Glossaire du CRA

Pour un fabricant d’appareils

La première notification, dans les 24 heures après que le fabricant a eu connaissance d’une vulnérabilité activement exploitée ou d’un incident grave ayant des répercussions sur la sécurité du produit comportant des éléments numériques, en indiquant, le cas échéant, les États membres dans lesquels l’appareil a été mis à disposition.

Disposition · art. 14(2)(a); pour les incidents art. 14(4)(a) sur EUR-Lex

une alerte précoce de vulnérabilité activement exploitée, sans retard injustifié et, en tout état de cause, au plus tard 24 heures après en avoir eu connaissance, en indiquant, le cas échéant, les États membres sur le territoire desquels il a connaissance que son produit comportant des éléments numériques a été mis à disposition;

Aussi : Catégorie I (règlement (UE) 2025/2392)

Pour un fabricant d’appareils

La classe I de l’annexe III énumère, parmi 19 entrées, les interfaces réseau, les systèmes d’exploitation, les routeurs et modems, les microprocesseurs et microcontrôleurs dotés de fonctionnalités liées à la sécurité et les produits domestiques intelligents dotés de fonctionnalités de sécurité ; l’article 32, paragraphe 2, fixe leur procédure d’évaluation.

Extrait · annexe III, classe I sur EUR-Lex

10. Interfaces réseau physiques et virtuelles
11. Systèmes d’exploitation
12. Routeurs, modems destinés à la connexion à l’internet et commutateurs
13. Microprocesseurs dotés de fonctionnalités liées à la sécurité
14. Microcontrôleurs dotés de fonctionnalités liées à la sécurité
15. Circuits intégrés spécifiques à l’application (ASIC) et réseaux de portes programmables (FPGA) dotés de fonctionnalités liées à la sécurité [...]
17. Produits domestiques intelligents dotés de fonctionnalités de sécurité, notamment serrures, caméras de sécurité, systèmes de surveillance pour bébé et systèmes d’alarme

Aussi : Catégorie II (règlement (UE) 2025/2392)

Pour un fabricant d’appareils

La classe II de l’annexe III énumère les hyperviseurs et systèmes d’exécution de conteneurs, les pare-feu et systèmes de détection ou de prévention des intrusions, ainsi que les microprocesseurs et microcontrôleurs résistants aux manipulations ; l’article 32, paragraphe 3, fixe leur procédure d’évaluation, sans possibilité de contrôle interne.

Extrait · annexe III, classe II sur EUR-Lex

1. Hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
2. Pare-feu, systèmes de détection et de prévention des intrusions
3. Microprocesseurs résistants aux manipulations
4. Microcontrôleurs résistants aux manipulations

Pour un fabricant d’appareils

Un logiciel ou un matériel destiné à être intégré dans un système d’information électronique : un module radio, un jeu de composants avec son micrologiciel ou une bibliothèque dans l’image du micrologiciel.

Définition · art. 3(6) sur EUR-Lex

«composant»: un logiciel ou du matériel destiné à être intégré dans un système d’information électronique;

Pour un fabricant d’appareils

L’appareil est mis à disposition avec une configuration de sécurité par défaut et peut être réinitialisé à son état d’origine ; une autre configuration peut être convenue avec une entreprise utilisatrice pour un produit sur mesure (annexe I, partie I, point 2 b)).

Disposition · annexe I partie I(2)(b) sur EUR-Lex

être mis à disposition sur le marché avec une configuration de sécurité par défaut, sauf accord contraire entre le fabricant et l’entreprise utilisatrice en ce qui concerne un produit sur mesure comportant des éléments numériques, y compris la possibilité de réinitialiser le produit à son état d’origine;

Pour un fabricant d’appareils

Le CSIRT national désigné comme coordinateur qui, avec l’ENISA, reçoit les notifications du fabricant au titre de l’article 14 ; l’article 14, paragraphe 7, précise de quel État membre relève ce CSIRT.

Définition · art. 3(51); art. 14(1), (7) sur EUR-Lex

«CSIRT désigné comme coordinateur»: un CSIRT désigné comme coordinateur conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555.

Pour un fabricant d’appareils

Le document établi par le fabricant au titre de l’article 13, paragraphe 12, indiquant que le respect des exigences applicables de l’annexe I a été démontré ; le modèle figure à l’annexe V.

Disposition · art. 28(1); art. 13(12), (20); annexe V (modèle), annexe VI (simplifiée) sur EUR-Lex

La déclaration UE de conformité est établie par le fabricant conformément à l’article 13, paragraphe 12, et atteste que le respect des exigences essentielles de cybersécurité applicables énoncées à l’annexe I a été démontré.

