Une équipe pluridisciplinaire
Sécurité applicative, réponse aux incidents, gestion des risques, droit de la cybersécurité et conformité CE réunis dans une seule équipe.
Conseil
EU CRA Compliance Journey
Des obligations de notification du 11 septembre 2026 à la conformité CE au 11 décembre 2027 : sept lots de travail, une équipe intégrée, sur site ou à distance.
- 11 septembre 2026 Les obligations de notification s'appliquent : les vulnérabilités activement exploitées et les incidents graves doivent être signalés.
- 11 décembre 2027 Toutes les exigences du CRA s'appliquent. Les produits mis sur le marché de l'UE doivent être conformes au CRA pour le marquage CE.
Les équipes avec lesquelles nous avons travaillé
Pourquoi nous
La conformité demande plus que la lecture du règlement
Notre équipe participe à l'élaboration des normes qui définiront comment les exigences du CRA seront interprétées, mises en œuvre et évaluées en pratique.
Les normes à la source
Nous siégeons dans les groupes de travail CEN/CENELEC et ISO qui rédigent les normes de la conformité au CRA. Nous travaillons donc à la source, pas à partir d'interprétations de seconde main.
Une expérience de terrain
Nous avons mené ce travail sur de vrais produits : threat modeling, amélioration du SSDLC, gestion des vulnérabilités et préparation à la conformité CE.
Prix forfaitaire après cadrage
Chaque lot a des livrables nommés et une estimation d'effort. Une fois le périmètre arrêté, l'estimation devient un prix forfaitaire, sans budget ouvert.
Rapide
Nous connaissons déjà les exigences et les normes. Votre budget sert donc à les appliquer à vos produits, pas à nous former.
Flexible
Choisissez le parcours complet ou seulement les lots dont votre portefeuille et votre maturité ont besoin. Bien démarrer évite les faux départs, la conformité de façade et les corrections coûteuses en fin de processus.
Lots de travail
De la notification à la conformité CE
Chaque lot couvre une partie distincte de la transition. Prenez le parcours complet, ou choisissez les lots nécessaires pour certains produits, familles de produits, chaînes de build ou équipes.
-
Obligations de notification CRA 2026
16 heures par organisation
À partir du 11 septembre 2026, les fabricants doivent pouvoir respecter les obligations de notification du CRA, y compris pour les produits déjà sur le marché et encore maintenus. Vos politiques de réponse aux incidents et de divulgation coordonnée des vulnérabilités (CVD), et les processus CSIRT qui les sous-tendent, doivent identifier, évaluer, escalader et signaler les événements pertinents dans les délais imposés.
Livrables
- Analyse des écarts de vos politiques de réponse aux incidents et de CVD par rapport aux exigences de notification du CRA
- Analyse des écarts de vos procédures CSIRT et de vos processus d'escalade
- Un plan concret pour combler les écarts, avec une mise à jour du texte des politiques lorsque la maturité et le temps le permettent
Piloté par
Eden YardeniArchitecte en sécurité applicative
Experte senior en réponse aux incidents et en investigation numérique, spécialisée dans la norme prEN 40000-1-3 sur la gestion des vulnérabilités.
-
Contexte produit et périmètre CRA
16 heures par famille de produits
Le contexte produit est la base de la gestion des risques et du travail de sécurité qui suivent. Nous décrivons le produit, son usage prévu, son environnement d'exploitation, ses limites système, ses parties prenantes et ses dépendances, ainsi que les exigences du CRA qui s'appliquent. Les décisions ultérieures sur les risques, les mesures et la conformité reposent ainsi sur des bases solides.
Livrables
- Contexte produit : destination et usage raisonnablement prévisible, fonctions, environnement d'exploitation, architecture générale, utilisateurs et répartition des fonctions de sécurité
- Contexte métier, réglementaire et technologique, y compris le traitement de données à distance et la limite du système
- Analyse juridique des exigences horizontales et verticales du CRA applicables au produit
Piloté par
Lara BritoCIPP/E ; juriste en droit des données et des technologies
Juriste en droit des données et des technologies, spécialisée en droit des données et de la cybersécurité, avec un intérêt particulier pour OWASP SAMM et le CRA.
-
Maturité SSDLC et analyse des écarts CRA
32 heures par chaîne de build
Une vision claire de votre cycle de développement sécurisé au regard des obligations des fabricants dans le CRA, fondée sur des entretiens et sur un cadre d'évaluation construit à partir des exigences légales. Elle montre où vos processus soutiennent déjà la conformité, où se trouvent les écarts et ce qui doit changer. La gestion des risques fait l'objet d'une attention particulière, car elle alimente toutes les activités de sécurité produit qui suivent.
