# EU Cyber Resilience Act (CRA) Compliance > Swiss GRC présente le Cyber Resilience Act (CRA) de l'UE et montre comment la SwissGRC® Platform aide les fabricants de produits numériques à structurer leurs processus, leurs signalements et leurs preuves de conformité. - URL: https://swissgrc.com/fr/cyber-resilience-act-cra/ - Éditeur: SwissGRC® - Publié: 2026-07-17 - Dernière mise à jour: 2026-09-21 ## Points clés - Le Cyber Resilience Act (règlement (UE) 2024/2847) est entré en vigueur le 10 décembre 2024 et s'applique pleinement à partir du 11 décembre 2027. - Les obligations de signalement des vulnérabilités activement exploitées et des incidents graves s'appliquent à tous les fabricants dès le 11 septembre 2026. - Les délais de signalement sont de 24 heures pour l'alerte précoce, 72 heures pour le suivi, 14 jours après correctif ou contournement et 30 jours pour les incidents graves. - Le CRA distingue quatre catégories de produits : standard (environ 90 % des produits), classe I, classe II et produits critiques essentiels. - La SwissGRC® Platform réunit applicabilité, gestion des risques, processus PSIRT, SBOM et documentation technique, et cartographie aussi NIS2 et DORA. - Swiss GRC propose une analyse des écarts gratuite et anonyme de 25 questions, basée sur le modèle de maturité ENISA pour les PME, ainsi qu'un livre blanc en allemand publié avec Swiss Infosec AG. EU Cyber Resilience Act # Devenez conforme au CRA, *sans perdre la vue d'ensemble.* Le Cyber Resilience Act rend la cybersécurité obligatoire pour tout produit comportant des éléments numériques. La SwissGRC® Platform réunit vos processus CRA en un seul endroit, afin que vous restiez prêt à fournir des preuves à tout moment. Contactez-nous Démarrer l'analyse des écarts Première obligation de signalement à partir du **11 septembre 2026** Chronologie ## Deux échéances 2026 qui comptent dès maintenant Beaucoup pensent que tout se joue en 2027. C'est faux. La première obligation entre en vigueur en septembre 2026 et s'applique à tous les fabricants. 11 juin 2026 Principalement classes I et II ### Désignation des organismes notifiés Les États membres de l'UE désignent des organismes d'évaluation de la conformité accrédités. Aucune action immédiate n'est nécessaire pour les produits de catégorie standard utilisant l'auto-déclaration. Les fabricants de produits de classe I et II devraient prendre contact dès maintenant pour anticiper les goulots d'étranglement de capacité. 11 septembre 2026 S'applique à tous les fabricants ### Obligations de signalement des vulnérabilités et incidents L'obligation centrale et la plus immédiate. Les vulnérabilités activement exploitées et les incidents de sécurité graves doivent être signalés à l'autorité CSIRT nationale et à l'ENISA dans des délais stricts : - **24 h**alerte précoce au CSIRT et à l'ENISA - **72 h**rapport de suivi plus détaillé - **14 jours**rapport final après correctif ou contournement - **30 jours**rapport final pour les incidents graves La chronologie complète en un coup d'œil 10 décembre 2024 **Le CRA entre en vigueur**La période de transition commence. 11 juin 2026 **Organismes notifiés actifs**Principalement pertinent pour les classes I et II. 11 septembre 2026 **Obligations de signalement des vulnérabilités et incidents**Tous les fabricants sont concernés. Les processus de signalement doivent être opérationnels. 11 décembre 2026 **Nombre suffisant d'organismes notifiés dans l'UE**Planification des capacités de certification. 11 décembre 2027 **Application intégrale de toutes les exigences du CRA**Le marquage CE devient obligatoire. Classification ## Les quatre catégories de produits Le CRA classe les produits selon leur risque. La catégorie détermine si l'auto-déclaration suffit ou si une évaluation par un organisme notifié est requise. 