Le règlement sur la cyberrésilience pour les machines : obligations, échéances et notifications
Si votre machine possède un contrôleur avec un port Ethernet, un routeur de télémaintenance ou une télécommande sans fil, le règlement européen sur la cyberrésilience (CRA) s’applique presque certainement. Une partie s’applique déjà : depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents graves, même pour des machines livrées il y a des années. Les exigences de conception, de gestion des vulnérabilités et de documentation suivent le 11 décembre 2027. Ce guide explique le champ d’application, les échéances, la classification et ce qu’il faut préparer, avec les références d’articles nécessaires pour vérifier par vous-même.
Les dates clés
Publication au Journal officiel
Règlement (UE) 2024/2847 du 23 octobre 2024, JO L, 2024/2847. Rectifié par le JO L, 2025/90555 du 2 juillet 2025 (article 13, paragraphe 8, et article 64, paragraphe 10) et par le JO L, 2025/90828 du 17 octobre 2025 (article 67).
Entrée en vigueur
Vingt jours après la publication (article 71, paragraphe 1). Aucune obligation du fabricant ne s’applique encore à cette date.
Organismes notifiés
Le chapitre IV (articles 35 à 51) s’applique, de sorte que des organismes d’évaluation de la conformité peuvent être notifiés au titre du CRA (article 71, paragraphe 2).
Les obligations de notification s’appliquent
Les vulnérabilités activement exploitées et les incidents graves doivent être notifiés, y compris pour les produits mis sur le marché avant cette date (article 71, paragraphe 2, et article 69, paragraphe 3). La Single Reporting Platform (plateforme unique de signalement) de l’ENISA est entrée en service le même jour dans une première version.
Application complète
Les produits mis sur le marché à partir de cette date doivent satisfaire à toutes les exigences : annexe I, évaluation des risques, évaluation de la conformité, déclaration et marquage CE (article 71, paragraphe 2). Les produits mis sur le marché plus tôt ne sont couverts que s’ils font l’objet d’une modification substantielle après cette date (article 69, paragraphe 2).
Fin de la validité transitoire des certificats
Les certificats d’examen UE de type et les décisions d’approbation relatifs aux exigences de cybersécurité délivrés au titre d’une autre législation d’harmonisation de l’Union restent valables jusqu’à cette date, sauf s’ils expirent plus tôt ou si cette législation en dispose autrement (article 69, paragraphe 1).
Ce qui détermine les obligations applicables est donc la date de mise sur le marché de l’UE d’un produit. Pour les gammes de produits en cours, les lignes directrices de la Commission C(2026) 5252 (contenu approuvé le 27 juillet 2026 ; aucune adoption formelle constatée au 15 septembre 2026) apportent un certain allègement : les produits conçus avant le 11 décembre 2027 et mis sur le marché après cette date n’ont pas à être reconçus si l’évaluation des risques montre que des mesures appropriées sont en place. L’évaluation de la conformité, la déclaration et le marquage CE restent néanmoins exigés.
Votre machine entre-t-elle dans le champ d’application ?
L’article 2, paragraphe 1, couvre les produits comportant des éléments numériques mis à disposition sur le marché « dont la destination ou l’utilisation raisonnablement prévisible inclut une connexion de données directe ou indirecte, logique ou physique, à un appareil ou à un réseau ». Un produit comportant des éléments numériques est tout produit logiciel ou matériel, y compris ses solutions de traitement des données à distance (article 3, point 1), et selon l’article 3, point 2, cela inclut le logiciel de traitement des données à distance conçu ou développé par le fabricant ou sous sa responsabilité, comme une application cloud dont dépend une fonction de la machine.
