normakte / Évaluation des risques CRA
L'évaluation des risques est le socle de toutes les obligations du CRA : elle détermine quelles exigences de l'annexe I sont mises en œuvre et comment, et elle est tenue à jour pendant toute la période de support.
| Étape | Contenu |
|---|---|
| 1. Finalité et environnement | usage prévu et raisonnablement prévisible, environnement d'exploitation, utilisateurs |
| 2. Biens à protéger | fonctions, données, interfaces |
| 3. Menaces et surface d'attaque | qui pourrait attaquer, par quelles voies |
| 4. Estimation du risque | probabilité et impact |
| 5. Mesures | rattachement aux exigences de l'annexe I, justification en cas de non-applicabilité |
| 6. Risque résiduel et mise à jour | risques restants, mise à jour en cas de modifications et de nouvelles vulnérabilités |
Le fabricant évalue les risques de cybersécurité de son produit et en tient compte lors de la planification, de la conception, du développement, de la production, de la livraison et de la maintenance. L'évaluation indique si et comment les exigences de l'annexe I sont applicables et mises en œuvre ; elle est documentée, mise à jour pendant la période de support et intégrée à la documentation technique.
Les normes harmonisées pour le CRA sont en cours d'élaboration. D'ici là, des normes existantes servent de repère, comme l'EN 18031 pour les équipements radio, l'IEC 62443-4-1 et 4-2 pour les composants industriels et l'ETSI EN 303 645 pour l'IoT grand public.
Pour les machines comportant des éléments numériques, les deux évaluations vont ensemble : le règlement machines exige une protection contre la corruption et des systèmes de commande sûrs, le CRA la cybersécurité du produit. Une évaluation commune évite les doublons et montre les synergies exigées par le considérant 53 du CRA.
Registre, classification, SBOM, signalements avec délais et page cible pour les utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.