01 ### Catégorie standard environ 90 % de tous les produits Logiciels métier courants, électronique grand public et appareils IoT standards. Auto-déclaration du fabricant (module A) 02 ### Classe I : produits importants Risque élevé Gestionnaires de mots de passe, antivirus, VPN, pare-feux, navigateurs. Évaluation de conformité renforcée requise 03 ### Classe II : produits critiques Risque important Systèmes de gestion de réseau, contrôles industriels, passerelles de compteurs intelligents. Certification par un organisme notifié obligatoire 04 ### Produits critiques essentiels Niveau le plus élevé Un groupe très restreint soumis aux exigences les plus strictes. Évaluation externe obligatoire Vous ne savez pas dans quelle catégorie se situent vos produits ? Faites notre **analyse gratuite des écarts CRA** plus bas sur cette page. Six questions vous donnent une première évaluation de votre niveau de préparation, de façon anonyme et sans inscription. Exigences ## Les obligations techniques essentielles Le CRA exige que la cybersécurité soit intégrée et prouvée tout au long du cycle de vie du produit. Cinq obligations sont centrales. 01 ### Sécurité dès la conception et par défaut La sécurité dès le départ : paramètres par défaut sécurisés, pas de mots de passe universels, surfaces d'attaque minimales, données chiffrées. 02 ### Gestion des vulnérabilités Mises à jour de sécurité pendant au moins cinq ans, ainsi qu'un processus PSIRT qui traite les vulnérabilités tout au long du cycle de vie. 03 ### Software Bill of Materials Un inventaire complet et à jour de tous les composants logiciels par produit, y compris les composants tiers et open source. 04 ### Documentation technique et marquage CE À partir de fin 2027, les produits concernés doivent disposer d'une déclaration de conformité UE et du marquage CE. Sans cela, aucune importation dans l'UE n'est possible. 05 ### Résilience et maîtrise des incidents Les produits doivent résister aux attaques. Les fabricants doivent maîtriser rapidement les incidents et en informer les utilisateurs. Livre blanc ## Cyber Resilience Act : ce que les fabricants suisses doivent faire dès maintenant Un guide pratique de Swiss Infosec AG et Swiss GRC. Toutes les échéances, les quatre catégories de produits et une feuille de route concrète jusqu'à septembre 2026. 10 pages Toutes les échéances et obligations de signalement Feuille de route pour les équipes de développement Gratuit. Le téléchargement s'affiche immédiatement et est également envoyé par e-mail. Le livre blanc est en allemand. ### Cyber Resilience Act : ce que les fabricants suisses doivent faire dès maintenant De l'analyse d'applicabilité aux quatre catégories de produits, jusqu'à une feuille de route concrète pour septembre 2026. - Toutes les échéances et obligations de signalement en un coup d'œil - Les quatre catégories de produits et leur signification - Une feuille de route priorisée pour les équipes de développement - Sanctions et mandat de représentant UE expliqués Livre blanc conjoint de **Swiss Infosec AG** et **Swiss GRC**, avril 2026. Disponible en allemand. ### Téléchargement gratuit Merci de renseigner vos coordonnées. Le téléchargement s'affiche immédiatement et vous est également envoyé par e-mail. Le livre blanc est rédigé en allemand. ### Merci, votre livre blanc est prêt Le téléchargement démarre via le bouton ci-dessous. Une copie du lien se trouve également dans votre boîte de réception. Le livre blanc est en allemand. [Ouvrir le livre blanc (PDF)](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Rien ne s'est ouvert ? [Cliquez ici directement.](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Analyse des écarts gratuite ## Votre sécurité produit est-elle prête pour le CRA ? Une auto-évaluation basée sur le modèle de maturité ENISA pour les PME : 25 questions réparties sur cinq domaines. Vous obtenez immédiatement un niveau de maturité par domaine et un niveau global, de façon anonyme et sans inscription. Basé sur l'**ENISA SME Cyber Resilience Maturity Assessment Model**. Une auto-évaluation qui ne remplace pas une analyse de risque spécifique au produit, une analyse juridique ou une évaluation formelle de conformité au CRA. **25** questions **5** domaines **5** minutes Pour chaque question, choisissez la description la plus proche de votre pratique actuelle. Il n'y a pas de bonne ou de mauvaise réponse, juste un état des lieux honnête. Question **1** / 25 0sur 5 ### Résultat #### Demander le rapport détaillé et la liste d'actions Facultatif. Nous vous envoyons par e-mail une évaluation structurée avec votre maturité par domaine et une liste d'actions priorisées. Vos réponses restent anonymes tant que vous ne demandez pas le rapport. **Merci.