Le règlement (UE) 2024/2847
Comment citer le texte
En référence complète, une seule fois par document :
Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 relatif à des exigences horizontales de cybersécurité pour les produits comportant des éléments numériques et modifiant les règlements (UE) n° 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience).
Ensuite : « le règlement (UE) 2024/2847 » ou « le CRA ». Éviter « la directive CRA » et « la loi CRA », qui sont faux et discréditent le document où ils apparaissent.
Ce que « règlement » implique concrètement
| Directive (ex. NIS 2) | Règlement (ex. CRA) | |
|---|---|---|
| Effet | Doit être transposée en droit national | Directement applicable |
| Délai national | Un délai de transposition, souvent dépassé | Aucun |
| Variations entre États | Possibles, parfois importantes | Marginales |
| Texte à lire | La loi nationale de transposition | Le texte européen lui-même |
Il n’y aura donc pas de « loi française CRA » qui viendrait décaler, atténuer ou préciser l’échéance. Les États membres n’interviennent que sur trois points : la désignation des autorités (surveillance du marché, autorité notifiante, CSIRT coordinateur), la fixation du régime de sanctions dans les plafonds fixés par le règlement, et les mesures de soutien aux petites entreprises.
La filiation : le « nouveau cadre législatif »
Le CRA est une législation d’harmonisation de l’Union. Il reprend l’architecture éprouvée des directives et règlements « produits » :
- des exigences essentielles exprimées en objectifs, non en solutions techniques (annexe I) ;
- une présomption de conformité pour qui applique des normes harmonisées ;
- des modules d’évaluation de la conformité gradués selon le risque ;
- un dossier technique et une déclaration UE de conformité ;
- le marquage CE comme signal de conformité ;
- une surveillance du marché a posteriori, avec pouvoir de retrait.
Deux conséquences pratiques. D’abord, les équipes qui traitent déjà d’autres marquages CE — machines, équipements radio, jouets — connaissent ce vocabulaire : il faut réutiliser leurs processus plutôt que d’en inventer de nouveaux. Ensuite, le règlement ne dit presque jamais comment faire : il dit quel résultat atteindre, et laisse la preuve au fabricant.
Les cinq objectifs du législateur
Utiles à citer dans une note interne pour justifier l’effort :
- réduire le nombre de produits vulnérables mis sur le marché de l’Union ;
- faire assumer aux fabricants la responsabilité de la sécurité sur tout le cycle de vie, et pas seulement au moment de la vente ;
- améliorer la transparence sur les propriétés de sécurité des produits ;
- permettre aux utilisateurs — entreprises comme consommateurs — de choisir et d’utiliser des produits sûrs ;
- combler les interstices entre les législations sectorielles existantes.
Les repères de date
| Date | Événement |
|---|---|
| 23 octobre 2024 | Adoption par le Parlement européen et le Conseil |
| 20 novembre 2024 | Publication au Journal officiel de l’Union européenne |
| 10 décembre 2024 | Entrée en vigueur — le texte est définitif, les délais courent |
| 11 juin 2026 | Application du chapitre relatif à la notification des organismes d’évaluation de la conformité |
| 11 septembre 2026 | Application des obligations de signalement de l’article 14 |
| 11 décembre 2027 | Application pleine et entière |
Le détail des conséquences opérationnelles de chaque date figure dans Le calendrier.
Les sources à privilégier
- EUR-Lex — règlement (UE) 2024/2847 — le texte consolidé, seule version faisant foi. Les versions linguistiques ont toutes la même valeur juridique ; en cas de doute sur une formulation française, comparer avec l’anglais.
- Commission européenne — page dédiée au Cyber Resilience Act : orientations, FAQ, actes délégués et d’exécution au fur et à mesure de leur adoption.
- ENISA — plateforme de signalement unique, base européenne de vulnérabilités, documents techniques.
- CEN et CENELEC — état d’avancement des normes harmonisées (comité technique mixte JTC 13, groupe de travail 9), qui conditionne la présomption de conformité.
- ANSSI — publications nationales sur la mise en œuvre, et CERT-FR pour les alertes.
Ce qui n’est pas une source. Les billets de blog d’éditeurs de solutions, les livres blancs commerciaux et les résumés d’intelligence artificielle non vérifiés circulent beaucoup et contiennent des erreurs récurrentes, notamment sur les classes de criticité et sur le statut de l’open source. Toute affirmation reprise en interne doit pouvoir être rattachée à un article ou à une annexe.