Cyber-Management
FR / ENRéserver une consultation

EU Cybersecurity Act

EU Cybersecurity Act : quand votre produit a besoin d’une certification européenne.

Un acheteur ou le Cyber Resilience Act demande une sécurité certifiée ? Voyez quelle voie vous convient.

Réserver une consultation gratuite de 25 minutes

Êtes-vous concerné ?

Votre marché demande-t-il une sécurité certifiée ?

La certification est volontaire. Elle devient utile quand un client, ou un autre texte, la demande. Les règles exactes figurent plus bas, dans la partie destinée à votre DSI.

  • Un appel d’offres public exige une certification européenneUn acheteur peut l’exiger quand un schéma européen existe. Aujourd’hui, c’est EUCC, pour des produits comme les cartes à puce, les équipements réseau et les systèmes d’exploitation.
  • Votre produit relève du Cyber Resilience ActDès le 11 décembre 2027, un produit avec du logiciel ou une connexion devra prouver sa conformité de sécurité pour le marquage CE. La certification européenne est une façon de le montrer.
  • Vos clients soumis à NIS2 contrôlent votre sécuritéIls contrôlent la sécurité de leurs fournisseurs, et un certificat est une preuve solide.
  • Vous vendez des services en ligne (informatique en nuage)Un schéma européen pour ces services (EUCS) est en préparation mais pas adopté. Préparez-vous sans surinvestir.

Ce qui change pour vous

Un label européen volontaire, que le CRA rend plus utile.

L’EU Cybersecurity Act crée une certification de sécurité valable dans toute l’UE pour les produits, services et processus informatiques. Les schémas sont préparés par l’ENISA, l’agence européenne de cybersécurité, à trois niveaux : élémentaire, substantiel et élevé.

Un schéma s’applique aujourd’hui : EUCC, pour les produits informatiques, depuis le 27 février 2025. Dès le 11 décembre 2027, le Cyber Resilience Act fait de la sécurité une condition du marquage CE. Un schéma européen de niveau substantiel ou plus est une façon de la démontrer.

Aucune amende ne sanctionne l’absence de certification. Le risque est commercial : des appels d’offres et des clients qui exigent un certificat. La réponse : choisir tôt la bonne voie et le bon niveau, car une certification prend des mois.

Par où commencer

Choisir la bonne voie, puis préparer les preuves.

Ce que nous livrons

  • Le schéma et le niveau adaptés à votre produit, et si vous en avez besoin
  • Ce que le Cyber Resilience Act change pour vos produits, et quand
  • Vos écarts : les preuves et la documentation qu’un évaluateur demandera
  • Le dossier pour l’organisme d’évaluation ou l’autorité nationale
  • Une aide au choix de l’organisme d’évaluation

Qui fait quoi

Nous pilotons la certification. Votre équipe produit garde l’ingénierie.

Ce que nous pilotons

  • Choisir le schéma, le niveau et la voie
  • Classer les écarts et fixer le plan
  • Préparer le dossier documentaire
  • Coordonner avec l’organisme d’évaluation

Ce qui reste chez votre équipe produit

  • Corriger les failles de sécurité du produit
  • Fournir les éléments techniques que testent les évaluateurs
  • Tenir à jour la documentation du produit

Nous ne testons ni ne modifions le produit : un organisme d’évaluation indépendant le teste.

Pour commencer

Première étape : savoir si vous avez besoin d’une certification.

Vous savez quel schéma et quel niveau conviennent à votre produit, le cas échéant. Vous savez aussi ce que change le Cyber Resilience Act. La suite est dimensionnée à partir de cette réponse, au forfait.

Prix
Forfait fixe

Devis ferme après l'appel gratuit.

Réserver une consultation gratuite de 25 minutes

Pour votre DSI, DPO ou DAF

Quel niveau de rigueur d'évaluation.
  1. 01Élémentaire

    Revue documentaire ; auto-évaluation seulement si le schéma le prévoit

    Un schéma peut autoriser l'auto-évaluation du fabricant à ce seul niveau (article 53 du CSA). Typique de l'IoT grand public, des logiciels standard et des services IT peu critiques.

  2. 02Substantiel

    Tests par CAB indépendant face à des scénarios d'attaque

    Tests par un Conformity Assessment Body (CAB) indépendant. Typique pour les logiciels professionnels, services cloud, équipements réseau d'entreprise.