Pour un fabricant d’appareils

Un revendeur ou un grossiste de la chaîne d’approvisionnement qui met l’appareil à disposition sans en modifier les propriétés ; il n’est ni le fabricant ni l’importateur.

Définition · art. 3(17) sur EUR-Lex

«distributeur»: une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met un produit comportant des éléments numériques à disposition sur le marché de l’Union sans altérer ses propriétés;

Pour un fabricant d’appareils

Le dossier décrivant comment l’appareil et les processus du fabricant satisfont à l’annexe I, avec au moins les éléments de l’annexe VII ; il est conservé pendant dix ans après la mise sur le marché ou pendant la période d’assistance si celle-ci est plus longue (article 13, paragraphe 13).

Disposition · art. 31(1); annexe VII; art. 13(12)-(13) sur EUR-Lex

La documentation technique réunit l’ensemble des informations ou des précisions utiles concernant les moyens employés par le fabricant pour garantir la conformité du produit comportant des éléments numériques et des processus mis en place par le fabricant aux exigences essentielles de cybersécurité énoncées à l’annexe I. Elle contient, au minimum, les éléments énumérés à l’annexe VII.

Pour un fabricant d’appareils

Le processus visant à vérifier que l’appareil satisfait aux exigences essentielles de cybersécurité de l’annexe I (article 32) ; l’évaluation obligatoire de la conformité au titre du CRA s’applique à partir du 11 décembre 2027.

Définition · art. 3(27) sur EUR-Lex

«évaluation de la conformité»: le processus qui permet de vérifier si les exigences essentielles de cybersécurité énoncées à l’annexe I ont été respectées;

Pour un fabricant d’appareils

L’annexe I comporte deux parties : la partie I porte sur les propriétés de l’appareil lui-même, comme une configuration de sécurité par défaut et la protection des données stockées et transmises ; la partie II porte sur la gestion des vulnérabilités par le fabricant, y compris la nomenclature des logiciels et les mises à jour de sécurité.

Disposition · annexe I (partie I et partie II); art. 3(27); art. 13(1), (8) sur EUR-Lex

Les produits comportant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié en fonction des risques.

Pour un fabricant d’appareils

Quiconque met l’appareil sur le marché sous son propre nom ou sa propre marque (article 3, point 13), même si d’autres l’ont conçu ou fabriqué ; un bureau d’études n’est généralement pas le fabricant.

Définition · art. 3(13) sur EUR-Lex

«fabricant»: une personne physique ou morale qui développe ou fabrique des produits comportant des éléments numériques ou fait concevoir, développer ou fabriquer des produits comportant des éléments numériques, et les commercialise sous son propre nom ou sa propre marque, à titre onéreux, monétisé ou gratuit;

Pour un fabricant d’appareils

Une personne ou une entreprise établie dans l’Union qui met sur le marché de l’Union un appareil portant le nom ou la marque d’un fabricant établi en dehors de l’Union.

Définition · art. 3(16) sur EUR-Lex

«importateur»: une personne physique ou morale établie dans l’Union qui met sur le marché un produit comportant des éléments numériques, lequel porte le nom ou la marque d’une personne physique ou morale établie en dehors de l’Union;

Pour un fabricant d’appareils

Un incident qui affecte ou peut affecter la capacité de l’appareil à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données ou des fonctions ; seuls les incidents graves sont soumis à l’obligation de signalement de l’article 14, paragraphe 3.

Définition · art. 3(44); art. 14(3), (5) sur EUR-Lex

«incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques»: un incident qui entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions;

Pour un fabricant d’appareils

Un incident qui affecte ou peut affecter la capacité de l’appareil à protéger des données ou fonctions sensibles ou importantes, ou qui a conduit ou peut conduire à l’introduction ou à l’exécution d’un code malveillant ; l’article 14, paragraphe 5, fixe les critères, et seuls les incidents graves sont soumis à l’obligation de signalement de l’article 14, paragraphe 3.

Disposition · art. 14(3), (5) sur EUR-Lex

Aux fins du paragraphe 3, un incident ayant des répercussions sur la sécurité du produit comportant des éléments numériques est considéré comme grave lorsque: a) il entache ou est susceptible d’entacher la capacité d’un produit comportant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes; ou b) il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant dans un produit comportant des éléments numériques ou dans le réseau et les systèmes d’information d’un utilisateur du produit comportant des éléments numériques.