Livrables
- Rapport sur la maturité du SSDLC au regard des exigences du CRA pour les fabricants
- Cartographie des écarts EU CRA
- Plan d'amélioration de votre méthode de gestion des risques
- Feuille de route minimale pour combler les écarts de conformité
Piloté par
Nariman Aga-TagiyevArchitecte en sécurité applicative
Architecte senior en sécurité applicative, expert national au CEN/CENELEC JTC 13/WG 9 (Cyber Resilience Act) et membre de l'équipe centrale d'OWASP SAMM.
-
Threat model et évaluation des risques du produit
64 heures par produit
Chaque activité de sécurité doit réduire un risque produit identifié, évalué et documenté. Un expert en sécurité produit réalise le threat modeling avec vos product owners, architectes et développeurs. Notre expert en gestion des risques combine ensuite le contexte produit et le threat model en une évaluation des risques structurée selon prEN 40000-1-2. L'estimation se répartit en 32 heures pour le threat model et 32 heures pour l'évaluation des risques.
Livrables
- Threat model modifiable au format CycloneDX TM-BOM, prêt à être réutilisé
- Rapport de threat model avec le diagramme de flux de données, les menaces identifiées et les contre-mesures retenues
- Rapport d'évaluation des risques structuré selon prEN 40000-1-2
Piloté par
Luc PoulinConseiller senior en sécurité applicative et fiabilité
Auteur et éditeur de l'ISO/IEC 27034, la norme qui intègre la sécurité dans la gestion des applications tout au long de leur cycle de vie.
-
Programme de gestion des vulnérabilités
96 heures par organisation
Le CRA fait de la gestion des vulnérabilités une obligation de long terme : les mises à jour de sécurité doivent être disponibles pendant toute la période de support, sans coût supplémentaire pour les utilisateurs. Nous mettons en place le cycle décrit dans prEN 40000-1-3, de la politique et de la réception des signalements au triage, à la correction, à la divulgation coordonnée et à la surveillance après publication. Si vous avez commencé par le lot 1, ce travail est directement repris. L'estimation comprend 80 heures pour adapter vos politiques et 16 heures pour la formation et un exercice sur table.
Livrables
- Politique de réponse aux incidents mise à jour
- Politique de divulgation des vulnérabilités mise à jour
- Guides et procédures d'accompagnement
- Formation et exercice sur table IR/CVD pour votre équipe CSIRT
Piloté par
Eden YardeniArchitecte en sécurité applicative
Notre responsable de la réponse aux incidents et de la divulgation coordonnée des vulnérabilités.
-
Secure by design et secure by default
80 heures par organisation
La conformité au CRA ne s'ajoute pas à la fin. Les principes secure by design et secure by default doivent se retrouver dans la façon dont les produits sont conçus, développés, testés, durcis et publiés. Nous évaluons vos pratiques de développement, mesures et politiques actuelles au regard de prEN 40000-1-4, la norme horizontale qui permet aux fabricants d'ancrer ces principes dans leur cycle de développement, et corrigeons les écarts les plus urgents.
Livrables
- Atelier secure by design et secure by default pour votre équipe de développement
- Analyse des écarts de votre cycle de développement produit sécurisé par rapport à prEN 40000-1-4
- Feuille de route pour améliorer votre cycle de développement
- Mise en œuvre de mesures choisies dans le temps convenu
Piloté par
Timo PagelArchitecte DevSecOps
Expert senior en sécurité applicative issu du développement logiciel, rompu aux environnements de développement réels.
-
Preuves et documentation de la conformité CE
40 heures par produit
Avant qu'un produit puisse porter le marquage CE, il vous faut une documentation technique démontrant le respect des exigences de l'annexe I, ainsi qu'une déclaration UE de conformité. Nous rassemblons les résultats précédents, dont le contexte produit, l'évaluation des risques, le threat model, la SBOM et les preuves de processus, en un dossier de conformité qui résiste à l'examen, et vous aidons à choisir la bonne procédure d'évaluation de la conformité pour votre classe de produits. L'estimation suppose que les lots précédents sont terminés.
Livrables
- La procédure d'évaluation de la conformité pour votre classe de produits : contrôle interne (module A) ou évaluation par un tiers lorsqu'elle est obligatoire
- Documentation technique issue des lots précédents, mise en correspondance avec les exigences de l'annexe I et les normes appliquées
- Projet de déclaration UE de conformité
Piloté par
Dagmar MoserConsultante, auditrice et chargée de cours
Spécialiste de la conformité CRA et lead auditrice ISO/IEC 27001, appuyée par les responsables juridiques et sécurité applicative des lots précédents.
