Le Cyber Resilience Act (CRA) dit aux fabricants ce que leurs produits doivent atteindre. Il ne dit pas comment. C’est le rôle des normes harmonisées : une fois qu’une norme est citée au Journal officiel de l’UE, un produit qui la respecte est présumé conforme aux exigences du CRA qu’elle couvre.
La Commission européenne a demandé ces normes aux organisations européennes de normalisation dans la demande de normalisation M/606. Le travail est réparti entre le CEN, le CENELEC et l’ETSI, et l’avancement varie beaucoup d’un comité à l’autre. Les tableaux ci-dessous montrent où en était chaque norme en octobre 2026.
Pourquoi le calendrier compte
Les obligations de notification du CRA pour les vulnérabilités activement exploitées et les incidents graves s’appliquent depuis le 11 septembre 2026. Les exigences essentielles applicables aux produits s’appliquent à partir du 11 décembre 2027. Les normes qui atteindront le Journal officiel avant cette date détermineront la charge de votre évaluation de la conformité.
La procédure dépend de la classe du produit :
- Les produits par défaut (non listés aux annexes III ou IV) peuvent recourir au contrôle interne (module A), avec ou sans normes harmonisées.
- Les produits importants de classe I (annexe III) ne peuvent recourir au contrôle interne que si vous appliquez des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité. À défaut, il vous faut un organisme notifié.
- Les produits importants de classe II (annexe III) exigent toujours une évaluation par un tiers.
- Les produits critiques (annexe IV) suivent les procédures de la classe II jusqu’à ce que la Commission impose, par acte délégué, un certificat de cybersécurité européen comme l’EUCC.
Pour un produit de classe I, l’absence d’une norme harmonisée fait la différence entre le contrôle interne et le recours payant à un organisme notifié.
Comment lire les tableaux
Les normes horizontales s’appliquent à tout produit comportant des éléments numériques. Les normes verticales ajoutent des exigences pour une catégorie de produits des annexes III ou IV. La colonne M/606 indique le numéro du point dans la demande de normalisation. Certains points sont traités par deux comités et portent un “a” et un “b” : le #36a (pare-feu) est rédigé par l’ETSI, le #36b (pare-feu industriels) par le CLC/TC 65X.
Chaque norme passe par les mêmes étapes :
- NWI
- Projet prEN
- Vote prEN
- Projet EN
- Vote EN (FV)
- Adoptée
- Évaluation HAS
- Citation au JO
Un nouveau sujet de travail (NWI) est approuvé, le comité rédige un projet (prEN) et les organismes nationaux le commentent lors de l’enquête. Le comité prépare ensuite le texte final (projet EN) pour le vote formel (FV). Après l’adoption, un consultant en normes harmonisées (HAS) vérifie la norme au regard de la demande. Seule la citation au Journal officiel (JO) donne une présomption de conformité.
Normes horizontales : CEN/CLC JTC 13 WG9
Elles s’appliquent à tous les produits. L’EN 40000-1-2 (principes et gestion des risques) est adoptée et l’EN 40000-1-3 (gestion des vulnérabilités) est au vote formel. L’EN 40000-1-4 couvre les points #2 à #14 de M/606, l’essentiel des exigences produit de l’annexe I, partie I, et en est encore au stade de projet. C’est celle que la plupart des fabricants attendent.
| Norme | M/606 | Objet | Classe | Étape |
|---|---|---|---|---|
| EN 40000-1-2 | #1 | Principes, gestion des risques, cycle de vie | Horizontale | Adoptée |
| EN 40000-1-3 | #15 | Gestion des vulnérabilités | Horizontale | FV en attente |
| EN 40000-1-4 | #2–14 | Exigences de sécurité génériques | Horizontale | Projet prEN |
| EN 40000-1-1 | – | Vocabulaire | Hors M/606 | Adoptée |
| Rapport technique (TR) | – | Preuve de concept : EN 18037 pour le CRA (numéro à venir) | Hors M/606 | Projet prEN |
| Spécification technique (TS) | – | Guide : appliquer l’EN 18037 pour le CRA (numéro à venir) | Hors M/606 | Projet prEN |
Sources officielles : l’état des projets dans la recherche de normes CEN-CENELEC. Les projets en enquête et les normes publiées sont disponibles auprès de votre organisme national de normalisation ; en France l’AFNOR, aux Pays-Bas NEN Connect affiche les projets ouverts avec un compte gratuit. Contexte sur le comité : stan4cra.eu.
