CRA Assistent
Questions sur le Cyber Resilience Act
Questions sur le Cyber Resilience Act
Bonjour, je suis l'assistant CRA. Posez-moi vos questions sur le Cyber Resilience Act, sur les roles et obligations, ou sur l'utilisation de CRA-Portal.
Restez informé des derniers développements autour du Cyber Resilience Act.
Le 21 octobre 2026, l'equipe PHP a publie deux vulnerabilites critiques, CVE-2026-109618 et CVE-2026-109619, toutes deux notees CVSS 9,2. Elles permettent l'execution de code a distance et touchent toutes les versions a partir de PHP 5.4. Aux Pays-Bas, DigiD, MijnOverheid, la Chambre des representants, le centre national de cybersecurite lui-meme, l'aeroport de Schiphol et six hopitaux se sont mis hors ligne par precaution. Pour les fabricants, tout tient en deux questions. Ce composant est-il dans mon produit, et dans quelle version? Et dois-je le signaler? Une vulnerabilite activement exploitee doit etre signalee dans les 24 heures, meme lorsqu'elle se trouve dans un composant que vous livrez et non dans votre propre code; une vulnerabilite connue mais pas encore exploitee ne declenche pas ce delai. Ceux qui utilisent PHP 7.4 n'avaient pas le choix entre corriger et attendre: cette version n'est plus maintenue depuis novembre 2022 et ne recevra pas de correctif.
Dans la nuit du 11 au 12 octobre 2026, des attaquants ont placé les installations frigorifiques de 250 à 350 supermarchés français en dégivrage permanent, avec des températures montant vers 50 degrés. Parmi les enseignes touchées: Intermarché, Netto, Coopérative U, Leclerc, Carrefour Market et Monoprix. Un magasin en Alsace a déclaré plus de 220 000 euros de pertes; à l'échelle nationale, le préjudice se compte en millions. Les panneaux de régulation du fabricant danois Danfoss sont accessibles par internet afin que les mainteneurs puissent les ajuster à distance, et les unités touchées fonctionnaient avec un micrologiciel obsolète. La CISA avait déjà alerté en mai 2025 sur un contournement d'authentification dans la série AK-SM 8xxA (CVE-2025-41450). Un régulateur de froid ressemble à un boîtier insignifiant, mais c'est un produit comportant des éléments numériques: le CRA impose des réglages par défaut sécurisés, une authentification pour l'accès à distance, une période de support avec mises à jour de sécurité et la notification des vulnérabilités activement exploitées. Cet incident montre le coût de l'absence de ces bases: pas une fuite de données, mais des jours de chiffre d'affaires, des stocks perdus et un arrêt d'activité.
Ce que le CRA exige des produits · Obligation de notification
La plateforme unique de signalement de l'ENISA est en service depuis le 11 septembre 2026, sur portal.cra-srp.enisa.europa.eu. Elle s'accompagne d'un manuel pour les mandataires, d'une vidéo explicative et d'un glossaire des champs à remplir. Il n'y a pas d'API : l'enregistrement et le signalement se font manuellement. Attention aux deux délais distincts pour le rapport final : pour une vulnérabilité, au plus tard quatorze jours après la mise à disposition d'un correctif ou d'une mesure d'atténuation ; pour un incident grave, dans le mois suivant la notification à 72 heures. Les stewards open source ne sont concernés qu'à partir du 11 décembre 2027, et le signalement volontaire n'est pas encore disponible.
Les obligations de signalement des incidents et vulnérabilités du CRA s'appliquent à partir du 11 septembre 2026 via la plateforme unique de signalement de l'ENISA. L'ENISA a publié des FAQ, une fiche d'information de deux pages et des guides pas à pas pour l'enregistrement et la soumission des notifications. L'ENISA a également publié son Secure by Design and Default Playbook — 22 playbooks pratiques couvrant tout le cycle de vie du produit — et des partenaires internationaux ont publié les éléments minimaux 2026 d'une nomenclature logicielle (SBOM).
La Commission européenne a publié ses orientations officielles sur la mise en œuvre du Cyber Resilience Act. Elles clarifient le champ d'application — y compris les solutions de traitement de données à distance et les logiciels libres et open source —, ce qui constitue une modification substantielle, l'application des périodes de support, ainsi que les obligations de signalement et d'évaluation des risques. Elles comprennent 67 exemples pratiques, cas d'usage et organigrammes destinés aux PME et microentreprises.
L'ENISA a mis a jour sa FAQ sur la plateforme de declaration unique du CRA, y compris les champs de donnees que les fabricants doivent fournir lors de la declaration d'incidents au titre de l'article 14. Par ailleurs, une consultation publique sur un projet d'avis technique relatif aux mecanismes de mise a jour securises pour les PME est ouverte jusqu'au 10 juillet 2026.
L'OpenSSF a soumis au nom de sa communauté des commentaires sur deux consultations de l'UE : la révision de la loi sur la cybersécurité et les modifications de la directive NIS2. Des contributions ont également été apportées au guide ENISA 'Secure by Design' pour les PME.
L'ENISA a publié un projet de guide pour aider les PME à intégrer la sécurité dès la conception. Il fournit des étapes pratiques pour les processus d'ingénierie, de produit et de publication.
Le CRA est entré en vigueur le 10 décembre 2024. Les fabricants, importateurs et distributeurs de produits avec des éléments numériques doivent se conformer aux nouvelles exigences avant le 11 décembre 2027.
La législation CRA est encore en évolution. Contactez-nous pour les dernières informations.
Nos spécialistes sont là pour vous aider dans votre parcours de conformité.