves dans la matrice. Les avis de sécurité et la politique de divulgation, c’est vous qui les rédigez et les publiez.
à partir de Professional
Point de contact unique pour les vulnérabilités
art. 13, par. 17
Vous saisissez le point de contact dans la section Vulnérabilités de la page du projet ; il figure dans le rapport CRA et dans les informations destinées aux utilisateurs. Vous gérez vous-même la boîte aux lettres ou le portail de signalement.
à partir de Professional
Informer les utilisateurs des incidents
art. 14, par. 8
Chaque cas comporte un modèle pour l’information des utilisateurs et consigne, comme preuve, le moment où les utilisateurs ont été informés. C’est vous qui envoyez l’information à vos clients.
à partir de Professional
Modification substantielle
art. 3, point 30, art. 22
Dans l’application, la date d’une modification substantielle déclenche les obligations au titre du règlement. C’est à vous d’apprécier si une mise à jour logicielle ou une transformation est substantielle.
à partir de Starter
Versions logicielles et séries de produits
art. 13, par. 8 et 10
La période d’assistance, l’évaluation et les cas de notification sont tenus par projet. Plusieurs versions logicielles livrées, ou une vulnérabilité touchant plusieurs séries de produits, se gèrent par l’intermédiaire des différents projets.
Copie ou déclaration UE de conformité simplifiée
art. 13, par. 20, annexe VI
L’application produit la déclaration complète en PDF et Word pour accompagner le produit. Une déclaration simplifiée selon l’annexe VI, avec l’adresse internet, c’est vous qui la rédigez.
à partir de Starter
Conserver les documents pendant dix ans
art. 13, par. 13
Les projets comportant des cas notifiés sont protégés contre la suppression, et vous exportez le rapport et le dossier en PDF et Word. La conservation pendant dix ans s’organise dans vos propres archives.
Reste du ressort du fabricant (5)
Aucune fonction dédiée dans CE-Copilot ; vous remplissez l’obligation en dehors du logiciel.
Développement sécurisé et tests de sécurité
annexe I, partie I, point 2
La mise en œuvre technique, les tests d’intrusion et les revues de code ont lieu au sein de votre développement. CE-Copilot documente quelle mesure satisfait à quelle exigence.
Notification sur la plateforme de l’ENISA
art. 14, art. 16
Vous transmettez la notification par la plateforme unique de signalement de l’ENISA. CE-Copilot n’est pas relié à la plateforme ; les délais, les modèles et les preuves proviennent de l’application.
Évaluation par un organisme notifié
art. 32, par. 2 à 4
Lorsque la procédure exige un organisme notifié, c’est vous qui le mandatez. Le rapport et la documentation technique issus de CE-Copilot servent de documents d’entrée.
Mesures correctives, rappel et information des autorités
art. 13, par. 21 à 23
Les mesures correctives, le retrait du marché, la coopération avec la surveillance du marché et l’information en cas de cessation des activités restent du ressort du fabricant.
Obligations des importateurs et des distributeurs
art. 19, art. 20
CE-Copilot est conçu pour les fabricants. Les obligations de vérification des importateurs et des distributeurs ne sont pas représentées séparément.
En complément du CRA : le même inventaire des interfaces alimente l’évaluation de la protection contre la corruption au titre de l’annexe III, points 1.1.9 et 1.2.1, du règlement sur les machines et la liste de contrôle de l’EN 18031 pour les équipements radioélectriques, avec les restrictions de la décision d’exécution (UE) 2025/138. Pour en savoir plus, consultez le guide Cybersécurité des machines.
Comment reconnaître un bon logiciel CRA
Sept questions à poser à tout logiciel CRA, et les réponses de CE-Copilot :
1. Le logiciel déduit-il les dates de référence de la date de mise sur le marché ?
Qu’une machine soit soumise aux seules obligations de notification ou à l’ensemble du règlement dépend de cette date et des modifications substantielles ultérieures (articles 69 et 71).
Dans CE-Copilot : Oui. Une date simplement lue dans la description n’a aucun effet juridique tant que vous ne l’avez pas confirmée.
2. Connaît-il les délais de notification en heures et en jours civils ?
L’alerte précoce et la notification courent en heures à partir de la prise de connaissance, le rapport final en jours ou en un mois ; en cas d’urgence, les preuves doivent être en place.
Dans CE-Copilot : Oui. Des délais par cas avec voyant, des modèles de texte et une trace des preuves qui ne peut plus être supprimée une fois la notification effectuée.
3. Documente-t-il l’annexe I exigence par exigence ?
L’article 13, paragraphe 4, exige une justification pour chaque exigence qui ne s’applique pas ; l’annexe VII exige une description de la manière dont chacune est mise en œuvre.
