Vos ingénieurs ne devraient pas passer six mois à déchiffrer le CRA.

Le Cyber Resilience Act européen (règlement 2024/2847) fixe des obligations de cybersécurité pour les produits comportant des éléments numériques mis à disposition sur le marché de l’UE. Son champ dépend du produit et des exclusions applicables. La conformité concerne la sécurité du produit comme les processus du fabricant.

Les principales exigences s’appliquent à compter du 11 décembre 2027. Les obligations de notification de l’article 14 ont débuté le 11 septembre 2026. Des dispositions transitoires et exclusions propres aux produits peuvent modifier l’applicabilité.

Oui. Depuis le 11 septembre 2026, l’article 14 impose aux fabricants de notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits. Toutes les vulnérabilités ne doivent pas être notifiées. Nous aidons à mettre en place la qualification, l’escalade et la notification.

Un SaaS autonome n’est pas automatiquement concerné. Une fonction de traitement de données à distance peut être incluse si elle est développée par ou pour le fabricant et nécessaire à une fonction d’un produit couvert. Chaque produit doit être évalué individuellement ; les questions juridiques de périmètre relèvent d’un conseil réglementaire qualifié.

Non. Continent n’est ni un organisme notifié ni une autorité de certification et ne délivre pas de certification CRA. Nous réalisons les travaux techniques et préparons les preuves. Selon la procédure de conformité applicable, le fabricant peut devoir faire appel à un organisme notifié compétent. Nous ne garantissons pas la conformité juridique.

Oui. L’évaluation peut couvrir le firmware, les applications associées, les dépendances logicielles et les services cloud concernés. Nous définissons les limites du produit et les accès nécessaires au démarrage.

Oui, dans un périmètre convenu. Les travaux peuvent inclure des corrections de sécurité, des évolutions CI/CD, l’automatisation des SBOM et des pull requests. Votre équipe conserve la revue du code et la validation des mises en production.

Vous conservez la SBOM et sa commande de génération, la page de contact sécurité, la politique de divulgation, la procédure de notification et la liste priorisée des écarts. Nous fournissons aussi une proposition à prix fixe pour la suite, avec périmètre, jalons et exclusions. Votre équipe peut poursuivre en interne ou avec Continent. Les 2 500 € de l’évaluation sont intégralement déduits d’un projet ultérieur de mise en œuvre CRA avec Continent.

Cela dépend de l’architecture, du périmètre du produit, de la maturité en sécurité et des corrections nécessaires. Le calendrier est estimé après l’évaluation. Les 72 heures commencent au démarrage convenu, une fois les accès et documents disponibles ; ce délai ne couvre ni une mise en œuvre complète ni une certification.

Non. Nous nous concentrons sur la mise en œuvre technique et les preuves d’ingénierie. L’interprétation juridique, les décisions formelles de conformité et les cas de classification complexes doivent être confirmés avec vos conseils juridiques ou partenaires réglementaires.