Pour un fabricant d’appareils

Les informations de l’annexe II qui accompagnent l’appareil sur papier ou sous forme électronique, notamment le point de contact unique, la date de fin de la période d’assistance et, si le fabricant met la nomenclature des logiciels à disposition, l’endroit où la trouver.

Disposition · annexe II; art. 13(18) sur EUR-Lex

Les fabricants veillent à ce que les produits comportant des éléments numériques soient accompagnés des informations et des instructions destinées à l’utilisateur énoncées à l’annexe II, sous forme papier ou électronique.

Pour un fabricant d’appareils

Une personne ou une entreprise établie dans l’Union qui détient un mandat écrit du fabricant pour accomplir des tâches déterminées en son nom.

Définition · art. 3(15) sur EUR-Lex

«mandataire»: une personne physique ou morale établie dans l’Union ayant reçu mandat écrit du fabricant pour agir en son nom aux fins de l’accomplissement de tâches déterminées;

Pour un fabricant d’appareils

Le marquage par lequel le fabricant indique que l’appareil et ses processus sont conformes à l’annexe I et aux autres législations d’harmonisation de l’Union qui prévoient ce marquage.

Définition · art. 3(31) sur EUR-Lex

«marquage CE»: un marquage par lequel un fabricant indique qu’un produit comportant des éléments numériques et les processus mis en place par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I et toute autre législation d’harmonisation de l’Union applicable prévoyant son apposition;

Pour un fabricant d’appareils

Toute fourniture d’un appareil destiné à être distribué ou utilisé sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit.

Définition · art. 3(22) sur EUR-Lex

«mise à disposition sur le marché»: la fourniture d’un produit comportant des éléments numériques destiné à être distribué ou utilisé sur le marché de l’Union dans le cadre d’une activité commerciale, à titre onéreux ou gratuit;

Pour un fabricant d’appareils

Une mise à jour du micrologiciel ou du logiciel qui traite un problème de sécurité identifié ; l’annexe I, partie II, point 8, exige sa diffusion sans délai et, sauf pour les produits sur mesure convenus, gratuitement, avec un message d’information.

Disposition · annexe I partie II(2) et (8); art. 13(9) sur EUR-Lex

veillent à ce que, lorsque des correctifs ou des mises à jour de sécurité sont disponibles pour remédier à des problèmes de sécurité constatés, ils soient diffusés sans retard et, sauf accord contraire entre un fabricant et un utilisateur professionnel en ce qui concerne un produit sur mesure comportant des éléments numériques, gratuitement et accompagnées de messages consultatifs fournissant aux utilisateurs les informations pertinentes, y compris sur les éventuelles mesures à prendre.

Pour un fabricant d’appareils

La première mise à disposition d’un produit sur le marché de l’Union, à distinguer de la mise à disposition sur le marché, qui couvre toute fourniture ultérieure.

Définition · art. 3(21) sur EUR-Lex

«mise sur le marché»: la première mise à disposition d’un produit comportant des éléments numériques sur le marché de l’Union;

Pour un fabricant d’appareils

Une modification postérieure à la mise sur le marché qui a une incidence sur la conformité à l’annexe I, partie I, ou modifie l’utilisation prévue qui a été évaluée ; selon le considérant 39, une mise à jour de sécurité qui ne fait que réduire le risque n’est généralement pas substantielle.

Définition · art. 3(30) sur EUR-Lex

«modification substantielle»: une modification apportée au produit comportant des éléments numériques à la suite de sa mise sur le marché, qui a une incidence sur la conformité du produit comportant des éléments numériques aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne une modification de l’utilisation prévue pour laquelle le produit comportant des éléments numériques a été évalué;

Pour un fabricant d’appareils

Un relevé formel des composants du logiciel de l’appareil et de leurs relations dans la chaîne d’approvisionnement ; l’annexe I, partie II, point 1, demande un format lisible par machine couvrant au moins les dépendances de premier niveau.

Définition · art. 3(39); annexe I partie II(1); art. 13(24) sur EUR-Lex

«nomenclature des logiciels»: un document officiel contenant les détails et les relations avec la chaîne d’approvisionnement des différents composants utilisés dans la fabrication d’un produit comportant des éléments numériques;

Pour un fabricant d’appareils

Une norme relevant du règlement (UE) no 1025/2012 ; son application confère une présomption de conformité pour les exigences qu’elle couvre (article 27, paragraphe 1).