Déclencheurs typiques sur les machines
- Interface Ethernet ou bus de terrain vers le réseau de l’installation ou d’autres machines
- Accès de télémaintenance via routeur, VPN ou portail
- Port USB pour charger des programmes ou des recettes
- Wi-Fi, Bluetooth ou réseau mobile, y compris les télécommandes sans fil
- Connexion à l’application cloud du fabricant
Exclusions de l’article 2, paragraphes 2 à 7
- Dispositifs médicaux et dispositifs médicaux de diagnostic in vitro (règlements (UE) 2017/745 et 2017/746)
- Véhicules relevant du règlement (UE) 2019/2144 et produits aéronautiques certifiés au titre du règlement (UE) 2018/1139
- Équipements marins relevant de la directive 2014/90/UE
- Produits exclus par acte délégué, jusqu’ici ceux relevant du règlement (UE) n° 168/2013 (article 2, paragraphe 5, règlement délégué (UE) 2025/1535)
- Pièces de rechange identiques (article 2, paragraphe 6)
- Produits développés exclusivement à des fins de sécurité nationale ou de défense (article 2, paragraphe 7)
Les machines ne figurent pas sur cette liste. Le considérant 53 va plus loin : les fabricants de machines relevant du règlement (UE) 2023/1230 devraient respecter à la fois le CRA et le règlement sur les machines. Le projet de lignes directrices de la Commission ajoute qu’une connexion de données suppose des informations numériques codées : une machine purement mécanique, sans contrôleur ni interface, reste donc hors du champ du CRA. Le logiciel nécessaire pour faire fonctionner, configurer ou commander la machine fait partie du produit, même lorsque les clients le téléchargent séparément.
Obligations de notification déjà applicables
Deux événements déclenchent l’article 14. Une vulnérabilité activement exploitée est une vulnérabilité pour laquelle il existe des preuves fiables qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation de son propriétaire (article 3, point 42). Un incident grave a ou peut avoir une incidence sur la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes, ou a conduit ou peut conduire à l’introduction ou à l’exécution de code malveillant dans le produit ou dans le réseau d’un utilisateur (article 14, paragraphe 5).
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | sans retard injustifié, au plus tard 24 heures après en avoir eu connaissance, en indiquant les États membres où, à la connaissance du fabricant, le produit a été mis à disposition (art. 14, par. 2, point a)) | sans retard injustifié, au plus tard 24 heures après en avoir eu connaissance, en précisant si des actes illicites ou malveillants sont soupçonnés et, le cas échéant, les États membres concernés (art. 14, par. 4, point a)) |
| Notification | sauf si déjà fournie, sans retard injustifié et dans un délai de 72 heures : le produit, la nature générale de l’exploitation et de la vulnérabilité, les mesures correctives prises et les mesures que les utilisateurs peuvent prendre (art. 14, par. 2, point b)) | sauf si déjà fournie, sans retard injustifié et dans un délai de 72 heures : nature de l’incident, évaluation initiale, mesures prises et mesures que les utilisateurs peuvent prendre (art. 14, par. 4, point b)) |
| Rapport intermédiaire | à la demande du CSIRT (art. 14, par. 6) | à la demande du CSIRT (art. 14, par. 6) |
| Rapport final | sauf si déjà fourni, au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation (art. 14, par. 2, point c)) | sauf si déjà fourni, dans un délai d’un mois après la notification de 72 heures (art. 14, par. 4, point c)) |
Les signalements sont transmis via la plateforme unique de signalement visée à l’article 16, par le point d’accès électronique du CSIRT désigné comme coordinateur de l’État membre où le fabricant a son établissement principal, et sont simultanément accessibles à l’ENISA (article 14, paragraphe 7). L’établissement principal est celui où les décisions de cybersécurité relatives aux produits sont principalement prises ou, à défaut, l’État membre de son établissement comptant le plus grand nombre de salariés dans l’UE. Les fabricants sans établissement principal dans l’UE suivent un ordre subsidiaire prévu au même paragraphe : l’État membre du mandataire agissant pour la plupart de leurs produits, puis celui de l’importateur qui en met le plus sur le marché, puis celui du distributeur qui en met le plus à disposition, et enfin l’État membre où se trouvent la plupart de leurs utilisateurs. Les utilisateurs concernés doivent également être informés, si nécessaire avec des mesures d’atténuation (article 14, paragraphe 8).
Le délai court à partir de la prise de connaissance. Selon le projet de lignes directrices de la Commission, un fabricant a connaissance d’un fait dès qu’une évaluation initiale, menée sans retard, lui donne un degré raisonnable de certitude qu’une exploitation ou un incident grave s’est produit. Une vulnérabilité dans un composant tiers ne doit être notifiée que si elle a été exploitée dans votre propre produit. Respecter les 24 heures suppose un processus convenu à l’avance : qui évalue, qui notifie, et dans quels pays chaque type de machine a été vendu.
