Logiciel pour le règlement sur la cyberrésilience appliqué aux machines : mettre en œuvre le CRA dans CE-Copilot
Depuis le 11 septembre 2026, les fabricants de machines dotées d’une connexion de données doivent notifier les vulnérabilités activement exploitées et les incidents graves, y compris pour les machines déjà mises sur le marché, et le règlement sur la cyberrésilience s’appliquera pleinement à partir du 11 décembre 2027. Ce guide résume les nouveautés, puis montre comment effectuer le travail dans CE-Copilot : les étapes, où elles se trouvent dans l’application, ce que chacune produit et ce que le logiciel vous laisse volontairement.
Les nouveautés
Depuis le 11 septembre 2026
Obligations de notification au titre de l’article 14 du CRA
Les vulnérabilités activement exploitées et les incidents graves ayant des répercussions sur la sécurité du produit sont notifiés par l’intermédiaire de la plateforme unique de signalement (Single Reporting Platform) de l’ENISA au CSIRT désigné comme coordinateur et à l’ENISA : une alerte précoce dans les 24 heures et une notification dans les 72 heures suivant la prise de connaissance, puis un rapport final. Cela vaut aussi pour les machines dotées d’une connexion de données déjà mises sur le marché (article 69, paragraphe 3).
À partir du 20 janvier 2027
Protection contre la corruption au titre du règlement sur les machines
Selon l’annexe III, points 1.1.9 et 1.2.1, du règlement (UE) 2023/1230, les appareils connectés, les accès à distance et les interventions sur le logiciel et les données ne doivent pas conduire à une situation dangereuse. CE-Copilot traite ce point dans l’appréciation du risque selon l’EN ISO 12100.
Jusqu’au 10 décembre 2027
Cybersécurité des équipements radioélectriques
Les équipements radioélectriques relevant du règlement délégué (UE) 2022/30 qui sont mis sur le marché entre le 1er août 2025 et le 10 décembre 2027 doivent satisfaire aux exigences applicables de l’article 3, paragraphe 3, points d), e) et f), de la directive sur les équipements radioélectriques. L’EN 18031 ne confère une présomption de conformité que dans les limites de la décision d’exécution (UE) 2025/138, par exemple pas lorsque les utilisateurs peuvent choisir de n’utiliser aucun mot de passe. Le règlement délégué (UE) 2026/339 abroge la règle avec effet au 11 décembre 2027.
À partir du 11 décembre 2027
Le règlement sur la cyberrésilience s’applique pleinement
Pour les machines mises sur le marché à partir de cette date, ou ayant fait l’objet d’une modification substantielle à partir de celle-ci : exigences de l’annexe I, évaluation des risques de cybersécurité, période d’assistance, évaluation de la conformité au titre de l’article 32, déclaration UE de conformité et marquage CE (article 71, paragraphe 2, article 69, paragraphe 2).
Le champ d’application, la classification, les procédures et les sanctions, avec toutes les références juridiques, sont traités dans le règlement sur la cyberrésilience pour les machines ; l’articulation avec le règlement sur les machines et la directive sur les équipements radioélectriques est expliquée dans cybersécurité des machines.
Six étapes dans CE-Copilot
1. Vérifier si le CRA s’applique
Starter et formules supérieuresOutil de recherche de normes et description de la machine
L’outil de recherche de normes ne signale le CRA comme applicable que lorsque la description fait apparaître une connexion de données ; les mentions négatives comme « aucune connexion de données » ne comptent pas et, sans justificatif, le CRA figure comme « À VÉRIFIER » et reste non coché. Une remarque sur l’obligation de notification l’accompagne.
2. Classer et confirmer la date
Starter et formules supérieuresAppréciation du risque, module Cybersécurité
Connexion de données, exclusions au titre de l’article 2, fonctionnalité de base et catégorie selon l’annexe III ou IV, ainsi que la date de mise sur le marché confirmée. L’application en déduit les obligations applicables et, une fois les obligations principales applicables, les procédures admises au titre de l’article 32.
3. Recenser les interfaces et les actifs
Starter et formules supérieuresAppréciation du risque, module Protection contre la corruption (à partir de Professional aussi sur la page du projet)
Un seul inventaire alimente trois évaluations : la protection contre la corruption au titre du règlement sur les machines, la cybersécurité des équipements radioélectriques et le CRA. Pour chaque interface, on consigne l’accessibilité, la protection des accès et la voie de mise à jour.