** Votre rapport est en cours d'envoi et arrivera bientôt dans votre boîte de réception. [Demander une démo](https://swissgrc.com/fr/fr/demo/) L'analyse des écarts est une auto-évaluation non contraignante basée sur le modèle de maturité ENISA et ne remplace pas une analyse de risque spécifique au produit, une analyse juridique ou une évaluation formelle de conformité au CRA. Le rôle de la plateforme ## Structure et preuves pour votre conformité CRA Le CRA exige non seulement un produit sécurisé, mais aussi des processus robustes et des preuves complètes. C'est exactement là qu'intervient la SwissGRC® Platform. 01 ### Applicabilité et périmètre Recensez votre portefeuille, attribuez à chaque produit une classe de risque, consignez l'action nécessaire. L'analyse devient un plan d'action suivi. 02 ### Gestion des risques et SMSI Évaluez et gérez les risques produit dans un modèle de données intégré. De nombreuses exigences du CRA correspondent à des contrôles ISO 27001 que vous couvrez déjà ici. 03 ### Vulnérabilités et signalement Modélisez votre processus PSIRT et gérez les délais de signalement stricts (24 h, 72 h, 14 jours) avec des rôles clairs et un historique complet. 04 ### Le SBOM au niveau de la gouvernance Reliez votre SBOM aux produits et aux risques. Lorsqu'un composant devient vulnérable, vous voyez immédiatement quels produits sont concernés. 05 ### Documentation technique Analyses de risque, mesures et dossiers de conformité en un seul endroit, versionnés et accessibles à tout moment. 06 ### CRA, NIS2 et DORA réunis CRA, NIS2 et DORA sur une seule plateforme. Vous produisez les preuves une fois, pas trois fois. Questions fréquentes ## Comprendre le CRA Les questions essentielles sur le Cyber Resilience Act, avec un focus particulier sur les fabricants suisses et la future législation nationale. Qu'est-ce que le Cyber Resilience Act (CRA) ? Le CRA (règlement (UE) 2024/2847) est la première loi horizontale de l'UE à fixer des exigences de cybersécurité contraignantes pour tous les produits comportant des éléments numériques. Il complète des cadres tels que la directive NIS2 et le RGPD, mais s'adresse directement aux fabricants de produits et s'étend sur toute la chaîne d'approvisionnement. Il est entré en vigueur le 10 décembre 2024 et s'appliquera pleinement à partir du 11 décembre 2027. Le CRA s'applique-t-il aussi aux entreprises suisses ? Oui. Le CRA est un règlement de marché de l'UE : quiconque met des produits comportant des éléments numériques sur le marché de l'UE doit respecter ces exigences, quel que soit le lieu d'implantation de l'entreprise. Cela concerne les fabricants qui vendent dans l'UE, les importateurs, les distributeurs et, sous certaines conditions, les fournisseurs cloud suisses. Les entreprises suisses sans établissement dans l'UE doivent également désigner un **représentant autorisé dans l'UE**. Quelles échéances s'appliquent en 2026 et 2027 ? Trois dates sont centrales : à partir du **11 juin 2026**, les organismes notifiés d'évaluation de la conformité sont désignés (principalement pertinent pour les classes I et II). À partir du **11 septembre 2026**, les obligations de signalement des vulnérabilités activement exploitées et des incidents graves s'appliquent, et ce pour tous les fabricants. À partir du **11 décembre 2027**, le CRA s'applique pleinement, y compris le marquage CE et l'évaluation de conformité. Quels sont les délais de signalement pour les vulnérabilités et les incidents ? À partir du 11 septembre 2026, les vulnérabilités activement exploitées et les incidents de sécurité graves doivent être signalés dans des délais stricts : une alerte précoce à l'autorité CSIRT nationale et à l'ENISA sous **24 heures**, un suivi plus détaillé sous **72 heures**, un rapport final sous **14 jours** après un correctif ou un contournement, et sous **30 jours** pour les incidents graves. Le signalement s'effectue via une plateforme centrale de l'ENISA. Dans quelle catégorie se situe mon produit ? Le CRA comporte quatre niveaux : la **catégorie