Allègement pour les petits fabricants : les amendes prévues à l’article 64 du CRA ne s’appliquent pas aux micro et petites entreprises pour le seul non-respect du délai de 24 heures de l’alerte précoce (article 64, paragraphe 10, point a), tel que rectifié par le JO L, 2025/90555). L’obligation de notification elle-même et les autres délais demeurent. Attention toutefois au calendrier : selon l’article 71, paragraphe 2, l’article 64 ne s’applique qu’à partir du 11 décembre 2027, car seuls l’article 14 et le chapitre IV ont été avancés. La possibilité et les modalités de sanction des manquements aux obligations de notification avant cette date dépendent du droit national ; en Allemagne, aucune promulgation de la loi nationale de mise en œuvre n’a pu être trouvée au 15 septembre 2026.
Standard, important ou critique ?
La voie d’évaluation de la conformité dépend de la classification, et la classification suit la fonctionnalité de base du produit (articles 7, paragraphe 1, et 8, paragraphe 1). Le règlement d’exécution (UE) 2025/2392 contient les descriptions techniques des catégories. Selon le projet de lignes directrices de la Commission, un produit n’a, à cette fin, qu’une seule fonctionnalité de base, qui devrait être indiquée dans la documentation technique.
| Catégorie | Ce qui en relève | Évaluation de la conformité |
|---|---|---|
| Produit standard | Tout ce dont la fonctionnalité de base ne correspond à aucune catégorie de l’annexe III ou IV. C’est là que se situe normalement la machine elle-même. | Contrôle interne (module A) ou, à titre volontaire, examen UE de type et conformité au type (modules B et C), assurance complète de la qualité (module H) ou, lorsqu’il existe et s’applique, un schéma européen de certification de cybersécurité (article 32, paragraphe 1). |
| Important, classe I (annexe III) | 19 catégories, dont les routeurs, les modems destinés à la connexion à l’internet et les commutateurs (point 12), les interfaces réseau physiques et virtuelles (point 10), les systèmes d’exploitation (point 11), les systèmes de gestion de réseau (point 6) et les produits VPN (point 5). | Module A uniquement si des normes harmonisées, des spécifications communes ou des schémas européens de certification de niveau d’assurance « substantiel » ou supérieur sont appliqués intégralement ; sinon modules B et C ou module H (article 32, paragraphe 2). |
| Important, classe II (annexe III) | Hyperviseurs et systèmes d’exécution de conteneurs, pare-feu, systèmes de détection et de prévention des intrusions, microprocesseurs et microcontrôleurs résistant aux manipulations. | Modules B et C, module H ou, lorsqu’il existe et s’applique, un schéma européen de certification de niveau « substantiel » ou supérieur ; le module A n’est pas disponible (article 32, paragraphe 3). |
| Critique (annexe IV) | Dispositifs matériels dotés de boîtiers de sécurité, passerelles de compteurs intelligents et autres dispositifs à finalité de sécurité avancée, cartes à puce et éléments sécurisés. | Un schéma européen de certification dès qu’un acte délégué au titre de l’article 8, paragraphe 1, l’exige ; d’ici là, les procédures de la classe II (article 32, paragraphe 4). |
La règle d’intégration
L’article 7, paragraphe 1, prévoit que l’intégration d’un produit ayant la fonctionnalité de base d’une catégorie de l’annexe III n’assujettit pas, en soi, le produit hôte aux procédures de l’article 32, paragraphes 2 et 3. Le commutateur administrable de l’armoire de commande, le pupitre IHM avec système d’exploitation ou la carte bus de terrain ne font pas de votre machine un produit important. La machine reste normalement un produit standard.
Soyez plus attentif si vous vendez aussi des composants seuls. Le règlement d’exécution (UE) 2025/2392 cite expressément les contrôleurs et adaptateurs de bus de terrain parmi les interfaces réseau de classe I et les systèmes d’exploitation temps réel parmi les systèmes d’exploitation de classe I. Un routeur de télémaintenance, une carte d’interface bus de terrain ou un pare-feu d’armoire que vous commercialisez séparément doit donc faire l’objet de sa propre classification.