4. Évaluer les risques et justifier les exigences
Professional et formules supérieuresPage de projet Cybersécurité (CRA)
Périmètre de l’évaluation, menaces avec mesures et risque résiduel, une matrice des exigences de l’annexe I, parties I et II, composants tiers, période d’assistance, gestion des vulnérabilités avec stockage de la SBOM et informations destinées aux utilisateurs de l’annexe II.
5. Mettre en place les notifications et suivre les cas
Professional et formules supérieuresPage du projet, section des notifications
CSIRT coordinateur et disponibilité et, pour chaque cas, le moment de la prise de connaissance, les délais avec voyant et préavis, des modèles de texte conformes au libellé de l’article 14 et le numéro de dossier de la plateforme.
6. Produire les preuves et les documents
selon le moduleExports, déclaration de conformité, notice d’instructions
Rapport CRA en PDF et Word, un chapitre dans le dossier complet, une section dans la documentation technique, les points d’essai C1 à C10, le CRA comme acte juridique dans la déclaration et le chapitre cybersécurité de la notice d’instructions.
Les fonctions en détail
Obligations déduites de la date de mise sur le marché confirmée
L’application applique les articles 69 et 71 du CRA comme des règles fixes : pour les exemplaires mis sur le marché avant le 11 décembre 2027, seules les obligations de notification s’appliquent ; pour ceux mis sur le marché à partir de cette date, ou ayant fait l’objet d’une modification substantielle à partir de celle-ci, c’est l’ensemble du règlement. Une date simplement lue dans la description de la machine n’a aucun effet juridique tant que vous ne l’avez pas confirmée.
La page du projet, le rapport, le dossier, la déclaration de conformité, le rapport d’essai et la notice d’instructions disent tous la même chose. Aucune évaluation de la conformité CRA n’est attribuée à une machine mise sur le marché avant le 11 décembre 2027 ; pour une machine ultérieure, l’application affiche les obligations de l’annexe I.
Un seul inventaire pour le règlement sur les machines, les équipements radioélectriques et le CRA
Les interfaces comme le bus de terrain, OPC UA, la télémaintenance, l’USB ou la radio, et les actifs qui en dépendent sont saisis une seule fois. L’évaluation de la corruption, la liste de contrôle de l’EN 18031 et l’évaluation des risques CRA s’appuient toutes sur cet inventaire.
Pas de trois listes qui divergent. Une nouvelle interface apparaît dans toutes les évaluations où elle joue un rôle.
Matrice des exigences de l’annexe I avec justification, mise en œuvre et preuves
Pour la partie I, point 2, a) à m), vous consignez si l’exigence s’applique sur la base de l’évaluation des risques, avec une justification dans la négative ; le point 1 et la partie II sur la gestion des vulnérabilités s’appliquent toujours. Pour chaque exigence, vous documentez la mise en œuvre et les preuves.
C’est ce que l’article 13, paragraphes 3 et 4, et l’annexe VII exigent de la documentation technique. L’état de chaque section est toujours visible, et les points ouverts figurent sous forme de remarques dans le rapport.
Cas de notification au titre de l’article 14 avec suivi des délais et modèles
À partir du moment de la prise de connaissance, l’application calcule l’alerte précoce (24 heures), la notification (72 heures) et le rapport final (pour les vulnérabilités, au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation ; pour les incidents, dans un délai d’un mois après la notification) et les signale comme « bientôt exigible » sur la page du projet avant leur échéance. Tant que l’évaluation initiale est ouverte, l’application fait courir les délais par précaution à partir du moment de prise de connaissance enregistré. Les cas notifiés restent consignés et ne peuvent pas être supprimés.
Le moment venu, chaque heure compte. Les modèles suivent le libellé de l’article 14 : vous complétez les lacunes et transmettez la notification par la plateforme de l’ENISA.
Rapport CRA, chapitre du dossier et documentation technique
Le rapport CRA rassemble toutes les sections de la page du projet en PDF ou Word, avec une mention de confidentialité. Dans le dossier complet, il figure comme chapitre sans les cas de notification et sans la protection des accès ni la voie de mise à jour des interfaces individuelles ; la documentation technique reçoit une section sur l’annexe VII.
Clients et organismes ne reçoivent que ce qui les concerne. En interne, vous conservez le rapport complet avec chaque cas et chaque délai.
Déclaration de conformité, rapport d’essai et notice d’instructions maintenus en cohérence
La déclaration ne mentionne le règlement que lorsque la classification et la date sont confirmées et que les obligations principales s’appliquent ; les champs de procédure sont préremplis. Le rapport d’essai marque les points C1 à C10 comme obligatoires selon la date et signale un « non applicable » contradictoire. La notice d’instructions reçoit un chapitre cybersécurité avec les informations destinées aux utilisateurs, présentées comme informations de l’annexe II une fois la classification confirmée.