Normes verticales : ETSI TC CYBER
L’ETSI rédige 17 des normes propres à des produits dans la série EN 304 6xx, la plupart pour des produits de classe I. L’ETSI les approuve par une enquête et un vote combinés. Pour dix d’entre elles, ce vote s’est clos entre mi-septembre et mi-octobre ; les résultats et la publication sont encore attendus, elles figurent donc comme projet EN. Les votes sur les sept autres se terminent d’ici mi-novembre. Deux portent sur des produits de classe II : les hyperviseurs et environnements d’exécution de conteneurs (EN 304 635) et les pare-feu et systèmes de détection et de prévention des intrusions (EN 304 636). L’EN 304 642, consacrée aux fonctions de réseau télécom, est hors M/606.
| Norme | M/606 | Catégorie de produits | Classe | Étape |
|---|---|---|---|---|
| EN 304 617 | #17a+b | Navigateurs | Classe I | Vote prEN |
| EN 304 618 | #18 | Gestionnaires de mots de passe | Classe I | Projet EN |
| EN 304 619 | #19 | Logiciels anti-malware | Classe I | Projet EN |
| EN 304 620 | #20a | Produits VPN | Classe I | Vote prEN |
| EN 304 621 | #21a | Systèmes de gestion de réseau | Classe I | Vote prEN |
| EN 304 622 | #22a | Systèmes SIEM | Classe I | Vote prEN |
| EN 304 623 | #23 | Gestionnaires d’amorçage | Classe I | Projet EN |
| EN 304 624 | #24 | PKI et logiciels d’émission de certificats numériques | Classe I | Vote prEN |
| EN 304 625 | #25a | Interfaces réseau physiques et virtuelles | Classe I | Vote prEN |
| EN 304 626 | #26 | Systèmes d’exploitation | Classe I | Vote prEN |
| EN 304 627 | #27a | Routeurs, modems et commutateurs | Classe I | Projet EN |
| EN 304 631 | #31 | Assistants virtuels | Classe I | Projet EN |
| EN 304 632 | #32 | Produits de sécurité pour la maison connectée | Classe I | Projet EN |
| EN 304 633 | #33 | Jouets connectés | Classe I | Projet EN |
| EN 304 634 | #34 | Objets connectés portables | Classe I | Projet EN |
| EN 304 635 | #35 | Hyperviseurs et environnements d’exécution de conteneurs | Classe II | Projet EN |
| EN 304 636 | #36a | Pare-feu, systèmes de détection et de prévention des intrusions | Classe II | Projet EN |
| EN 304 642 | – | Fonctions de réseau télécom | Hors M/606 | Projet prEN |
Sources officielles : le statut de chaque norme dans le programme de travail de l’ETSI, les projets dans le dossier CRA ouvert de l’ETSI, et les normes ETSI publiées en téléchargement gratuit sur etsi.org. Contexte sur le comité : stan4cra.eu.
Semi-conducteurs et puces de confiance : CLC/TC 47X
Quatre normes couvrent les microprocesseurs, les microcontrôleurs et le matériel sécurisé qu’ils intègrent. Chacune porte deux numéros : le numéro EN 4000x-3 de la série CRA et le numéro prEN 5076x sous lequel elle a été développée.
| Norme | M/606 | Catégorie de produits | Classe | Étape |
|---|---|---|---|---|
| EN 40001-3 / prEN 50765 | #28, #29 | Microprocesseurs et microcontrôleurs | Classe I | Projet EN |
| EN 40004-3 / prEN 50767 | #30 | FPGA et ASIC | Classe I | Vote prEN |
| EN 40002-3 / prEN 50766 | #37, #38 | Microprocesseurs et microcontrôleurs inviolables | Classe II | Projet EN |
| EN 40003-3 / prEN 50764 | #41a | Plateformes de cartes à puce et d’éléments sécurisés | Critique | Projet EN |
Sources officielles : l’état des projets dans la recherche de normes CEN-CENELEC. Les projets en enquête et les normes publiées sont disponibles auprès de votre organisme national de normalisation ; en France l’AFNOR, aux Pays-Bas NEN Connect affiche les projets ouverts avec un compte gratuit. Contexte sur le comité : stan4cra.eu.