Évaluation de la conformité et normes manquantes
Les produits importants de classe I ne peuvent recourir au contrôle interne que si des normes harmonisées, des spécifications communes ou des schémas de certification sont appliqués intégralement (article 32, paragraphe 2). C’est précisément là que se situe le goulet d’étranglement : au 11 septembre 2026, aucune norme harmonisée au titre du CRA n’a été citée au Journal officiel, selon les suivis de normes et les rapports sectoriels. La demande de normalisation M/606 de la Commission du 3 février 2025 couvre 41 normes, avec des travaux en cours sur la série horizontale EN 40000 et, pour les produits de technologie opérationnelle, sur la série prEN 50770 fondée sur l’IEC 62443. Un report des délais de normalisation n’existe qu’à l’état de projet.
Pour la machine elle-même, c’est moins critique. En tant que produit standard, elle peut recourir au module A sans normes harmonisées ; la documentation technique doit alors décrire les solutions adoptées pour l’annexe I, parties I et II, et énumérer les autres spécifications techniques appliquées (annexe VII, point 5). L’IEC 62443-4-1 et -4-2 restent la base technique évidente, même si une analyse sectorielle du 6 juillet 2026 juge une citation au titre du CRA improbable.
Lorsqu’une machine relève à la fois du règlement sur les machines et du CRA, une seule déclaration UE de conformité couvre les deux actes et les énumère avec leurs références au Journal officiel (article 28, paragraphe 3). L’annexe V précise ce que la déclaration doit contenir pour le CRA.
Ce qui s’applique à partir du 11 décembre 2027
1. Évaluation des risques de cybersécurité (article 13, paragraphes 2 à 4)
L’évaluation part de la destination et de l’utilisation raisonnablement prévisible, tient compte de l’environnement d’exploitation, des actifs à protéger et de la durée d’utilisation attendue, et alimente la planification, la conception, la production, la livraison et la maintenance. Pour chaque exigence de l’annexe I, partie I, point 2, elle doit indiquer si et comment elle s’applique et comment elle est mise en œuvre ; une exigence qui ne s’applique pas appelle une justification claire dans la documentation technique. Elle est documentée et, le cas échéant, mise à jour pendant la période d’assistance (article 13, paragraphe 3).
2. Exigences relatives au produit (annexe I, partie I)
Sur la base de l’évaluation des risques, et le cas échéant, le point 2 exige :
- aaucune vulnérabilité exploitable connue lors de la mise à disposition
- bconfiguration sécurisée par défaut et possibilité de rétablir l’état d’origine
- cpossibilité de corriger les vulnérabilités par des mises à jour de sécurité
- dprotection contre les accès non autorisés, p. ex. authentification et gestion des accès, avec signalement des accès non autorisés possibles
- econfidentialité des données stockées, transmises ou traitées
- fintégrité des données, des commandes, des programmes et de la configuration, avec signalement des corruptions
- gminimisation des données
- hdisponibilité des fonctions essentielles, y compris la résilience face aux attaques par déni de service
- iimpact négatif minimal sur les autres appareils et réseaux
- jsurfaces d’attaque limitées, y compris les interfaces externes
- kmécanismes qui réduisent l’impact d’un incident
- lenregistrement ou surveillance des activités internes pertinentes, avec possibilité de désactivation par les utilisateurs
- meffacement sécurisé et simple de toutes les données et de tous les réglages, et transfert sécurisé des données
Résumé de notre part des points a) à m) ; seul le texte du règlement fait foi. Le point c) n’exige des mises à jour de sécurité automatiques que le cas échéant et, selon le considérant 56, les règles correspondantes ne devraient pas s’appliquer lorsque les utilisateurs ne s’attendraient normalement pas à des mises à jour automatiques, par exemple dans les environnements industriels où une mise à jour automatique pourrait perturber l’exploitation.
3. Gestion des vulnérabilités (annexe I, partie II)
La partie II s’applique sans la réserve « le cas échéant ». Elle exige une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur, la correction sans retard des vulnérabilités par des mises à jour de sécurité distinctes des mises à jour fonctionnelles lorsque c’est techniquement possible, des tests de sécurité réguliers, la publication des vulnérabilités corrigées, une politique de divulgation coordonnée des vulnérabilités, une adresse de contact pour les signalements de vulnérabilités, une distribution sécurisée des mises à jour et des mises à jour de sécurité gratuites. La SBOM n’a pas à être publiée (considérant 77), mais les autorités de surveillance du marché peuvent l’exiger sur demande motivée (annexe VII, point 8).
