Les logiciels de vos appareils, surveillés chaque jour.

Oui. Le CRA s'applique à tout produit comportant des éléments numériques mis à disposition dans l'UE, quel que soit son lieu de fabrication.

Si l'appareil ne peut pas remplir sa fonction sans eux et que vous les avez conçus, ou qu'ils ont été développés sous votre responsabilité, oui : le règlement les traite comme une partie du produit (solution de traitement de données à distance, art. 3, point 2). Un service web vendu seul, sans appareil ni logiciel à installer, n'entre pas dans le champ d'application.

Pas pour le CRA. Le fabricant est celui qui commercialise le produit sous son nom ou sa marque, quel que soit celui qui l'a fabriqué (art. 3, point 13), et un importateur ou un distributeur qui appose sa propre marque sur un produit assume les obligations du fabricant (art. 21). L'obligation de notification, qui s'applique déjà, vous incombe. Votre fournisseur doit vous remettre la liste des composants et vous informer des failles dont il a connaissance.

Vos obligations commencent le 11 décembre 2027 (art. 19). À partir de ce jour, avant de mettre un produit sur le marché, vous devrez vérifier que le fabricant a mené l'évaluation de la conformité et établi la documentation technique, que le produit porte le marquage CE et est accompagné de sa déclaration et de ses instructions, et que les coordonnées du fabricant et la fin de la période d'assistance sont indiquées. Les unités mises sur le marché à partir de cette date doivent être conformes même si vous les avez achetées avant : mieux vaut donc interroger vos fournisseurs dès maintenant.

L'obligation incombe au fabricant. Sur la plateforme, c'est une personne enregistrée comme représentant qui la soumet, et elle parvient au CSIRT du pays où se trouve votre établissement principal. En général, une personne de votre entreprise est le représentant principal et nous intervenons comme représentant secondaire, avec votre autorisation écrite. Tant que votre représentant principal n'a pas été vérifié et ne nous a pas invités, c'est lui qui soumet la notification, avec le texte que nous préparons.

Non. Pour les unités mises sur le marché à partir du 11 décembre 2027, vous devrez en avoir une, la tenir à jour et la remettre aux autorités si elles la demandent. La publier relève de votre choix (annexe II, point 9).

Cela dépend de la catégorie. Pour la plupart des appareils (la catégorie par défaut), la procédure de contrôle interne suffit : vous évaluez vous-même la conformité (module A). Pour les produits de classe I, comme les serrures intelligentes, les caméras de sécurité ou les routeurs, seulement si vous n'appliquez pas entièrement des normes harmonisées ; or, au 13 octobre 2026, ces normes n'ont pas encore été citées au Journal officiel. Pour les produits de classe II et les produits critiques, un tiers intervient toujours : un organisme notifié ou un schéma européen relevant du règlement sur la cybersécurité. L'autodiagnostic vous donne une première idée.