Le règlement n’apparaît dans la déclaration que lorsqu’il s’applique à cet exemplaire, et le contrôle signale les indications manquantes. Vous tenez à jour les informations destinées aux utilisateurs une seule fois et les retrouvez dans le rapport et dans la notice.
Ce que l’application affiche selon la date de mise sur le marché
La date confirmée détermine les obligations applicables à un exemplaire. CE-Copilot en déduit la même réponse dans chaque document :
| Domaine | Date non confirmée | Avant le 11 décembre 2027 | À partir du 11 décembre 2027, ou modification substantielle à partir de cette date |
|---|---|---|---|
| Obligations de notification au titre de l’article 14 | s’appliquent à tout produit concerné | s’appliquent | s’appliquent |
| Déclaration de conformité | CRA non coché, motif indiqué sous les cases | pas de déclaration au titre du CRA, motif indiqué sous les cases | CRA coché (avec classification confirmée), champs de procédure préremplis |
| Documentation technique, section de l’annexe VII | préparation sans marqueurs obligatoires | préparation sans marqueurs obligatoires | points obligatoires |
| Rapport d’essai C1 à C10 | classification et processus de notification obligatoires, remarque en cas de « non applicable » | classification et processus de notification obligatoires | les dix points obligatoires |
| Notice d’instructions, chapitre cybersécurité | informations du fabricant, pas de contrôle obligatoire | informations volontaires | règle de contrôle et avertissement à l’export ; informations de l’annexe II avec classification confirmée |
| Rapport CRA | avertissement « date non confirmée » | remarque sur la préparation volontaire | application complète avec la procédure de l’article 32 |
Ce que CE-Copilot ne fait volontairement pas
- Il ne transmet aucune notification à l’ENISA. Vous transmettez la notification par la plateforme unique de signalement ; CE-Copilot fournit les délais, les modèles et la trace des preuves.
- Il ne donne ni conseil juridique ni conformité automatique. Vous confirmez la classification, la date et l’évaluation ; la mise en œuvre technique et l’approbation restent du ressort du fabricant.
- Il ne peut pas créer de présomption de conformité : celle-ci exige une norme harmonisée, une spécification commune ou un schéma de certification, et aucun n’existe encore au titre du CRA (sources au 11 septembre 2026) ; consignez les spécifications comme l’IEC 62443 en tant que spécifications appliquées.
- Il ne génère pas la SBOM. Elle provient de vos outils de développement ; CE-Copilot la stocke.
- Il n’utilise pas d’IA pour les conséquences juridiques. Les dates de référence, les procédures et les délais sont des règles fixes, et la classe découle des catégories que vous cochez.
À quoi ressemble le résultat
Le dossier type d’une cellule de soudage robotisée avec télémaintenance contient le chapitre cybersécurité (chapitre 7, p. 151–164), et la notice d’instructions type contient le chapitre cybersécurité (chapitre 13, p. 119–123). La cellule est mise sur le marché avant le 11 décembre 2027 : vous voyez donc comment l’application traite les obligations de notification comme applicables et les autres sections comme une préparation. Les formules sont présentées sur la page des tarifs.
FAQ
Questions fréquentes
CE-Copilot transmet-il les notifications à l’ENISA ?
En ai-je besoin si ma machine est mise sur le marché avant le 11 décembre 2027 ?
Quelle formule comprend quelles fonctions CRA ?
L’évaluation des risques CRA remplace-t-elle l’appréciation du risque selon l’EN ISO 12100 ?
Une IA décide-t-elle de la classification ou des délais ?
CE-Copilot génère-t-il la nomenclature des logiciels (SBOM) ?
La conformité des machines pour l’UE en interne, en français
Ce guide est rédigé par l’équipe à l’origine de CE-Copilot, une plateforme logicielle couvrant l’ensemble du processus CE européen pour les machines : détermination des directives applicables, un outil de recherche de normes couvrant 3 600+ normes avec statut d’harmonisation, appréciation du risque selon EN ISO 12100, documentation de la sécurité fonctionnelle, rapports d’essai, documentation technique, notice d’instructions et déclaration UE de conformité avec exports en anglais, en allemand, en français et en italien. La plateforme est disponible en français et en anglais ; l’IA rédige, vous vérifiez et validez.
Autres guides
Ce guide est une information générale destinée aux fabricants de machines, vérifiée par rapport aux textes juridiques officiels de l’UE (état : 15 septembre 2026). Il ne constitue pas un conseil juridique. Pour les décisions concernant votre produit, consultez les textes juridiques (EUR-Lex) ou un conseiller qualifié.