Votre entreprise utilise des « produits CRA » ? des logiciels connectés ? des logiciels classés produits IMPORTANTS ou CRITIQUES au sens du CRA  ?

Vos éditeurs de solutions logicielles (sur étagère ou sur commande) sont tenus de vous garantir la conformité de leur « produit » logiciel au CRA.

Vous utilisez un logiciel « conçu et développé » pour fonctionner en « nuage » ? Votre prestataire SaaS / IaaS / PaaS est tenu de vous garantir la conformité » de son service au regard du CRA.

Pour les fabricants / distributeurs / importateurs des produits CRA, les obligations de notification des « vulnérabilités activement exploitées » et des « incidents graves à répercussion » entrent en application effective le 11 septembre 2026 (et non le 11 décembre 2027).

Juridiquement, il est d’ores et déjà illusoire de prévoir d’annexer la « documentation technique » à chaque contrat de fourniture / prestation visant un produit CRA.

Notre solution ? Une annexe contractuelle :

– qui synthétise les principales obligations s’imposant aux fabricants / distributeurs / importateurs

– qui détaille les [13] exigences essentielles « cyber-sécurité » et les [8] exigences essentielles « gestion des vulnérabilités »

– qui amende le contrat d’origine sur des aspects cruciaux comme la notion « d’état de l’art », de « force majeure », de « responsabilité », etc.

Si vous doutez de l’ampleur du « chantier » de mise en oeuvre des règles du CRA, n’hésitez pas à lire le Règlement UE Cyber Resilience Act  n°2024/2847 du 23 octobre 2024 !