standard** (environ 90 % de tous les produits, l'auto-déclaration suffit), la **classe I** (produits importants tels que gestionnaires de mots de passe, VPN, pare-feux), la **classe II** (produits critiques tels que contrôles industriels, systèmes de gestion de réseau) et les **produits critiques essentiels** soumis aux exigences les plus strictes. Les classes I, II et les produits essentiels nécessitent une évaluation de conformité renforcée ou externe. Une analyse des écarts permet de clarifier la classification. Quelles sont les sanctions en cas de non-conformité ? Pour les infractions graves, les autorités de surveillance du marché peuvent imposer des amendes allant jusqu'à **15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial**, le montant le plus élevé étant retenu. Pour les infractions moins graves, le plafond est de 10 millions d'euros ou 2 %. Les autorités peuvent également interdire les ventes, ordonner des rappels ou retirer des produits du marché. La Suisse introduit-elle sa propre législation ? Oui, cela se dessine. Le Conseil fédéral a chargé l'Office fédéral de la cybersécurité (OFCS) d'élaborer d'ici l'automne 2026 un projet de consultation pour une législation suisse sur la cyber-résilience des produits numériques, explicitement calquée sur le CRA de l'UE. Les fabricants suisses doivent donc s'attendre à une double vague réglementaire : le CRA de l'UE dès maintenant, et un pendant suisse attendu à partir de 2027 ou 2028. Quiconque met en œuvre dès aujourd'hui la logique du CRA est bien positionné pour les deux. Comment la SwissGRC® Platform soutient-elle la conformité au CRA ? La plateforme apporte structure et preuves aux obligations organisationnelles du CRA : analyse d'applicabilité et périmètre, gestion des risques et SMSI, processus de vulnérabilités et de signalement avec leurs délais stricts, SBOM au niveau de la gouvernance, et documentation technique prête pour l'audit. Comme le CRA, le NIS2 et le DORA sont cartographiés sur une seule plateforme, les preuves ne doivent être produites qu'une seule fois. La sécurité dès la conception au niveau du produit lui-même reste une tâche de développement, pour laquelle Swiss GRC et son partenaire Swiss Infosec AG vous accompagnent. ## Le 11 septembre 2026 approche. *Préparez-vous de façon structurée.* Découvrez comment gérer l'applicabilité, les vulnérabilités, les processus de signalement et la documentation technique avec la SwissGRC® Platform. Ou commencez par le livre blanc de Swiss Infosec AG et Swiss GRC. [Demander une démo](https://swissgrc.com/fr/fr/demo/) Télécharger le livre blanc ## Questions fréquentes ### Quelles sont les échéances du Cyber Resilience Act en 2026 et 2027 ? Le 11 juin 2026, les organismes notifiés sont désignés, ce qui concerne surtout les classes I et II. Le 11 septembre 2026, les obligations de signalement s'appliquent à tous les fabricants. Le 11 décembre 2027, le CRA s'applique pleinement, y compris le marquage CE. ### Quels sont les délais de signalement des vulnérabilités selon le CRA ? Une alerte précoce est due sous 24 heures au CSIRT national et à l'ENISA, puis un suivi sous 72 heures. Le rapport final suit sous 14 jours après un correctif ou un contournement, et sous 30 jours pour les incidents graves. ### Le CRA s'applique-t-il aux entreprises suisses ? Oui, dès lors qu'elles mettent sur le marché de l'UE des produits comportant des éléments numériques. Les entreprises suisses sans établissement dans l'UE doivent désigner un représentant autorisé dans l'UE. ### Quelles sanctions prévoit le CRA en cas de non-conformité ? Pour les infractions graves, les amendes peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les infractions moins graves, le plafond est de 10 millions d'euros ou 2 %. Les autorités peuvent aussi interdire des ventes, ordonner des rappels ou retirer des produits. ### Comment la SwissGRC® Platform soutient-elle la conformité au CRA ? Elle apporte structure et preuves aux obligations organisationnelles : applicabilité, risques et SMSI, processus de vulnérabilités et de signalement, SBOM et documentation technique. La sécurité dès la conception au niveau du produit reste une tâche de développement.