Provetry
ENDEDemander l’accès anticipé
Test gratuit
Demander l’accès anticipé

Provetry ouvre en novembre 2026. Le test CRA gratuit, les outils et les guides sont disponibles dès maintenant.

Le CRA et NIS2 : qui fait quoi

7 min de lecture

Sur cette page
  1. Côte à côte
  2. Qui relève de NIS2
  3. Où ils se rejoignent
  4. Si les deux s’appliquent à vous
  5. Ce que fait Provetry
  6. Sources

L’Union européenne a deux grands textes de cybersécurité que les entreprises confondent souvent : le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) et la directive NIS2 (directive (UE) 2022/2555). En bref : le CRA porte sur la sécurité des produits que vous vendez ; NIS2 porte sur la sécurité de l’organisation qui fournit des services essentiels ou importants. Beaucoup d’entreprises relèvent de l’un ; certaines des deux.

Côte à côte

Cyber Resilience Act NIS2
Ce qu’il couvre Les produits comportant des éléments numériques mis sur le marché de l’UE Les entités essentielles et importantes des secteurs listés
Qui porte les obligations Fabricants, importateurs, distributeurs (et intendants de logiciels ouverts) Les entités elles-mêmes, et leurs organes de direction
Forme juridique Règlement : s’applique directement, le même texte partout Directive : transposée en droit national, avec des différences
Obligations principales Conception sûre (annexe I), gestion des vulnérabilités, SBOM, documentation technique, marquage CE Mesures de gestion des risques, sécurité de la chaîne d’approvisionnement, signalement des incidents, gouvernance
Signalement Vulnérabilités activement exploitées et incidents graves touchant le produit, par la plateforme unique de signalement de l’ENISA Incidents importants touchant les services de l’entité, au CSIRT national ou à l’autorité compétente
Délais Alerte précoce 24 h, notification 72 h, rapport final 14 jours après un correctif (vulnérabilités) ou un mois après la notification (incidents) Alerte précoce 24 h, notification 72 h, rapport final un mois après la notification
Dates Signalement depuis le 11 septembre 2026 ; le reste à partir du 11 décembre 2027 Transposition au plus tard le 17 octobre 2024
Amendes maximales 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial Au moins 10 millions d’euros ou 2 % pour les entités essentielles ; au moins 7 millions d’euros ou 1,4 % pour les importantes (le plafond est fixé par la loi nationale)

Qui relève de NIS2

NIS2 s’applique aux moyennes et grandes organisations (et à certaines plus petites, quelle que soit leur taille) des secteurs listés dans ses annexes : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (dont l’informatique en nuage et les centres de données), gestion des services TIC, administration publique, espace, services postaux et d’expédition, gestion des déchets, chimie, alimentation, fabrication de certains produits, fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux) et recherche. La loi de transposition de chaque État membre fixe les détails et la procédure d’enregistrement.

Une entreprise de pur logiciel en tant que service ne relève pas du CRA pour son service, mais peut tout à fait relever de NIS2 comme fournisseur numérique ou de services TIC. Voir le CRA et le SaaS.

Où ils se rejoignent

La chaîne d’approvisionnement

Les entités NIS2 doivent gérer la sécurité de leur chaîne d’approvisionnement, y compris les pratiques de sécurité de leurs fournisseurs et les produits qu’elles achètent. Le CRA leur donne de quoi demander du concret : des produits marqués CE, une période d’assistance, un SBOM sur demande, une politique de divulgation, des mises à jour de sécurité. Attendez-vous à ce que des clients NIS2 mettent des exigences du CRA dans leurs contrats, parfois avant décembre 2027.

La divulgation coordonnée des vulnérabilités

NIS2 donne à chaque État membre un CSIRT qui coordonne la divulgation des vulnérabilités, et a créé la base européenne des vulnérabilités, tenue par l’ENISA. La politique de divulgation et les obligations de signalement du CRA s’appuient sur ce même réseau de CSIRT.

Le signalement

Les deux obligations de signalement sont distinctes. Un incident peut déclencher les deux :

  • un fabricant qui est aussi une entité NIS2, et dont les propres systèmes subissent un incident qui touche aussi la sécurité de ses produits, peut devoir signaler au titre de NIS2 (pour ses services) et du CRA (pour ses produits) ;
  • les délais se ressemblent (24 heures, 72 heures) mais les destinataires, les formulaires et les déclencheurs diffèrent.

Prévoyez un seul processus d’incident avec deux sorties, et décidez à l’avance qui vérifie chacune.

Si les deux s’appliquent à vous

  1. Recensez séparément vos produits (CRA) et vos services (NIS2).
  2. Utilisez un seul cadre de gestion des risques pour les deux : les mesures de NIS2 (article 21) et l’annexe I du CRA se recoupent beaucoup, en contrôle d’accès, cryptographie, gestion des vulnérabilités et des incidents.
  3. Fusionnez les processus d’incident et de vulnérabilité, avec une étape de décision : signalement CRA, signalement NIS2, les deux, ou aucun ?
  4. Gardez les preuves au même endroit : décisions, horodatages, signalements envoyés.

Ce que fait Provetry

Provetry couvre le versant CRA : SBOM, veille des vulnérabilités, horloge de signalement du CRA avec brouillons pour l’ENISA, politique de divulgation, avis et documentation technique. Son journal de preuves garde ce que vous avez décidé et quand, ce qui aide aussi quand un client NIS2 vous audite comme fournisseur.

Ce guide est une information générale, pas un conseil juridique.

Sources