Le Cyber Resilience Act (Règlement UE 2024/2847) s’applique à tout produit comportant des éléments numériques mis sur le marché de l’UE — logiciels, SaaS avec composant client (agent, CLI, extension, SDK, appli mobile), objets connectés — ainsi qu’à leurs importateurs et distributeurs. Signalement dès le 11/09/2026, obligations complètes le 11/12/2027. Sovkern structure votre conformité CRA sans perdre de temps.The Cyber Resilience Act (EU Regulation 2024/2847) applies to any product with digital elements placed on the EU market — software, SaaS with a client component (agent, CLI, extension, SDK, mobile app), connected devices — and to their importers and distributors. Reporting from 11/09/2026, full obligations by 11/12/2027. Sovkern structures your CRA compliance without wasting time.
Contrairement à NIS 2 ou ISO 27001 (logique organisation), le CRA cible le PRODUIT : éditeurs de logiciels, SaaS avec composant client, fabricants IoT/firmware, importateurs et distributeurs. Si vous distribuez un composant installé chez le client, vous êtes probablement concerné.Unlike NIS 2 or ISO 27001 (organisational logic), the CRA targets the PRODUCT: software vendors, SaaS with a client component, IoT/firmware makers, importers and distributors. If you distribute a client-installed component, you are likely concerned.
Obligations de signalement des vulnérabilités exploitées dès le 11 septembre 2026 ; obligations principales (secure by design, marquage CE, DoC) applicables le 11 décembre 2027.Reporting obligations for exploited vulnerabilities from 11 September 2026; main obligations (secure by design, CE marking, DoC) apply on 11 December 2027.
Le non-respect expose à des sanctions pouvant atteindre 15 M€ ou 2,5 % du chiffre d’affaires annuel mondial.Non-compliance can lead to penalties of up to €15M or 2.5% of annual worldwide turnover.
Les obligations concrètes du CRA, expliquées sans jargon. Sovkern vous guide étape par étape.The concrete CRA obligations, explained without jargon. Sovkern guides you step by step.
Le produit est conçu et développé pour garantir un niveau de cybersécurité approprié aux risques : livraison sans vulnérabilité exploitable connue, configuration sécurisée par défaut, minimisation de la surface d’attaque, protection des données.The product is designed and developed to ensure a risk-appropriate level of cybersecurity: shipped without known exploitable vulnerabilities, secure-by-default configuration, minimised attack surface, data protection.
Inventaire des composants (SBOM), traitement et divulgation coordonnée des vulnérabilités, et mises à jour de sécurité gratuites pendant toute la période de support.Software Bill of Materials (SBOM), coordinated vulnerability handling and disclosure, and free security updates throughout the support period.
Documentation technique complète, instructions claires pour l’utilisateur (installation sécurisée, gestion des mises à jour) et période de support annoncée.Complete technical documentation, clear user instructions (secure installation, update management) and a declared support period.
Évaluation de conformité adaptée au risque : auto-évaluation (régime par défaut), normes harmonisées ou organisme notifié (produits importants, Annexe III), certification EUCC (produits critiques, Annexe IV). Déclaration UE de conformité (DoC) et marquage CE.Risk-appropriate conformity assessment: self-assessment (default regime), harmonised standards or notified body (important products, Annex III), EUCC certification (critical products, Annex IV). EU Declaration of Conformity (DoC) and CE marking.
Notification des vulnérabilités activement exploitées et des incidents graves à l’ENISA / au CSIRT : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours / 1 mois.Notification of actively exploited vulnerabilities and severe incidents to ENISA / the CSIRT: early warning within 24 hours, notification within 72 hours, final report within 14 days / 1 month.