Dispositifs d’identification personnelle : CEN/TC 224
| Norme | M/606 | Catégorie de produits | Classe | Étape |
|---|---|---|---|---|
| EN 40000-10 | #16 | Gestion des identités et des accès à privilèges | Classe I | Projet EN |
| EN 40000-11 | #39 | Dispositifs matériels avec boîtiers de sécurité | Critique | Projet EN |
| EN 18330 | #41b | Cartes à puce et éléments sécurisés, couche applicative | Critique | Projet EN |
Sources officielles : l’état des projets dans la recherche de normes CEN-CENELEC. Les projets en enquête et les normes publiées sont disponibles auprès de votre organisme national de normalisation ; en France l’AFNOR, aux Pays-Bas NEN Connect affiche les projets ouverts avec un compte gratuit. Contexte sur le comité : stan4cra.eu.
Passerelles de compteurs intelligents : CEN/CLC JTC 13 WG6
| Norme | M/606 | Catégorie de produits | Classe | Étape |
|---|---|---|---|---|
| EN (numéro à venir) | #40 | Passerelles de compteurs intelligents | Critique | Projet prEN |
Sources officielles : l’état des projets dans la recherche de normes CEN-CENELEC. Les projets en enquête et les normes publiées sont disponibles auprès de votre organisme national de normalisation ; en France l’AFNOR, aux Pays-Bas NEN Connect affiche les projets ouverts avec un compte gratuit. Contexte sur le comité : stan4cra.eu.
Produits industriels (OT) : CLC/TC 65X
La série EN 50770 propose des versions OT de plusieurs catégories de produits de l’ETSI, fondées sur l’IEC 62443. Toutes les parties sont au stade de projet prEN. L’EN 50770-1 a été scindée en deux parties, l’une pour les pare-feu et l’autre pour la détection et la prévention des intrusions. En parallèle, le comité modifie trois normes IEC 62443 (les documents prAA) pour les aligner sur le CRA. Ces amendements ne sont pas des points de M/606, mais les organisations déjà certifiées IEC 62443 ont intérêt à les suivre.
| Norme | M/606 | Catégorie de produits | Classe | Étape |
|---|---|---|---|---|
| EN 50770-1-1 | #36b | Pare-feu industriels | Classe II | Projet prEN |
| EN 50770-1-2 | #36b | Détection et prévention des intrusions industrielles | Classe II | Projet prEN |
| EN 50770-2 | #21b | Gestion de réseau | Classe I | Projet prEN |
| EN 50770-3 | #25b | Interfaces réseau | Classe I | Projet prEN |
| EN 50770-4 | #20b | VPN | Classe I | Projet prEN |
| EN 50770-5 | #27b | Routeurs et commutateurs | Classe I | Projet prEN |
| EN 50770-6 | #22b | SIEM | Classe I | Projet prEN |
| EN IEC 62443-4-1/prAA | – | Cycle de développement sécurisé des produits | Hors M/606 | Projet EN |
| EN IEC 62443-4-2/prAA | – | Exigences techniques pour les composants | Hors M/606 | Projet EN |
| EN IEC 62443-3-3/prAA | – | Exigences système et niveaux de sécurité | Hors M/606 | NWI |
Sources officielles : l’état des projets dans la recherche de normes CEN-CENELEC. Les projets en enquête et les normes publiées sont disponibles auprès de votre organisme national de normalisation ; en France l’AFNOR, aux Pays-Bas NEN Connect affiche les projets ouverts avec un compte gratuit. Les normes de base IEC 62443 sont dans la boutique en ligne de l’IEC. Contexte sur le comité : stan4cra.eu.
Que faire de ces informations
Cherchez la catégorie de votre produit dans les tableaux. Si sa norme a passé l’enquête, procurez-vous le projet auprès de votre organisme national de normalisation et réalisez dès maintenant une analyse des écarts.
Si votre produit est de classe I et que sa norme en est encore à un stade précoce, prévoyez les deux issues : le contrôle interne (module A) si la norme est citée à temps, et un organisme notifié sinon. La capacité des organismes notifiés pour le CRA est encore en construction : réserver tard est un risque en soi.
Quelle que soit votre classe, l’EN 40000-1-2 et l’EN 40000-1-3 valent la peine d’être appliquées dès aujourd’hui. C’est en gestion des risques et en gestion des vulnérabilités que se concentrent la plupart des écarts au CRA, et les deux normes sont presque finalisées. L’EU CRA Compliance Journey construit votre évaluation des risques et votre gestion des vulnérabilités sur ces normes.
Vous ne savez pas dans quelle classe se trouve votre produit ? Faites l’Autoévaluation EU CRA gratuite ou réservez un entretien stratégique EU CRA gratuit.
Sources : liste de statut CRA de DIN/DKE, octobre 2026 ; programme de travail de l'ETSI TC CYBER, 16 octobre 2026. Les étapes évoluent chaque mois ; ce panorama reflète la situation à la date indiquée.