Procédure CRA en 24 heures : les 5 questions à poser à votre équipe technique avant d'écrire une ligne

Une page, cinq questions, une case à cocher par réponse obtenue. Si une case reste vide, votre procédure protège le mauvais risque.

01

De quoi est fait le produit, couche par couche ?

Code maison, composants open source (lesquels, quelle version, quelle licence), firmware ou modules achetés à des tiers. Livrable attendu : un inventaire des composants (SBOM), même sommaire.
02

Qui est « fabricant » au sens du CRA pour chaque couche ?

Vous, votre fournisseur, ou personne de désigné. Vérifiez si vos contrats fournisseurs prévoient qu'on vous prévienne d'une faille, et dans quel délai.
03

Comment saurez-vous qu'une faille est activement exploitée ?

Quelle source vous alerte (monitoring, CVE, client, chercheur), qui la reçoit, et qui décide que l'horloge des 24 heures démarre. Sans réponse, le délai court sans que personne le sache.
04

Qui déclare, avec quels accès ?

Nom d'une personne (et d'un suppléant) capable de déposer l'alerte sur la plateforme unique de l'ENISA, y compris un week-end, avec les informations minimales prêtes à l'avance.
05

Que se passe-t-il pour les produits déjà vendus ?

Le CRA vise aussi ce qui est en service. Savez-vous quels clients utilisent quelle version, et comment vous les joignez pour le correctif ?

Question 1/5

Votre produit, c'est quoi ?

Le règlement (UE) 2024/2847 (Cyber Resilience Act), article 14, s'applique aux obligations de signalement depuis le 11 septembre 2026. Cette page est une aide à la réflexion, pas un avis juridique. Pour toute situation concrète, prenez conseil.

Données traitées par LAWBE Avocats (responsable du traitement) pour vous adresser un premier retour ; conservées 12 mois ; droits d'accès, de rectification et d'effacement via [email protected].