À partir du 20 janvier 2027, le règlement machines s'applique aux machines. Pour les machines qui sont aussi des produits comportant des éléments numériques, les obligations du règlement sur la cyberrésilience s'ajoutent — les obligations de signalement dès le 11 septembre 2026, les autres obligations principales dès le 11 décembre 2027. L'un ne remplace pas l'autre.
Données dans l'UE · Documents avec SHA-256 · Export à tout moment · Aucun verrouillage
Vous utilisez déjà un logiciel CE ou un consultant ? normakte les complète au lieu de les remplacer. Comment ils se combinent.
Les trois outils gratuits, sans inscription. Vos saisies ne quittent pas le navigateur.
Et avec le délai pendant lequel vous devez le conserver. Là où les deux règlements s'appliquent, c'est le délai le plus long qui vaut.
| Document | Base juridique | Conservation |
|---|---|---|
| Documentation technique | Art. 10 § 2 · Annexe IV A | au moins 10 ans |
| Évaluation des risques | Art. 8 · Annexe III | avec le dossier |
| Code source du logiciel pertinent pour la sécurité | Annexe IV A m | sur demande motivée |
| Notice d'instructions, numérique admis | Art. 10 § 7 | en ligne au moins 10 ans, papier sur demande sous 1 mois |
| Déclaration UE d'incorporation, quasi-machine | Art. 22 · Annexe V B | au moins 10 ans |
| Notice d'assemblage | Art. 11 § 7 · Annexe XI | en ligne au moins 10 ans |
| Documentation technique (CRA) | Art. 31 · Annexe VII | 10 ans ou période de support, le plus long |
| Évaluation du risque de cybersécurité | Art. 13 § 2–4 | tenue à jour en continu |
| Nomenclature logicielle (SBOM) | Annexe I II(1) | non public ; dans le dossier sur demande motivée |
| Période de support et sa justification | Art. 13 § 8 et 19 | au moins 5 ans, davantage en installations |
| Archive des mises à jour de sécurité | Art. 13 § 9 | au moins 10 ans dès la publication |
| Signalement : 24 h / 72 h / 14 jours | Art. 14 | Registre des incidents |
| Une déclaration UE de conformité pour tous les actes | Art. 21 § 3 · Art. 28 § 3 | en ligne au moins 10 ans |
| Marquage CE, cumulatif | Art. 24 · Art. 30 § 5 | — |
L'ordre n'est pas libre : l'évaluation des risques précède les mesures de protection, les mesures de protection précèdent la notice d'instructions, et la déclaration ne vient qu'après l'évaluation de la conformité. Une évaluation des risques établie a posteriori n'est pas conforme.
La mise sur le marché ne met pas fin au travail de conformité — même après le règlement machines, des obligations subsistent, par exemple sur la conformité de série et les mesures correctives. Le règlement sur la cyberrésilience ajoute cependant un processus explicitement continu : les vulnérabilités sont traitées sur toute la période de support, et la documentation technique doit être tenue à jour au moins aussi longtemps. En règle générale au moins cinq ans – moins seulement si la durée d'utilisation prévue est plus courte ; davantage dans la construction de machines et d'installations.
C'est précisément ce cycle qui fait la différence entre un dossier qu'on crée une fois et un dossier qu'on tient.
Le règlement machines cite la cybersécurité à deux endroits. Le règlement sur la cyberrésilience, à son considérant 53, cite exactement ces deux mêmes endroits.
La machine doit être conçue et construite de sorte que le raccordement d'un autre équipement — par une fonction de l'équipement raccordé lui-même ou via un dispositif d'accès à distance communiquant avec la machine — ne conduise pas à une situation dangereuse. Quiconque dispose d'une certification de cybersécurité au titre du règlement (UE) 2019/881 est présumé conforme à ce point.
Les systèmes de commande doivent résister aux influences externes intentionnelles et non intentionnelles, y compris les tentatives malveillantes de tiers raisonnablement prévisibles. Les versions du logiciel de sécurité doivent rester traçables cinq ans ; pour les systèmes auto-évolutifs s'ajoutent les données de décision, pendant un an.
La synergie entre les deux règlements ne naît pas d'elle-même. Elle doit être démontrée par le fabricant — par une évaluation des risques qui couvre aussi les risques de cybersécurité.
Considérant 53 du règlement (UE) 2024/2847
Pas de compte, pas d'adresse e-mail, pas de période d'essai. Vous calculez dans le navigateur, vous emportez le résultat.
Une déclaration qui cite les deux règlements — avec les références de leur publication, comme l'exige l'article.
D'abord la question qui précède le délai : vulnérabilité activement exploitée ou incident grave ? Les délais courent différemment.
Chargez votre déclaration actuelle : en quelques secondes, vous voyez ce qui ne convient plus à partir du 20 janvier 2027.
Pas de démo, pas d'entretien commercial, pas de durée minimale.
Les trois outils sont utilisables gratuitement, le dossier de conformité payant est disponible dès maintenant. Inscrivez-vous si vous souhaitez être informé des évolutions des deux règlements.
Outils — disponibles dès aujourd'hui
0 €
Les trois outils, gratuits en permanence.
Dossier
49 € / mois
Un dossier produit, tenu vivant. Un registre, deux règlements.
Dossier étendu
119 € / mois
Jusqu'à cinq produits.
Pour des volumes plus importants : Team (jusqu'à 10 produits) 199 € / mois, Professional (jusqu'à 20 produits) 299 € / mois — souscription dans le compte.
Paiement annuel 20 % moins cher. Les micro et petites entreprises peuvent présenter la documentation technique sous forme simplifiée selon l'art. 33 §5 CRA ; le dossier prend en charge les deux formats.
Toutes les références d'articles et d'annexes de cette page proviennent des versions publiées au Journal officiel : règlement (UE) 2023/1230, JO L 165 du 29.6.2023, et règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024.
Les annexes des deux règlements sont vérifiées sur les versions publiées au Journal officiel. Les indications de ces pages sont reformulées et abrégées ; seul le texte officiel fait foi.
normakte est une aide à la rédaction et au calcul. Il ne remplace ni l'évaluation de la conformité, ni un organisme notifié, ni un conseil juridique.