  3. 03Élevé

    Autorité nationale ou organisme accrédité, méthodologie stricte

    Évaluation la plus rigoureuse. Typique pour les infrastructures critiques, systèmes gouvernementaux, équipements réseau de haute sécurité.

  4. 04EUCC

    Schéma européen fondé sur les Critères communs (EUCC) — applicable depuis février 2025

    Adopté en janvier 2024, applicable depuis le 27 février 2025. Remplace les schémas nationaux fondés sur les Critères communs pour les produits TIC qu'il couvre. Niveaux substantiel et élevé. Fondé sur ISO/IEC 15408.

  5. 05EUCS

    Schéma EU Cloud Services — EN DÉVELOPPEMENT

    Pour IaaS, PaaS, SaaS. Couvrira disponibilité, confidentialité, intégrité et portabilité aux trois niveaux d'assurance.

  6. 06EU5G

    Certification EU 5G — EN DÉVELOPPEMENT

    Schéma de certification pour les composants et technologies de réseau 5G. Focus infrastructures critiques.

Pas d'amendes légales. L'accès au marché est le levier.

Le Cybersecurity Act lui-même ne prévoit pas d'amendes directes pour absence de certification — mais les conséquences de ne pas avoir la certification s'accumulent à travers trois mécanismes.

Premièrement, les achats publics : un acheteur peut exiger une certification européenne lorsqu'un schéma existe — aujourd'hui, EUCC ; le schéma cloud (EUCS) n'est pas adopté. Deuxièmement, les exigences de chaîne d'approvisionnement NIS2 : les entités couvertes par NIS2 exigent la certification de leurs fournisseurs comme preuve de sécurité. Troisièmement, le Cyber Resilience Act : à partir du 11 décembre 2027, le marquage CE pour les produits comportant des éléments numériques est conditionné à une conformité cybersécurité, et ses propres amendes atteignent 15 M€ ou 2,5 % du chiffre d'affaires mondial. Pas de conformité, pas de marquage CE, pas d'accès au marché européen.

  • Marquage CE CRA

    11 déc. 2027

    marquage CE conditionné à la conformité cybersécurité pour les produits numériques.

  • Achats publics

    Selon les schémas

    un appel d'offres peut exiger une certification européenne ; EUCC est adopté, EUCS pas encore.

  • Certification et CRA

    Une voie

    vers la conformité CRA — la plupart des produits s'auto-évaluent ; les classes II et critiques passent par un organisme notifié ou un schéma européen.

Calendrier type

Dépend du schéma, du niveau d'assurance et de la maturité du produit.

  1. Quelques semaines

    Niveau élémentaire — produit bien documenté

    Auto-évaluation plus dossier documentaire. Voie la plus rapide ; adapté aux produits grand public et faible criticité.

  2. 6–12 mois

    Niveau substantiel (EUCC) — piloté par CAB

    Pour les produits déjà documentés selon les Critères communs. Tests par un organisme d'évaluation face à des scénarios d'attaque définis.

  3. 12–24 mois

    Niveau élevé — autorité nationale ou organisme accrédité

    Voie la plus stricte — pour infrastructures critiques et produits de haute sécurité.

FAQ

Ce que nous demandent équipes produit et DSI sur la certification européenne.

