{"id":13272,"date":"2026-03-20T10:22:53","date_gmt":"2026-03-20T10:22:53","guid":{"rendered":"https:\/\/www.cranium.eu\/what-is-the-impact-of-the-cyber-resilience-act-on-your-contracts-and-processes\/"},"modified":"2026-03-20T12:22:53","modified_gmt":"2026-03-20T12:22:53","slug":"quel-est-limpact-du-cyber-resilience-act-cra-sur-vos-contrats-et-processus","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/quel-est-limpact-du-cyber-resilience-act-cra-sur-vos-contrats-et-processus\/","title":{"rendered":"Quel est l&rsquo;impact du Cyber Resilience Act (CRA) sur vos contrats et processus ?"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"13272\" class=\"elementor elementor-13272 elementor-13251\" data-elementor-settings=\"{&quot;element_pack_global_tooltip_width&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_padding&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true}}\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-810c3e6 e-flex e-con-boxed e-con e-parent\" data-id=\"810c3e6\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;background_background&quot;:&quot;classic&quot;}\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-5425fd3 elementor-widget elementor-widget-text-editor\" data-id=\"5425fd3\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Points cl\u00e9s.<\/h2><p><strong>Le CRA a des cons\u00e9quences importantes pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques (PEN).<\/strong><\/p><p>Les PEN ne peuvent plus simplement \u00eatre mis sur le march\u00e9 \u00ab en l&rsquo;\u00e9tat \u00bb. En vertu du CRA, ces derniers doivent d\u00e9sormais satisfaire \u00e0 des exigences essentielles minimales en mati\u00e8re de cybers\u00e9curit\u00e9. Les fabricants, importateurs et distributeurs seront tenus de garantir la s\u00e9curit\u00e9, la maintenance et le support du PEN avant et apr\u00e8s sa mise sur le march\u00e9. Chaque acteur doit analyser l&rsquo;impact du CRA sur lui-m\u00eame et sur ses contrats.<\/p><p><strong>Les contrats en amont (avec les fournisseurs) et les contrats en aval (avec les clients) doivent \u00eatre r\u00e9vis\u00e9s.<\/strong><\/p><p>Les contrats avec les fournisseurs et les clients doivent id\u00e9alement contenir des dispositions sp\u00e9cifiques concernant les droits d&rsquo;audit, les obligations de notification, les obligations de coop\u00e9ration, les obligations d&rsquo;information, les clauses de responsabilit\u00e9, ainsi que les garanties de correctifs et de mises \u00e0 jour.<\/p><p><strong>Les processus de s\u00e9lection des fournisseurs doivent \u00e9galement \u00eatre r\u00e9vis\u00e9s.<\/strong><\/p><p>Si vous tenez compte de la conformit\u00e9 au CRA d\u00e8s le processus de s\u00e9lection d&rsquo;un fournisseur, vous \u00e9vitez des n\u00e9gociations fastidieuses avec un fournisseur qui n&rsquo;a jamais \u00e9t\u00e9 conforme au CRA. Ou pire : vous \u00e9vitez de d\u00e9couvrir que le fournisseur n&rsquo;est pas conforme au CRA apr\u00e8s la signature du contrat.<\/p><p><strong>Des contrats back-to-back sont n\u00e9cessaires pour une r\u00e9partition correcte des risques.<\/strong><\/p><p>Il est important que les clauses des contrats fournisseurs et des contrats clients soient align\u00e9es dans l&rsquo;ensemble de la cha\u00eene. Cela \u00e9vite qu&rsquo;un distributeur, par exemple, assume certaines responsabilit\u00e9s qu&rsquo;il n&rsquo;est pas cens\u00e9 porter, mais qui incombent \u00e0 son fournisseur ou \u00e0 son client.<\/p><p><strong>N&rsquo;attendez pas pour mettre en \u0153uvre le CRA !<\/strong><\/p><p>Les obligations du CRA entrent en vigueur progressivement entre d\u00e9cembre 2024 et d\u00e9cembre 2027. Pour rester conforme et \u00e9viter les risques op\u00e9rationnels et juridiques, il est essentiel de commencer d\u00e8s maintenant \u00e0 analyser l&rsquo;impact du CRA sur votre organisation et \u00e0 r\u00e9diger ou r\u00e9viser vos contrats.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-d118bb8 e-flex e-con-boxed e-con e-parent\" data-id=\"d118bb8\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-9335057 elementor-widget elementor-widget-text-editor\" data-id=\"9335057\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Qu&rsquo;est-ce que le CRA et quel est son impact sur vos contrats ?<\/h2><p>L\u00e0 o\u00f9 la directive NIS2 porte sur la cybers\u00e9curit\u00e9 au niveau organisationnel, le Cyber Resilience Act (CRA) porte sur la cybers\u00e9curit\u00e9 au niveau des produits.