Cyber Resilience Act pour les fabricants de machines : obligations et délais

Les délais

Date	Ce qui s'applique	Base
10.12.2024	Entrée en vigueur	Art. 71 CRA
11.09.2026	Obligations de signalement des vulnérabilités activement exploitées et des incidents graves	Art. 14 CRA
20.01.2027	Application du règlement machines, avec ses propres exigences de cybersécurité	Annexe III points 1.1.9, 1.2.1
11.12.2027	Application complète du CRA	Art. 71 CRA

Ma machine est-elle concernée ?

Le CRA vise les produits comportant des éléments numériques dont l'utilisation prévue ou raisonnablement prévisible inclut une connexion de données, directe ou indirecte, à un appareil ou à un réseau. Une machine avec automate et Ethernet, port USB ou accès de télémaintenance entre normalement dans son champ. Une machine purement mécanique, sans logiciel, non.

Art. 2, § 1, CRAArt. 3, point 1, CRA

Ce que le fabricant doit faire

Obligation	En pratique	Base
Évaluation des risques de cybersécurité	Documentée, intégrée à la documentation technique, tenue à jour pendant la période de support	Art. 13 CRA
Exigences essentielles	Paramètres sûrs par défaut, protection des accès et des données, journalisation, mises à jour sûres	Annexe I partie I
Gestion des vulnérabilités	Recenser les composants (SBOM dans un format lisible par machine), corriger les vulnérabilités, fournir des mises à jour de sécurité	Annexe I partie II
Période de support	En règle générale au moins cinq ans ; la date de fin doit être visible pour l'acheteur	Art. 13 CRA
Signalements	Alerte précoce sous 24 heures, notification sous 72 heures, rapport final ; informer les utilisateurs concernés	Art. 14 CRA
Déclaration et CE	Déclaration UE de conformité selon l'annexe V CRA — avec le règlement machines dans une seule déclaration	Art. 28 CRA Art. 21, § 3

Le CRA ne remplace pas le règlement machines : il s'y ajoute. Les documenter séparément, c'est écrire beaucoup de choses deux fois.

Considérant 53 CRA · annexe III points 1.1.9, 1.2.1 règlement (UE) 2023/1230

Où le CRA et le règlement machines se recoupent

Le règlement machines exige une protection contre la corruption et des systèmes de commande résistant aux tentatives malveillantes prévisibles. Le considérant 53 du CRA indique que le respect de ses exigences peut faciliter la démonstration de ces exigences machines — mais la synergie doit être démontrée par le fabricant. En pratique : une preuve, deux règlements, reliés proprement.

L'ordre des étapes

Classer les produits. Quelles machines ont un logiciel et une connexion de données ?
Fixer la voie de signalement. Qui signale sous 24 heures, et comment joindre les exploitants de vos machines ? Cette obligation s'applique déjà.
Recenser les composants. SBOM pour automate, firmware et logiciel.
Documenter l'évaluation des risques et la relier à celle du règlement machines.
Fixer la période de support et l'indiquer sur la plaque, la page cible ou la notice.
Une seule déclaration pour les deux règlements.

Les manquements aux exigences essentielles et aux obligations du fabricant peuvent être sanctionnés jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial.

Art. 64 CRA

CRA et règlement machines dans un seul registre

Lignes d'exigences avec référence d'article pour les deux règlements, SBOM avec export CycloneDX, registre des risques cyber et calcul des délais de signalement.

Ouvrir un dossier d'essai Calculer les délais