EU CRA Practitioner Training

Le CRA est déployé par phases, et la première véritable échéance - les obligations de notification pour les vulnérabilités activement exploitées et les incidents graves - tombe le 11 septembre 2026. Les exigences relatives au Secure Product Development Lifecycle suivent le 11 décembre 2027. Aucun de ces calendriers ne laisse beaucoup de marge pour construire des processus à partir de zéro. Les équipes les mieux placées seront celles qui ont commencé à se préparer 12 à 18 mois avant les échéances, pas au dernier trimestre.

Elle fonctionne le mieux comme session transversale. Le contenu est pertinent pour toute personne qui travaille sur un produit relevant du CRA - pas seulement l'équipe sécurité.

• Les CISO et responsables de la sécurité de l'information obtiennent une vision claire de leurs obligations légales et de ce à quoi un programme de conformité doit ressembler.
• Les responsables conformité, juridiques et risk managers repartent avec une solide maîtrise du cadre réglementaire, des délais et de la documentation qui doit exister.
• Les architectes logiciels et tech leads apprennent comment les principes secure-by-design et secure-by-default se traduisent en vraies décisions d'architecture.
• Les chefs de produit et responsables applicatifs comprennent où les obligations du CRA croisent les feuilles de route produit, les cycles de release et le support post-release.
• Les développeurs et ingénieurs DevOps voient clairement ce qui change au quotidien : génération de SBOM, triage des vulnérabilités et délais de livraison des correctifs.
• Les testeurs logiciels comprennent à quoi ressemble en pratique la vérification de sécurité pertinente pour le CRA.

Aucune connaissance préalable du CRA n'est requise.

Un mélange de présentation, de discussion et d'exercices appliqués. Les participants travaillent sur de vraies exigences du CRA et les rapportent à des scénarios pertinents pour leurs propres produits. La journée se termine par une session structurée de planification d'actions - l'équipe repart ainsi avec du concret, pas seulement des notes.

Le CRA couvre tous les produits comportant des éléments numériques mis sur le marché de l'UE dont un usage par des consommateurs ou des entreprises est raisonnablement prévisible - ce qui inclut la plupart des produits logiciels. Les principales exclusions sont les produits déjà régis par une législation sectorielle (comme le règlement sur les dispositifs médicaux) et certaines catégories de logiciels open source. La formation comprend un module de classification des produits, afin que votre équipe détermine exactement quelles obligations s'appliquent à ce que vous livrez.

1. Un vidéoprojecteur et une prise électrique pour le formateur
2. Suffisamment d'espace pour faire travailler les participants en petits groupes de 3 à 5 personnes
3. Un tableau blanc ou un paperboard par groupe

Les participants n'ont pas besoin d'apporter d'ordinateur portable. Tous les exercices utilisent des supports imprimés.

Oui, jusqu'à 25 participants. Les groupes travaillent dans des salles virtuelles en sous-groupes avec l'appui du formateur, et se retrouvent pour discuter après chaque bloc d'exercices.