<\/p><p>Pour rehausser le niveau de cybers\u00e9curit\u00e9 des produits comportant des \u00e9l\u00e9ments num\u00e9riques (PEN), le CRA interdit la mise sur le march\u00e9 de PEN \u00ab en l&rsquo;\u00e9tat \u00bb, c&rsquo;est-\u00e0-dire sans qu&rsquo;ils satisfassent aux exigences essentielles de cybers\u00e9curit\u00e9.<\/p><p>Le CRA est-il enti\u00e8rement nouveau pour vous ? Ou ne savez-vous pas encore ce qu&rsquo;est un PEN ? <a href=\"https:\/\/www.cranium.eu\/fr\/quest-ce-que-les-modalites-contractuelles-types-et-les-clauses-contractuelles-types-prevues-par-le-data-act\/\">Lisez d&rsquo;abord notre blog pr\u00e9c\u00e9dent : Le Cyber Resilience Act (CRA) en 10 questions et r\u00e9ponses.<\/a><\/p><p>Ce blog se concentre sur l&rsquo;impact du CRA sur vos contrats en tant que fabricant, importateur ou distributeur. En pratique, la conformit\u00e9 au CRA est une question multidisciplinaire. Outre l&rsquo;aspect technique, l&rsquo;aspect juridique ne doit pas \u00eatre n\u00e9glig\u00e9.<\/p><p>Les obligations du CRA ont en effet des cons\u00e9quences importantes pour les contrats de l&rsquo;ensemble de la cha\u00eene. Les organisations devront revoir tant leurs contrats avec les fournisseurs (en amont) que leurs contrats avec les clients (en aval), pour v\u00e9rifier leur conformit\u00e9 au CRA. Cela est pertinent non seulement pour les contrats, mais aussi pour d&rsquo;autres documents juridiques tels que les conditions d&rsquo;achat, les conditions de vente et les accords de niveau de service (SLA).<\/p><p>Nous distinguons ci-dessous les cons\u00e9quences pour :<\/p><ul><li>Les contrats en amont (avec les fournisseurs)<\/li><li>Les contrats en aval (avec les clients)<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-26ea02f e-flex e-con-boxed e-con e-parent\" data-id=\"26ea02f\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-53b234c elementor-widget elementor-widget-text-editor\" data-id=\"53b234c\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Quelles sont en bref les obligations du CRA pour les fabricants, importateurs et distributeurs de PEN ?<\/h2><p>Pour comprendre l&rsquo;impact du CRA sur les contrats, nous devons d&rsquo;abord avoir une id\u00e9e claire des obligations du CRA.<\/p><p>Le CRA pr\u00e9voit diverses obligations pour garantir que les PEN sont con\u00e7us, d\u00e9velopp\u00e9s et produits conform\u00e9ment aux exigences essentielles de cybers\u00e9curit\u00e9 du CRA.<\/p><p>Le CRA impose donc aux fabricants, lorsqu&rsquo;ils int\u00e8grent dans leur PEN des composants achet\u00e9s aupr\u00e8s de tiers (tels que des unit\u00e9s centrales de traitement, des cartes graphiques ou des biblioth\u00e8ques logicielles), d&rsquo;effectuer une \u00ab due diligence \u00bb. Si le fabricant d\u00e9couvre une vuln\u00e9rabilit\u00e9, il est tenu d&rsquo;en informer le tiers qui fabrique ou maintient le composant, de traiter et de corriger la vuln\u00e9rabilit\u00e9 et, le cas \u00e9ch\u00e9ant, de fournir \u00e0 ce tiers le correctif de s\u00e9curit\u00e9 appliqu\u00e9.<\/p><p>Le CRA n&rsquo;impose pas seulement des obligations aux fabricants, mais aussi aux importateurs et distributeurs de PEN. Ceux-ci doivent notamment v\u00e9rifier que les PEN qu&rsquo;ils mettent sur le march\u00e9 :<\/p><ul><li>satisfont aux exigences essentielles de cybers\u00e9curit\u00e9 du CRA<\/li><li>sont accompagn\u00e9s de la documentation technique requise<\/li><li>portent le marquage CE et les d\u00e9clarations de conformit\u00e9<\/li><li>sont accompagn\u00e9s de mises \u00e0 jour de s\u00e9curit\u00e9 et de proc\u00e9dures relatives aux vuln\u00e9rabilit\u00e9s<\/li><\/ul><p>Si l&rsquo;importateur ou le distributeur sait (ou devrait savoir) qu&rsquo;un PEN n&rsquo;est pas conforme au CRA, il ne doit pas mettre le produit sur le march\u00e9 ni poursuivre sa distribution.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-40c3c03 e-flex e-con-boxed e-con e-parent\" data-id=\"40c3c03\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-cbd43d7 elementor-widget elementor-widget-text-editor\" data-id=\"cbd43d7\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Cons\u00e9quences pour les contrats en amont (avec les fournisseurs).