Définition · art. 3(36) sur EUR-Lex

«norme harmonisée»: une norme harmonisée au sens de l’article 2, point 1) c), du règlement (UE) no 1025/2012;

Pour un fabricant d’appareils

La deuxième notification, dans les 72 heures après que le fabricant a eu connaissance des faits : informations générales sur l’appareil, la nature de l’exploitation et de la vulnérabilité, les mesures de correction ou d’atténuation prises et celles que les utilisateurs peuvent prendre. Pour les incidents, la notification d’incident de l’article 14, paragraphe 4, point b).

Disposition · art. 14(2)(b); pour les incidents art. 14(4)(b) (notification d’incident) sur EUR-Lex

à moins que les informations pertinentes n’aient déjà été communiquées, une notification de vulnérabilité, sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance de la vulnérabilité activement exploitée, fournissant les informations générales disponibles sur le produit comportant des éléments numériques concerné, la nature générale de l’exploitation et de la vulnérabilité concernée, ainsi que toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre, et précisant, s’il y a lieu, le degré de sensibilité qu’il attribue aux informations notifiées;

Pour un fabricant d’appareils

Un organisme d’évaluation de la conformité notifié au titre du chapitre IV ; les organismes peuvent être notifiés depuis le 11 juin 2026, et l’évaluation obligatoire de la conformité au titre du CRA s’applique à partir du 11 décembre 2027.

Définition · art. 3(29) sur EUR-Lex

«organisme notifié»: un organisme d’évaluation de la conformité désigné en application de l’article 43 et de toute autre législation d’harmonisation de l’Union pertinente;

Pour un fabricant d’appareils

La période pendant laquelle le fabricant doit traiter les vulnérabilités de l’appareil conformément à l’annexe I, partie II ; le fabricant la fixe en vertu de l’article 13, paragraphe 8.

Définition · art. 3(20); art. 13(8), (9), (19) sur EUR-Lex

«période d’assistance»: la période au cours de laquelle un fabricant est tenu de garantir que les vulnérabilités d’un produit comportant des éléments numériques sont traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II;

Pour un fabricant d’appareils

La plateforme établie et gérée par l’ENISA, par laquelle les notifications au titre de l’article 14 parviennent simultanément au CSIRT désigné comme coordinateur et à l’ENISA (article 14, paragraphe 1).

Disposition · art. 16(1); art. 14(1), (3); art. 15 sur EUR-Lex

Aux fins des notifications visées à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, et afin de simplifier les obligations de signalement des fabricants, l’ENISA met en place une plateforme unique de signalement. Les opérations quotidiennes de la plateforme unique de signalement sont administrées par l’ENISA, qui en assure le fonctionnement. L’architecture de la plateforme unique de signalement permet aux États membres et à l’ENISA de mettre en place leurs propres points finaux de notification électronique.

Pour un fabricant d’appareils

Le contact propre au fabricant qui permet aux utilisateurs de le joindre directement et rapidement, notamment pour signaler les vulnérabilités de l’appareil ; il est indiqué dans les informations de l’annexe II. Ce n’est pas la plateforme de signalement de l’ENISA.

Disposition · art. 13(17); annexe II sur EUR-Lex

Aux fins du présent règlement, les fabricants désignent un point de contact unique pour permettre aux utilisateurs de communiquer directement et rapidement avec lui, y compris afin de faciliter le signalement des vulnérabilités des produits comportant des éléments numériques.

Pour un fabricant d’appareils

Une politique de divulgation coordonnée des vulnérabilités que le fabricant met en place et applique (annexe I, partie II, point 5) ; le point 6 de cette partie ajoute une adresse de contact pour signaler les vulnérabilités.

Disposition · annexe I partie II(5); art. 13(8) dernier alinéa; annexe VII point 2(b); considérant 76 sur EUR-Lex

mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités;

Pour un fabricant d’appareils

Un appareil connecté avec le traitement de données à distance dont il a besoin pour fonctionner ; un module ou un composant de micrologiciel vendu séparément est un produit à part entière.

Définition · art. 3(1) sur EUR-Lex

«produit comportant des éléments numériques»: un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément;

Pour un fabricant d’appareils

L’annexe IV énumère trois catégories : appareils matériels dotés de boîtiers de sécurité, passerelles de compteurs intelligents et autres appareils destinés à des fins de sécurité avancées, ainsi que cartes à puce ou appareils similaires comprenant des éléments sécurisés ; l’article 8 permet à la Commission d’exiger pour eux un système européen de certification de cybersécurité.

