Termes clés
- Produit comportant des éléments numériques
- Tout produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants mis sur le marché séparément, dont l'utilisation prévue comprend une connexion à un réseau [Art. 3 point 1)].
- Nomenclature des logiciels (SBOM)
- Document formel détaillant les composants logiciels et leurs relations dans la chaîne d'approvisionnement d'un produit, établi dans un format lisible par machine [Art. 3 point 53), annexe I partie II point 1)].
- Période d'assistance
- Durée pendant laquelle le fabricant garantit le traitement des vulnérabilités conformément aux exigences de l'annexe I partie II, d'au moins cinq ans sauf durée de vie plus courte du produit [Art. 3 point 20), Art. 13 par. 8].
- Intendant de logiciels ouverts
- Personne morale, autre que le fabricant, assurant un soutien systématique et continu au développement de produits open source destinés à des activités commerciales, soumise à des obligations allégées et exemptée d'amendes [Art. 3 point 14), Art. 24].
- Vulnérabilité activement exploitée
- Vulnérabilité pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système, déclenchant l'obligation de notification en 24 heures [Art. 3 point 42), Art. 14 par. 1].
- Évaluation de la conformité
- Processus de vérification du respect des exigences essentielles de cybersécurité de l'annexe I, pouvant inclure l'autocontrôle (module A), l'examen de type (modules B+C) ou l'assurance qualité complète (module H) [Art. 3 point 27), Art. 32].
- Modification substantielle
- Toute modification d'un produit après sa mise sur le marché qui affecte sa conformité aux exigences du CRA ou qui modifie l'utilisation prévue pour laquelle le produit a été évalué [Art. 3 point 31), Art. 69 par. 2].
?
Questions fréquentes
Le CRA s'applique-t-il aux logiciels SaaS purs sans composant matériel ?
Le CRA couvre les produits dont l'utilisation prévue comprend une connexion directe ou indirecte à un réseau [Art. 2 par. 1]. Un logiciel mis sur le marché séparément (y compris le traitement de données à distance intégré au produit) est inclus dans la définition de 'produit comportant des éléments numériques' [Art. 3 point 1)]. Les solutions purement SaaS qui ne sont pas mises sur le marché en tant que produit distinct ne relèvent pas directement du CRA, mais le traitement de données à distance d'un produit couvert est dans le champ.
Les projets open source sont-ils soumis au CRA ?
Les logiciels libres et ouverts développés ou fournis en dehors d'une activité commerciale sont exclus. En revanche, un fabricant commercialisant un produit open source est pleinement soumis au règlement [Art. 13]. Les 'intendants de logiciels ouverts' ont des obligations allégées (politique de cybersécurité, coopération avec les autorités) et sont exemptés d'amendes [Art. 24, Art. 64 par. 10 point b)].
Quels sont les délais de notification en cas de vulnérabilité activement exploitée ?
Le fabricant doit adresser une alerte précoce au CSIRT coordinateur et à l'ENISA dans les 24 heures suivant la prise de connaissance, une notification détaillée dans les 72 heures, puis un rapport final dans les 14 jours suivant la disponibilité du correctif [Art. 14 par. 2 points a), b) et c)]. Pour les incidents graves, le rapport final est dû dans un délai d'un mois [Art. 14 par. 4 point c)].
Quelle est la durée minimale de la période d'assistance ?
La période d'assistance durant laquelle le fabricant doit gérer les vulnérabilités est d'au moins cinq ans, sauf si la durée de vie prévue du produit est plus courte [Art. 13 par. 8]. Les mises à jour de sécurité doivent rester disponibles pendant au moins dix ans après leur publication [Art. 13 par. 9].
Qu'est-ce que la nomenclature des logiciels (SBOM) exigée par le CRA ?
Il s'agit d'un document formel détaillant les composants et leurs relations dans la chaîne d'approvisionnement du produit [Art. 3 point 53)]. Le fabricant doit l'établir dans un format lisible par machine couramment utilisé, couvrant au minimum les dépendances de premier niveau [Annexe I partie II point 1)]. La Commission peut préciser le format par acte d'exécution [Art. 13 par. 24].
Les micro-entreprises et PME bénéficient-elles d'aménagements ?
Les frais d'évaluation de conformité facturés par les organismes notifiés doivent être réduits proportionnellement pour les micro-entreprises, petites et moyennes entreprises, ainsi que les jeunes pousses [Art. 32 par. 6]. Les micro et petites entreprises fabricantes sont exemptées d'amendes pour dépassement du délai de 24 heures de l'alerte précoce [Art. 64 par. 10 point a)].
Quelle procédure d'évaluation de conformité s'applique à mon produit ?
Les produits par défaut peuvent recourir à l'autocontrôle interne (module A) [Art. 32 par. 1]. Les produits 'importants' de classe I doivent passer par un organisme notifié (modules B+C ou H) s'ils n'appliquent pas de normes harmonisées [Art. 32 par. 2]. Les produits de classe II exigent un organisme notifié ou une certification européenne de niveau 'substantiel' [Art. 32 par. 3]. Les produits 'critiques' (annexe IV) suivent les mêmes règles que la classe II, sauf si la Commission impose une certification spécifique [Art. 32 par. 4].
3
Facteurs d’évaluation et liste de contrôle
Premium4
Questions pour votre avocat
Premium5
Conclusion et résumé
PremiumAnalyse détaillée avec liens sources.
Schalten Sie die KI-Analyse frei — mit markierten Fundstellen und direkten Links zu EUR-Lex. 7 Tage kostenlos testen.
Keine Kreditkarte heute. Kündigung jederzeit.