Dans CE-Copilot : Oui. Une matrice avec libellé, applicabilité, justification, mise en œuvre et preuves.
4. Relie-t-il le CRA au règlement sur les machines et à la directive sur les équipements radioélectriques ?
Pour les machines, la protection contre la corruption (annexe III, points 1.1.9 et 1.2.1, du règlement sur les machines), la cybersécurité des équipements radioélectriques et le CRA s’appliquent en parallèle.
Dans CE-Copilot : Oui. Un seul inventaire des interfaces pour les trois évaluations, dans le même dossier que l’appréciation du risque et la déclaration de conformité.
5. Produit-il des documents qui s’intègrent au dossier CE ?
La documentation technique, la déclaration de conformité et la notice d’instructions doivent dire la même chose.
Dans CE-Copilot : Oui. Rapport CRA, chapitre du dossier, section de la documentation technique, déclaration et chapitre de la notice d’instructions à partir des mêmes données.
6. Sépare-t-il les preuves internes des documents destinés aux clients ?
Les vulnérabilités ouvertes n’ont pas leur place dans un document remis aux clients ou à des organismes.
Dans CE-Copilot : Oui. Le chapitre du dossier ne montre aucun cas de notification ; le rapport complet porte une mention de confidentialité.
7. Les conséquences juridiques restent-elles des règles fixes plutôt que des décisions d’IA ?
Les dates de référence, les procédures et les délais doivent être traçables.
Dans CE-Copilot : Oui. Ces règles relèvent d’une logique fixe ; les projets de texte générés par l’IA ne sont repris qu’après votre confirmation.
À qui CE-Copilot convient comme logiciel CRA
- Les constructeurs de machines et de machines spéciales dont les machines échangent des données par bus de terrain, Ethernet, télémaintenance, cloud ou radio.
- Les constructeurs d’installations et les intégrateurs qui mettent sur le marché, en tant que fabricant, des installations interconnectées et évaluent la cybersécurité de l’ensemble.
- Les fabricants qui livrent avant le 11 décembre 2027 : les obligations de notification s’appliquent à eux dès aujourd’hui, et les autres sections préparent les exemplaires ultérieurs.
- CE-Copilot n’est pas conçu comme un outil de développement logiciel : les générateurs de SBOM, les scanners de vulnérabilités et les serveurs de mise à jour restent des outils distincts.
État du droit
Les obligations de notification au titre de l’article 14 s’appliquent depuis le 11 septembre 2026, y compris aux machines dotées d’une connexion de données déjà mises sur le marché (article 69, paragraphe 3). Les autres obligations s’appliquent aux produits mis sur le marché à partir du 11 décembre 2027 (article 71, paragraphe 2). Selon l’état du droit de ce guide, aucune norme harmonisée au titre du CRA n’a été publiée au Journal officiel, de sorte qu’il n’existe pas encore de présomption de conformité par des normes harmonisées au titre de l’article 27. Dans CE-Copilot, vous consignez les spécifications appliquées, comme l’IEC 62443, en tant que telles. Le fonctionnement de l’application selon la date de mise sur le marché est présenté dans le guide Logiciel pour le règlement sur la cyberrésilience appliqué aux machines ; les formules sont présentées sur la page des tarifs.
FAQ
Questions fréquentes
De quel logiciel ai-je besoin pour me conformer au CRA ?
CE-Copilot couvre-t-il toutes les obligations du règlement sur la cyberrésilience ?
CE-Copilot relève-t-il lui-même du CRA ?
Existe-t-il une liste de contrôle CRA dans CE-Copilot ?
Pour quels produits CE-Copilot convient-il comme logiciel CRA ?
Quelle formule comprend les fonctions CRA ?
CE-Copilot remplace-t-il un organisme notifié ou un conseil juridique ?
La conformité des machines pour l’UE en interne, en français
Ce guide est rédigé par l’équipe à l’origine de CE-Copilot, une plateforme logicielle couvrant l’ensemble du processus CE européen pour les machines : détermination des directives applicables, un outil de recherche de normes couvrant 3 600+ normes avec statut d’harmonisation, appréciation du risque selon EN ISO 12100, documentation de la sécurité fonctionnelle, rapports d’essai, documentation technique, notice d’instructions et déclaration UE de conformité. Les documents sont exportés en anglais ou en allemand, la déclaration UE de conformité également en français et en italien. La plateforme est disponible en français et en anglais ; l’IA rédige, vous vérifiez et validez.
Autres guides
Ce guide est une information générale destinée aux fabricants de machines, vérifiée par rapport aux textes juridiques officiels de l’UE (état : 30 octobre 2026). Il ne constitue pas un conseil juridique. Pour les décisions concernant votre produit, consultez les textes juridiques (EUR-Lex) ou un conseiller qualifié.