Que contient concrètement le Cybersecurity Act ?
Le règlement (UE) 2019/881 comporte deux parties. La partie I (articles 1 à 11) donne à l'ENISA, l'agence européenne pour la cybersécurité, un mandat permanent et des moyens. La partie II (articles 46 à 68) crée le cadre européen de certification de cybersécurité des produits, services et processus TIC. La certification est volontaire, mais un schéma européen de niveau au moins « substantiel » est une voie de conformité au Cyber Resilience Act, et peut devenir la voie obligatoire pour certains produits critiques si la Commission adopte un acte délégué au titre de l'article 8, paragraphe 1, du CRA.
Qui est concerné par le Cybersecurity Act ?
Les fabricants et fournisseurs TIC (modules de sécurité matériels, équipements réseau, cartes à puce, systèmes d'exploitation, systèmes embarqués), dont le marquage CE dépendra de la conformité de sécurité une fois le régime produit du CRA applicable ; les fournisseurs de cloud, visés par le futur schéma EUCS ; les éditeurs de logiciels et SaaS qui vendent à des acheteurs publics et à des clients soumis à NIS2 ; les fournisseurs d'infrastructures critiques (schéma EU5G en préparation) ; et les fournisseurs d'entités soumises à NIS2, à qui l'on demande de plus en plus une certification européenne.
L'EU Cybersecurity Act s'applique-t-il aux éditeurs de logiciels et fournisseurs SaaS ?
De plus en plus, oui — par trois voies. (1) Achats publics où les appels d'offres UE/nationaux exigent la certification. (2) Pression de la chaîne d'approvisionnement NIS2 venant des clients couverts. (3) À partir du 11 décembre 2027, marquage CE piloté par le CRA pour les produits logiciels qui entrent dans le périmètre — l'obligation de notification du CRA étant, elle, déjà en vigueur depuis le 11 septembre 2026. Même aujourd'hui, le schéma EUCS (en développement) cible spécifiquement le cloud et le SaaS.
Qu'est-ce qu'EUCC et remplace-t-il les certifications nationales ?
EUCC est le schéma européen fondé sur les Critères communs, adopté en janvier 2024 et applicable depuis le 27 février 2025, sur la base d'ISO/IEC 15408 et ISO/IEC 18045. Il couvre les modules de sécurité matériels, systèmes d'exploitation, équipements réseau, cartes à puce et produits similaires aux niveaux substantiel et élevé. Pour les produits qu'il couvre, il remplace les schémas nationaux Critères communs (en Allemagne, en Italie ou aux Pays-Bas, par exemple) ; les certificats nationaux existants restent valables jusqu'à leur échéance. La CSPN française est une certification nationale de premier niveau distincte — l'ANSSI la présente comme une alternative aux évaluations Critères communs — et elle subsiste à côté d'EUCC.
Qu'est-ce que le Cyber Resilience Act et quelle est la relation ?
Le Cyber Resilience Act, règlement (UE) 2024/2847, est un règlement distinct, conçu pour s'emboîter avec le Cybersecurity Act. Il fixe des exigences essentielles de cybersécurité pour les produits comportant des éléments numériques et, à partir du 11 décembre 2027, conditionne le marquage CE à une évaluation de conformité ; son obligation de notification (article 14) s'applique depuis le 11 septembre 2026. Un schéma européen de niveau au moins « substantiel » est une voie de conformité admise ; pour les produits de la classe II de l'annexe III et de l'annexe IV, l'alternative est un organisme notifié.
Comment la certification cybersécurité européenne aide-t-elle à la conformité NIS2 ?
Les entités couvertes par NIS2 sont tenues d'évaluer et de gérer le risque chaîne d'approvisionnement TIC sous l'article 21(2)(d). Elles utilisent la certification EU CSA comme preuve de sécurité appropriée. Si vos clients sont couverts par NIS2, attendez-vous à une pression croissante pour détenir une certification applicable — même avant que les achats ne la rendent formelle.
Combien de temps prend la certification et quel est le coût ?
Le temps et le coût dépendent fortement du schéma (EUCC vs EUCS), du niveau d'assurance (élémentaire/substantiel/élevé), et de la maturité sécurité actuelle du produit. Les certifications de niveau élémentaire peuvent se compléter en semaines pour un produit bien documenté. EUCC niveau substantiel dure typiquement 6 à 12 mois via un CAB. La certification de niveau élevé peut prendre 12 à 24 mois. Le prix est communiqué dans la proposition après l'appel de cadrage.
Une ISO 27001 existante aide-t-elle à la certification Cybersecurity Act ?
En partie. EUCC évalue le produit selon les Critères communs (ISO/IEC 15408 et 18045) ; il n'exige pas ISO 27001. Un SMSI existant aide toutefois pour la documentation, l'analyse de risques et les processus de développement sécurisé que regardent les évaluateurs. Pour le cloud, le schéma EUCS n'est pas adopté : ses exigences finales ne sont pas encore connues.

À découvrir

Les cadres avec lesquels il fonctionne.

ISO 27001

Une base utile — des processus documentés que regardent les évaluateurs ; pas une exigence d'EUCC.

En savoir plus

Cyber Resilience Act

Le règlement qui transforme ce cadre volontaire en voie d'accès au marché — un schéma européen de niveau « substantiel » est une voie de conformité CRA admise.

En savoir plus

NIS2

Tire la demande de certification fournisseur via les obligations chaîne d'approvisionnement de l'article 21(2)(d).

En savoir plus

Data Governance Act

Régulation numérique européenne adjacente — toutes deux partie de la stratégie marché unique numérique.

En savoir plus
Retour au hub conformité