normakte / CRA et NIS2
Les deux textes portent sur la cybersécurité et ont des délais de signalement proches, mais ils visent des choses différentes : le CRA le produit, NIS 2 l'entreprise.
| CRA | NIS 2 | |
|---|---|---|
| Objet | produits comportant des éléments numériques | entités et leurs réseaux et services |
| Qui | fabricants, importateurs, distributeurs | entités moyennes et grandes des secteurs listés |
| Forme juridique | règlement, directement applicable | directive, transposition nationale |
| Signalements | via la plateforme de l'ENISA | à l'autorité nationale compétente |
| Délais | 24 h, 72 h, rapport final | 24 h, 72 h, rapport final après un mois |
La directive NIS 2 (UE) 2022/2555 impose aux entités moyennes et grandes de certains secteurs de sécuriser leurs propres réseaux et services et de signaler les incidents importants. Elle est transposée par des lois nationales, dont l'état varie selon les États membres.
Les secteurs comprennent aussi la fabrication de machines, d'équipements électriques et de produits informatiques et électroniques. Un fabricant de taille moyenne ou plus peut donc relever de NIS 2 pour son fonctionnement et du CRA pour ses produits.
Deux canaux de signalement : les incidents dans votre propre fonctionnement selon NIS 2 à l'autorité nationale ; les vulnérabilités activement exploitées et les incidents touchant le produit selon le CRA via la plateforme de l'ENISA. Les entités NIS 2 veillent aussi à la sécurité de leur chaîne d'approvisionnement et exigent de plus en plus des produits conformes au CRA.
Registre, classification, SBOM, signalements avec délais et page cible pour les utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.
Source. Règlement (UE) 2024/2847, JO L, 2024/2847 du 20.11.2024. Résumé ; seul le texte officiel fait foi. normakte ne remplace pas un conseil juridique.