Charge
Ce que cela demande
Les estimations portent sur un produit, une famille de produits et une chaîne de build. Les lots estimés par produit, famille de produits, chaîne de build ou organisation évoluent avec le périmètre choisi.
| Lot de travail | Charge estimée | Base |
|---|---|---|
| 01. Obligations de notification CRA 2026 | 16 heures | par organisation |
| 02. Contexte produit et périmètre CRA | 16 heures | par famille de produits |
| 03. Maturité SSDLC et analyse des écarts CRA | 32 heures | par chaîne de build |
| 04. Threat model et évaluation des risques du produit | 64 heures | par produit |
| 05. Programme de gestion des vulnérabilités | 96 heures | par organisation |
| 06. Secure by design et secure by default | 80 heures | par organisation |
| 07. Preuves et documentation de la conformité CE | 40 heures | par produit |
| Lots achetés séparément : 344 heures (environ 43 jours-homme) | ||
| Parcours complet : 328 heures (environ 41 jours-homme) | ||
Dans le parcours complet, le travail du lot 1 est intégré au lot 5, ce qui économise 16 heures.
Les estimations couvrent les politiques, procédures, évaluations et la documentation exigées par le CRA et les normes EN 40000. Elles n'incluent pas la mise en œuvre ni l'exploitation de mesures techniques comme les tests d'intrusion, l'analyse de composition logicielle (SCA) ou les tests de sécurité statiques et dynamiques (SAST et DAST). Nous les proposons séparément, en parallèle du parcours ou après. Une fois le périmètre arrêté, nous convertissons l'estimation en prix forfaitaire à notre tarif journalier.
Vous ne savez pas par où commencer ?
Audit interne EU CRA
En quelques jours, nous endossons le rôle d'auditeur et passons en revue chaque exigence applicable du CRA, en vérifiant qu'il existe des preuves suffisantes de son respect. Vous recevez une liste de non-conformités, qui montre précisément les lots de travail dont vous avez besoin.
Demander un audit interne- Un examen de vos preuves, exigence par exigence
- Une liste de non-conformités comme livrable
- Quelques jours de travail, un point de départ clair
Vous vendez dans l'UE depuis l'extérieur ?
Le CRA s'applique à tout produit comportant des éléments numériques mis sur le marché de l'UE, où que le fabricant soit établi. Cela concerne aussi les éditeurs de logiciels aux États-Unis et ailleurs qui vendent des logiciels on-premise à des clients européens. Si nécessaire, nous menons le parcours entièrement à distance et planifions les ateliers selon votre fuseau horaire.
FAQ
1. Devons-nous acheter le parcours complet ?
Non. Chaque lot est autonome, et vous pouvez délimiter les lots par produit, famille de produits, chaîne de build ou organisation. Beaucoup de fabricants commencent par l'audit interne EU CRA ou par le lot 1, puis ajoutent des lots à mesure que les écarts apparaissent.
2. Le CRA s'applique-t-il aux entreprises hors UE ?
Oui, dès que leurs produits sont mis sur le marché de l'UE. Les fabricants hors UE ont les mêmes obligations, et leurs importateurs et distributeurs doivent vérifier qu'elles sont respectées. Nous travaillons à distance avec des fabricants hors UE.
3. Comment le parcours est-il facturé ?
Nous estimons la charge par lot, comme indiqué ci-dessus. Une fois le périmètre arrêté, nous convertissons l'estimation en prix forfaitaire à notre tarif journalier. Il n'y a donc pas de budget ouvert.
4. Qu'est-ce qui n'est pas inclus ?
La mise en œuvre et l'exploitation de mesures techniques comme les tests d'intrusion, la SCA, le SAST et le DAST. Nous les proposons comme services distincts, en parallèle du parcours ou une fois le programme et la documentation en place.
5. Selon quelles normes travaillez-vous ?
Le CRA lui-même, la série EN 40000 du CEN/CENELEC JTC 13 WG 9, où nous siégeons, l'ISO/IEC 27034 et OWASP SAMM. Si une norme verticale s'applique à votre produit, l'analyse juridique du lot 2 l'identifie.
6. Combien de temps cela prend-il ?
Le parcours complet représente environ 41 jours-homme de notre travail pour un produit, une famille de produits et une chaîne de build. La durée calendaire dépend surtout de la disponibilité de votre équipe pour les entretiens et les ateliers.