4. Composants tiers (article 13, paragraphes 5 et 6)
Les fabricants doivent faire preuve de diligence raisonnable lors de l’intégration de composants tiers, y compris de logiciels libres, afin qu’ils ne compromettent pas la cybersécurité du produit. Une vulnérabilité constatée dans un composant est signalée à celui qui le fabrique ou le maintient, accompagnée de toute correction que vous avez développée. Pour les automates, IHM, routeurs et variateurs, cela signifie collecter et documenter les informations de sécurité et les périodes d’assistance de vos fournisseurs.
5. Période d’assistance (article 13, paragraphes 8, 9 et 19)
La période d’assistance reflète la durée d’utilisation attendue et dure au moins cinq ans, sauf si le produit est censé être utilisé moins longtemps. Le projet de lignes directrices de la Commission précise que cinq ans ne sont pas une valeur par défaut, et le considérant 60 cite les systèmes de contrôle industriels comme exemple d’utilisation bien plus longue. La date de fin doit être indiquée au moment de l’achat avec au moins le mois et l’année, et chaque mise à jour de sécurité reste disponible pendant au moins dix ans ou pendant le reste de la période d’assistance, la durée la plus longue étant retenue. La justification de la durée choisie figure dans la documentation technique.
6. Informations destinées aux utilisateurs (annexe II)
La machine doit être accompagnée, entre autres, des éléments suivants : coordonnées du fabricant, point de contact unique pour les signalements de vulnérabilités et politique de divulgation, identification sans ambiguïté du produit, destination avec l’environnement de sécurité et les propriétés de sécurité, circonstances connues pouvant entraîner des risques de cybersécurité importants, le cas échéant l’adresse internet de la déclaration de conformité, le type d’assistance technique en matière de sécurité et la fin de la période d’assistance, ainsi que des instructions pour la mise en service sécurisée, les mises à jour, la mise hors service et l’intégration. Cela trouve naturellement sa place dans un chapitre dédié de la notice d’instructions et doit rester disponible pendant au moins dix ans ou pendant la période d’assistance, la durée la plus longue étant retenue (article 13, paragraphe 18).
7. Documentation technique, déclaration et marquage CE
Avant la mise sur le marché viennent la documentation technique de l’annexe VII, l’évaluation de la conformité au titre de l’article 32, la déclaration UE de conformité et le marquage CE (article 13, paragraphe 12). La documentation et la déclaration sont conservées pendant au moins dix ans ou pendant la période d’assistance, la durée la plus longue étant retenue (article 13, paragraphe 13). Les fabricants désignent aussi un point de contact unique par lequel les utilisateurs peuvent les joindre directement (article 13, paragraphe 17).
Articulation du CRA avec le règlement sur les machines et la directive RED
Le CRA ne remplace aucune exigence applicable aux machines. À partir du 20 janvier 2027, l’annexe III du règlement sur les machines exige la protection contre la corruption (point 1.1.9) et des systèmes de commande qui, lorsque les circonstances et les risques le justifient, résistent aux tentatives malveillantes raisonnablement prévisibles de tiers conduisant à une situation dangereuse (point 1.2.1). Le considérant 53 du CRA indique que le respect du CRA peut faciliter la conformité à ces points, mais le fabricant doit démontrer cette synergie et devrait suivre les deux procédures d’évaluation de la conformité. La seule conformité au CRA ne donne pas de présomption de conformité pour les points 1.1.9 et 1.2.1. Au titre du règlement sur les machines, cette présomption découle des normes harmonisées citées au Journal officiel (article 20, paragraphe 1) ou des spécifications communes (article 20, paragraphe 6) et, pour ces deux points en particulier, aussi d’une certification ou d’une déclaration de conformité dans le cadre d’un schéma relevant du règlement (UE) 2019/881 sur la cybersécurité (Cybersecurity Act) cité au Journal officiel (article 20, paragraphe 9).
