Maintenant La notification CRA est obligatoire depuis le 11 septembre 2026
Votre produit est-il
prêt pour le CRA ?Preuves pour le règlement sur la cyberrésilience, pour produits connectés et logiciels
L’UE met désormais un compte à rebours sur les failles de sécurité. Si des attaquants en exploitent une dans votre produit, vous avez 24 heures pour envoyer la première alerte. KROMSE vous donne les preuves nécessaires : ce qu’il y a dedans, ce qui est touché, ce que vous avez corrigé.
KROMSE vous donne les preuves. Il ne certifie pas la conformité. Votre équipe a le dernier mot.
- jours avant l’application complète du CRA
- 391
- jours de notification obligatoire
- 65
- pour envoyer la première alerte
- 24 h
Deux dates. L’une est déjà derrière vous.
La notification est obligatoire
Si des attaquants exploitent une faille de sécurité dans votre produit, vous devez la signaler.
Tout le reste s’applique
Toutes les autres obligations du règlement sur la cyberrésilience, pour les produits vendus dans l’UE.
- 15 M€
ou 2,5 % du chiffre d’affaires mondial
C’est le niveau maximal des amendes.
Quand une faille est exploitée, le compte à rebours démarre.
- 24 heuresAlerte précoce
- 72 heuresNotification
- 14 joursRapport final
Vous ne pouvez pas rédiger ce rapport de mémoire. Il faut que les preuves soient prêtes avant le jour J.
Les preuves, prêtes avant d’en avoir besoin.
KROMSE les construit à partir de votre code ou de votre firmware et les tient à jour.
Ce qu’il y a dedans
La liste complète des composants de votre produit (un SBOM), établie à partir de votre code ou firmware.
Quelles failles le touchent
Chaque faille de sécurité connue dans vos versions exactes, classée par risque.
Ce qui a été corrigé
Chaque réparation, avec la modification et la date.
Comment ça a été contrôlé
Les contrôles réussis par chaque correctif, dans un rapport que votre équipe peut relire et signer.
KROMSE ne certifie pas la conformité et n’envoie rien aux autorités. Votre équipe a le dernier mot.
Un seul dossier de preuves. Plusieurs règles.
Le CRA passe en premier. Les mêmes preuves aident pour le reste.
Questions sur le CRA
- KROMSE rend-il mon produit conforme au CRA ?
- Aucun outil ne peut le faire seul. KROMSE vous donne les preuves que demande le CRA : ce qu’il y a dans votre produit, quelles failles de sécurité le touchent, ce qui a été corrigé et comment cela a été contrôlé. Votre équipe a le dernier mot.
- Quand le règlement sur la cyberrésilience s’applique-t-il ?
- La notification des failles de sécurité activement exploitées est exigée depuis le 11 septembre 2026. Toutes les autres obligations s’appliquent à partir du 11 décembre 2027.
- En combien de temps dois-je notifier ?
- Pour une faille que des attaquants exploitent activement, le CRA demande une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous 14 jours.
- Quelles sont les amendes ?
- Les amendes prévues par le CRA peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
- KROMSE envoie-t-il des rapports aux autorités ?
- Non. KROMSE prépare les preuves et un projet de rapport. Il n’envoie rien aux autorités et ne certifie pas la conformité.
- Pour quelles autres règles ces preuves aident-elles ?
- Les mêmes preuves appuient NIS2, IEC 62443, le UK PSTI Act, la FDA section 524B pour les dispositifs médicaux et l’UNECE R155 pour les véhicules. NIS2, IEC 62443 et le PSTI Act ont leurs propres guides sur ce site.
Réserver une démo.
Dites-nous ce que vous fabriquez. Un fondateur vous montre vos preuves CRA sur un produit comme le vôtre.
Demander une démo
Parlez-nous de votre produit et de ce que vous souhaitez voir. Nous vous contacterons pour organiser une démo avec un expert du produit.