Copla lance un cadre de conformité au Cyber Resilience Act

Copla découpe les exigences du CRA en matière de sécurité dès la conception et de gestion des vulnérabilités en tâches distinctes. Le cadre ajoute un plan de préparation structuré et fournit des modèles pour la documentation technique et la déclaration UE de conformité. Il rejoint les dispositifs que Copla propose déjà pour DORA, NIS2, ISO 27001, SOC 2 et PCI DSS.

D'autres éditeurs commercialisent des outils de conformité au CRA. ArmorCode a annoncé en juin 2026 des fonctions CRA dans son Agentic AI Platform, avec la prise en charge des SBOM et des VEX ainsi que des circuits de divulgation. exida a publié exSILentia CRA le 3 novembre 2026, un outil destiné aux évaluations de risques produit et à la documentation technique.

La vente conditionnée à partir de 2027

À compter du 11 décembre 2027, les produits dépourvus d'une déclaration de conformité valide et du marquage CE ne pourront plus être vendus légalement dans l'UE. Les autorités nationales de surveillance du marché pourront exiger des retraits ou des rappels. Le marquage CE, que l'on connaît déjà sur les jouets, les bouilloires et les chargeurs, s'étendra alors aux logiciels. Les fabricants doivent signer une déclaration UE de conformité avant d'apposer le marquage. Le règlement est entré en vigueur le 10 décembre 2024, et son chapitre consacré aux organismes notifiés d'évaluation de la conformité s'applique depuis le 11 juin 2026.

Les obligations de signalement s'appliquent déjà

La Commission européenne indique que l'article 14 s'applique depuis le 11 septembre 2026. Un fabricant qui apprend l'existence d'une vulnérabilité activement exploitée doit déposer une alerte précoce dans les 24 heures et une notification détaillée dans les 72 heures. Un rapport final est attendu dans les 14 jours suivant la correction d'une vulnérabilité exploitée, ou dans le mois qui suit la notification des 72 heures pour les incidents graves. Les dépôts passent par la plateforme unique de signalement de l'ENISA. Elle achemine une seule déclaration vers l'agence et vers le coordinateur CSIRT désigné selon le lieu où se trouve l'établissement principal du fabricant dans l'UE. La plateforme a été lancée sans API, si bien que chaque rapport se dépose à la main, via un portail web.

L'article 69(3) étend les obligations de signalement de l'article 14 aux produits concernés déjà présents sur le marché de l'UE, alors même que la plupart des autres exigences du CRA ne s'appliquent pas aux produits antérieurs à 2027. Les obligations de signalement subsistent aussi après la fin du support d'un produit, ce qui maintient dans le périmètre les systèmes existants et les composants tiers. Un manquement aux règles de sécurité essentielles peut coûter jusqu'à 15 000 000 € ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

L'ENISA constate un retard de préparation

L'ENISA a publié en juin 2026 sa première étude sur le CRA centrée sur les PME, menée auprès de 194 organisations dans 31 pays. Elle montre que 66 % des répondants connaissaient le règlement, mais qu'environ un sur trois seulement utilisait une nomenclature logicielle (SBOM). La réponse aux incidents et la gestion du cycle de vie des produits arrivent en dernière position, quelle que soit la taille de l'entreprise. L'ENISA prévient que la participation était volontaire et qu'elle a probablement attiré surtout des PME déjà sensibilisées. La préparation réelle pourrait donc être plus faible encore.

Aurimas Bakas, directeur général et cofondateur de Copla, a déclaré : « Les résultats de l'ENISA montrent que la prise de conscience est là, mais que le travail de fond n'est souvent pas encore fait. Une SBOM, un processus de traitement des vulnérabilités et un plan de réponse aux incidents demandent du temps pour être correctement mis en place, et les obligations de signalement s'appliquent déjà aujourd'hui. Les entreprises qui s'y mettent maintenant ont encore une fenêtre réaliste pour y arriver avant décembre 2027, et c'est ce que nous voulons les aider à faire. »

Documentation et orientations

Les fabricants doivent aussi produire une nomenclature logicielle, c'est-à-dire un inventaire structuré des composants d'un produit. Sa publication n'est pas obligatoire, mais les autorités de surveillance du marché peuvent en exiger la communication. La spécification BSI TR-03183 de l'Allemagne propose un modèle de format ; elle est explicitement non contraignante et ne crée aucune présomption légale de conformité. La Commission européenne a publié des orientations de mise en œuvre portant sur le périmètre des produits, les modifications substantielles, les périodes de support et les obligations de signalement.