Extrait · art. 8(1)-(2); annexe IV sur EUR-Lex

1. Dispositifs matériels avec boîtier de sécurité
2. «Passerelles pour compteur intelligent» au sein des systèmes intelligents de mesure tels que définis à l’article 2, point 23), de la directive (UE) 2019/944 du Parlement européen et du Conseil (1) et autres dispositifs à des fins de sécurité avancées, y compris pour un traitement cryptographique sécurisé
3. Cartes à puce ou dispositifs similaires, y compris éléments sécurisés

Pour un fabricant d’appareils

Un produit dont la fonctionnalité essentielle relève de l’une des catégories de l’annexe III, comme un routeur ou un microcontrôleur doté de fonctionnalités liées à la sécurité ; il suit les procédures d’évaluation de la conformité prévues à l’article 32, paragraphes 2 et 3. L’article 7 lie ce statut à la fonctionnalité essentielle propre au produit.

Disposition · art. 7(1)-(2); annexe III (classe I et classe II) sur EUR-Lex

Les produits comportant des éléments numériques dont la fonctionnalité de base est celle d’une catégorie de produit énoncée à l’annexe III sont considérés comme des produits importants comportant des éléments numériques et sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3.

Pour un fabricant d’appareils

À remettre au plus tard 14 jours après qu’une mesure de correction ou d’atténuation est disponible pour une vulnérabilité, et dans un délai d’un mois après la notification d’incident pour un incident grave.

Disposition · art. 14(2)(c) (vulnérabilités); art. 14(4)(c) (incidents) sur EUR-Lex

à moins que les informations pertinentes n’aient déjà été communiquées, un rapport final, au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation, comprenant au moins les éléments suivants: i) une description de la vulnérabilité, y compris de sa gravité et de ses répercussions; ii) le cas échéant, des informations concernant tout acteur malveillant ayant exploité ou exploitant la vulnérabilité; iii) des précisions concernant la mise à jour de sécurité ou les autres mesures correctives qui ont été mises en place pour remédier à la vulnérabilité.

Pour un fabricant d’appareils

La perte ou la perturbation potentielle résultant d’un incident, exprimée comme la combinaison de son ampleur et de sa probabilité ; la base de l’évaluation des risques de l’article 13, paragraphe 2.

Définition · art. 3(37) sur EUR-Lex

«risque de cybersécurité»: le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et la probabilité que l’incident se produise;

Pour un fabricant d’appareils

La partie serveur que le fabricant a conçue, ou fait concevoir sous sa responsabilité, lorsqu’une fonction de l’appareil ne fonctionnerait pas sans elle.

Définition · art. 3(2) sur EUR-Lex

«traitement de données à distance»: tout traitement de données à distance pour lequel le logiciel est conçu et développé par le fabricant ou sous la responsabilité de ce dernier, et dont l’absence empêcherait le produit comportant des éléments numériques d’exécuter une de ses fonctions;

Pour un fabricant d’appareils

L’utilisation indiquée par le fabricant dans les instructions, les documents commerciaux et la documentation technique, y compris le contexte et les conditions d’utilisation.

Définition · art. 3(23) sur EUR-Lex

«utilisation prévue»: l’utilisation à laquelle un produit comportant des éléments numériques est destiné par le fabricant, y compris le contexte et les conditions spécifiques d’utilisation, telles que précisées dans les informations communiquées par le fabricant dans la notice d’utilisation, dans les indications publicitaires ou de vente, ainsi que dans la documentation technique;

Pour un fabricant d’appareils

Une faiblesse, une susceptibilité ou une faille de l’appareil qu’une cybermenace peut exploiter dans le micrologiciel, un composant ou le matériel lui-même ; un constat d’analyse est un signal indiquant qu’une vulnérabilité pourrait être présente.

Définition · art. 3(40) sur EUR-Lex

«vulnérabilité»: une faiblesse, une susceptibilité ou une faille d’un produit comportant des éléments numériques qui peut être exploitée par une cybermenace;

Pour un fabricant d’appareils

Une vulnérabilité pour laquelle des preuves fiables montrent qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation de son propriétaire ; elle déclenche l’obligation de signalement de l’article 14, paragraphe 1. Une inscription sur une liste ou un constat est un signal ; le fabricant évalue l’existence de preuves fiables.

Définition · art. 3(42) sur EUR-Lex

«vulnérabilité activement exploitée»: une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système;

Pour un fabricant d’appareils

Une vulnérabilité qu’un adversaire pourrait effectivement exploiter dans des conditions pratiques d’utilisation ; l’annexe I, partie I, point 2 a), exige que les appareils soient mis à disposition sans vulnérabilités connues exploitables.

Définition · art. 3(41) sur EUR-Lex

«vulnérabilité exploitable»: une vulnérabilité susceptible d’être utilisée efficacement par un adversaire en conditions de fonctionnement effectives;