Si une machine équipée d’un module radio est considérée comme un équipement radioélectrique et remplit les critères du règlement délégué (UE) 2022/30, par exemple communiquer par l’internet, les exigences de cybersécurité qui en découlent au titre de la directive sur les équipements radioélectriques s’appliquent aux unités mises sur le marché jusqu’au 10 décembre 2027 ; le règlement délégué est abrogé avec effet au 11 décembre 2027 par le règlement délégué (UE) 2026/339. L’articulation des trois régimes, et la raison pour laquelle l’évaluation des risques de cybersécurité nécessite sa propre méthode à côté de l’EN ISO 12100, sont expliquées dans Cybersécurité des machines.
Sanctions et autorités
- Non-respect de l’annexe I ou des obligations des articles 13 et 14 : jusqu’à 15 millions d’EUR ou 2,5 % du chiffre d’affaires annuel mondial (article 64, paragraphe 2).
- Manquements à d’autres obligations, y compris la déclaration, le marquage CE, la documentation technique et l’évaluation de la conformité : jusqu’à 10 millions d’EUR ou 2 % (article 64, paragraphe 3).
- Informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés et aux autorités de surveillance du marché : jusqu’à 5 millions d’EUR ou 1 % (article 64, paragraphe 4).
Dans chaque cas, le montant le plus élevé s’applique ; la nature, la gravité et la durée de l’infraction ainsi que la taille de l’entreprise sont pris en compte (article 64, paragraphe 5). L’article 64 s’applique à partir du 11 décembre 2027 (article 71, paragraphe 2) ; la possibilité de sanctionner plus tôt les manquements aux obligations de notification applicables depuis le 11 septembre 2026 dépend du droit national.
Les États membres désignent leurs propres autorités de surveillance du marché. En Allemagne, le BSI a annoncé que son CERT-Bund fait office de CSIRT coordinateur depuis le 11 septembre 2026, et un projet de loi fédérale de mise en œuvre du CRA (document du Bundestag 21/6134 du 26 mai 2026) fait du BSI l’autorité de surveillance du marché, l’autorité de notification et l’autorité compétente pour les amendes ; au 15 septembre 2026, aucune promulgation n’a pu être trouvée. Pour le droit des machines, les autorités de surveillance du marché des Länder allemands restent compétentes, et la répartition des contrôles des aspects CRA des machines avec le BSI est encore ouverte. Les obligations des fabricants s’appliquent néanmoins directement en vertu du règlement.
Encore ouvert au 15 septembre 2026
- Les lignes directrices de la Commission C(2026) 5252 du 27 juillet 2026 ont été approuvées quant à leur contenu ; aucune adoption formelle dans toutes les versions linguistiques n’a pu être trouvée. Elles ne sont pas juridiquement contraignantes ; les interprétations citées dans ce guide proviennent de cette version.
- Aucune norme harmonisée au titre du CRA n’est citée au Journal officiel (sources au 11 septembre 2026).
- Pas encore adoptés, entre autres : le format de la SBOM (article 13, paragraphe 24), le format et la procédure des notifications (article 14, paragraphe 10) et le formulaire simplifié de documentation technique pour les micro et petites entreprises (article 33, paragraphe 5).
Ce que couvre CE-Copilot
CE-Copilot traite le travail lié au CRA dans le même projet que l’appréciation du risque, la déclaration de conformité et la notice d’instructions. La classification, les échéances et les règles de procédure relèvent d’une logique fixe, pas d’estimations de l’IA.
- Outil de recherche de normes et appréciation du risque (Starter et formules supérieures) : l’outil de recherche de normes ne signale le CRA comme obligatoire que lorsque la description de la machine fait apparaître une connexion de données, avec une note sur l’obligation de notification. Dans l’éditeur d’appréciation du risque, le module de cybersécurité vous guide à travers le champ d’application, la fonctionnalité de base et la classification selon les annexes III et IV, indique ce qui s’applique selon la date de mise sur le marché et, pour les machines mises sur le marché à partir du 11 décembre 2027, enregistre la procédure de l’article 32.
- Page de projet Cybersécurité (Professional et formules supérieures) : inventaire des interfaces et des actifs, évaluation des risques de cybersécurité, matrice des exigences de l’annexe I avec applicabilité, justification, mise en œuvre et preuves, composants tiers, période d’assistance, gestion des vulnérabilités avec stockage de la SBOM, cas de notification selon l’article 14 avec suivi des délais et modèles, et informations destinées aux utilisateurs de l’annexe II.
