Préparez-vous à la CRA avant septembre 2026

S’applique aux fabricants de produits concernés comportant des éléments numériques mis à disposition sur le marché de l’UE, y compris les fabricants basés en dehors de l’UE.

Couvre de nombreux produits logiciels et matériels comportant des éléments numériques, notamment les logiciels B2B, l’électronique grand public, les appareils connectés et les composants.

Le non-respect de la réglementation peut entraîner des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Identifiez les failles exploitables dès les premières phases de développement, conformément à l’obligation prévue à l’article 13 de réduire au minimum les vulnérabilités avant la mise sur le marché des produits.

Analyser l’intégralité de la base de code pour détecter et bloquer les clés API, mots de passe et jetons sensibles codés en dur, répondant ainsi à l’exigence de l’annexe I relative aux accès non autorisés.

Surveiller en permanence toutes les dépendances tierces à la recherche de CVE connus, conformément aux obligations de la CRA en matière de transparence et de gestion des risques tout au long du cycle de vie.

Utiliser les bases de données NVD, EPSS, KEV et OSV pour vérifier que les composants ne présentent aucun risque connu — répondant ainsi directement à l’exigence de l’annexe I de commercialiser les produits sans vulnérabilités exploitables connues.

Générer automatiquement des SBOM lisibles par machine afin de garantir un processus de gestion des stocks traçable, conformément aux exigences explicites de la CRA en matière de chaîne d’approvisionnement.

Maintenir des journaux d’audit sécurisés enregistrant les modifications du cycle de vie, les mises à jour de configuration et les événements de sécurité — ce qui simplifie la documentation relative à l’évaluation des risques de la CRA.

Donner aux développeurs les moyens d’agir grâce à des retours d’information dans l’IDE et à des contrôles de qualité configurables afin de garantir qu’aucun code non conforme ne passe jamais en production.