- Documents : rapport CRA en PDF et Word, un chapitre cybersécurité dans le dossier complet, une section cybersécurité dans le dossier technique, le CRA comme acte supplémentaire dans la déclaration de conformité (coché seulement lorsque les obligations principales s’appliquent à l’exemplaire) et un chapitre cybersécurité avec les informations de l’annexe II dans la notice d’instructions (module complémentaire à partir de Professional, achat unique par projet).
Le pas-à-pas figure dans Logiciel pour le règlement sur la cyberrésilience appliqué aux machines. Voyez le résultat dans le dossier type (chapitre 7, p. 151–164) et dans la notice d’instructions type (chapitre 13). Les formules sont présentées sur la page des tarifs.
Le logiciel structure et documente le travail. L’appréciation, la mise en œuvre technique et l’approbation restent du ressort du fabricant, et les notifications de l’article 14 sont transmises via la plateforme unique de signalement de l’ENISA, et non depuis CE-Copilot.
FAQ
Questions fréquentes
Le règlement sur la cyberrésilience s’applique-t-il aux machines ?
Que doivent faire les fabricants de machines depuis le 11 septembre 2026 ?
Les obligations de notification couvrent-elles les machines vendues il y a des années ?
Un commutateur ou un routeur industriel intégré fait-il de ma machine un produit important ?
Ai-je besoin d’un organisme notifié pour ma machine au titre du CRA ?
Quelle devrait être la durée de la période d’assistance pour les machines industrielles ?
Nous n’avons pas d’établissement dans l’UE. Où notifier ?
Existe-t-il déjà des normes harmonisées pour le règlement sur la cyberrésilience ?
L’évaluation des risques de cybersécurité peut-elle faire partie de notre appréciation du risque selon l’EN ISO 12100 ?
Sources
- Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), JO L, 2024/2847, 20 novembre 2024 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R2847
- Rectificatif au règlement (UE) 2024/2847, JO L, 2025/90555, 2 juillet 2025 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L_202590555
- Rectificatif au règlement (UE) 2024/2847, JO L, 2025/90828, 17 octobre 2025 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L_202590828
- Règlement (UE) 2025/327 (l’article 104 modifie l’article 13, paragraphe 4, du CRA) : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32025R0327
- Règlement d’exécution (UE) 2025/2392 de la Commission (description technique des produits importants et critiques) : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32025R2392
- Commission européenne : lignes directrices sur la mise en œuvre du CRA, C(2026) 5252 du 27 juillet 2026 : https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation
- Commission européenne : normalisation du CRA : https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
- ENISA : lancement de la plateforme unique de signalement du CRA, 11 septembre 2026 : https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- BSI (Office fédéral allemand de la sécurité des technologies de l’information) : communiqué de presse sur le début des notifications CRA, 11 septembre 2026 (en allemand) : https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260911_CRA_Meldepflicht_Schwachstellen.html
- Projet de loi allemand de mise en œuvre du CRA, document du Bundestag 21/6134 du 26 mai 2026 (en allemand) : https://dserver.bundestag.de/btd/21/061/2106134.pdf
La conformité des machines pour l’UE en interne, en français
Ce guide est rédigé par l’équipe à l’origine de CE-Copilot, une plateforme logicielle couvrant l’ensemble du processus CE européen pour les machines : détermination des directives applicables, un outil de recherche de normes couvrant 3 600+ normes avec statut d’harmonisation, appréciation du risque selon EN ISO 12100, documentation de la sécurité fonctionnelle, rapports d’essai, documentation technique, notice d’instructions et déclaration UE de conformité avec exports en anglais, en allemand, en français et en italien. La plateforme est disponible en français et en anglais ; l’IA rédige, vous vérifiez et validez.
Autres guides
Ce guide est une information générale destinée aux fabricants de machines, vérifiée par rapport aux textes juridiques officiels de l’UE (état : 15 septembre 2026). Il ne constitue pas un conseil juridique. Pour les décisions concernant votre produit, consultez les textes juridiques (EUR-Lex) ou un conseiller qualifié.