<\/h2><p>Le CRA cr\u00e9e pour les fabricants, importateurs et distributeurs un besoin clair d&rsquo;obtenir des garanties contractuelles de leurs fournisseurs, car la coop\u00e9ration de ces fournisseurs est n\u00e9cessaire pour pouvoir respecter leurs propres obligations au titre du CRA.<\/p><p>Nous listons ci-dessous quelques exemples de clauses que ces acteurs devraient inclure dans leurs contrats avec les fournisseurs :<\/p><h3><span style=\"color: #dc3b51;\">Droits d&rsquo;audit et obligations d&rsquo;information<\/span><\/h3><p>Pour les fabricants, il est important qu&rsquo;ils effectuent une due diligence appropri\u00e9e et obtiennent en temps utile les informations (techniques) n\u00e9cessaires (et les \u00e9ventuelles mises \u00e0 jour) lors de l&rsquo;achat de composants aupr\u00e8s de tiers. Cela est n\u00e9cessaire pour respecter leurs propres obligations au titre du CRA, telles que :<\/p><ul><li>l&rsquo;\u00e9tablissement du Software Bill of Materials (SBOM),<\/li><li>la fourniture d&rsquo;informations et d&rsquo;instructions aux utilisateurs,<\/li><li>la r\u00e9ponse aux questions des autorit\u00e9s de surveillance,<\/li><li>l&rsquo;obtention de l&rsquo;\u00e9valuation de conformit\u00e9.<\/li><\/ul><p>Pour les importateurs et distributeurs, il est \u00e9galement important qu&rsquo;ils re\u00e7oivent de leurs fournisseurs les informations (techniques) n\u00e9cessaires (et les \u00e9ventuelles modifications de ces informations), ou qu&rsquo;ils puissent les v\u00e9rifier. Cela est n\u00e9cessaire pour respecter leurs propres obligations au titre du CRA, telles que :<\/p><ul><li>la fourniture d&rsquo;informations \u00e0 la demande des autorit\u00e9s comp\u00e9tentes,<\/li><li>la fourniture d&rsquo;informations \u00e0 leurs clients (p. ex. concernant les mises \u00e0 jour du PEN),<\/li><li>la v\u00e9rification que les PEN satisfont aux exigences essentielles de cybers\u00e9curit\u00e9,<\/li><li>la v\u00e9rification que toutes les mentions requises sont pr\u00e9sentes sur le PEN, ou<\/li><li>l&rsquo;obtention de la documentation requise pour mettre des PEN sur le march\u00e9.<\/li><\/ul><h3><span style=\"color: #dc3b51;\">Obligations de coop\u00e9ration<\/span><\/h3><p>Il est conseill\u00e9 de pr\u00e9voir contractuellement que le fournisseur doit prendre les mesures correctives n\u00e9cessaires, telles que la fourniture de correctifs, le retrait du march\u00e9 des PEN non conformes, leur rappel ou l&rsquo;arr\u00eat de leur distribution.<\/p><h3><span style=\"color: #dc3b51;\">Obligations de notification des vuln\u00e9rabilit\u00e9s et des incidents<\/span><\/h3><p>Les fabricants sont tenus de signaler \u00e0 leur fournisseur toute vuln\u00e9rabilit\u00e9 d\u00e9couverte dans des composants achet\u00e9s aupr\u00e8s de tiers, et d&rsquo;y rem\u00e9dier sans d\u00e9lai. Pour les importateurs et distributeurs, il peut \u00eatre utile d&rsquo;imposer au fabricant d&rsquo;analyser les vuln\u00e9rabilit\u00e9s et incidents connus et de d\u00e9velopper des correctifs ou mises \u00e0 jour, qui devront ensuite \u00eatre mis \u00e0 disposition imm\u00e9diatement et gratuitement (\u00e9ventuellement assortis des niveaux de service appropri\u00e9s).<\/p><h3><span style=\"color: #dc3b51;\">Notification en cas de cessation d&rsquo;activit\u00e9s ou de support<\/span><\/h3><p>Il est important d&rsquo;inclure une clause obligeant le fournisseur \u00e0 informer le fabricant en temps utile de toute cessation d&rsquo;activit\u00e9s envisag\u00e9e ou de tout arr\u00eat du support, de la production ou de la disponibilit\u00e9 d&rsquo;un composant essentiel au fonctionnement ou \u00e0 la s\u00e9curit\u00e9, afin que le fabricant puisse respecter ses obligations en mati\u00e8re de support produit, de mises \u00e0 jour de s\u00e9curit\u00e9 et de notifications aux utilisateurs et aux autorit\u00e9s, et afin que les importateurs et distributeurs puissent informer les autorit\u00e9s et les utilisateurs concern\u00e9s en temps utile.<\/p><p>En cas de cessation d&rsquo;activit\u00e9s ou de fin du support, de la production ou de la disponibilit\u00e9, il peut \u00e9galement \u00eatre conseill\u00e9 de pr\u00e9voir des arrangements relatifs \u00e0 l&rsquo;acc\u00e8s au code source, au firmware et \u00e0 la documentation technique, \u00e9ventuellement dans le cadre d&rsquo;un accord d&rsquo;entiercement. Vous pouvez \u00e9galement convenir que le fournisseur doit proposer des alternatives valables ou des composants de remplacement, ou qu&rsquo;il doit accompagner la migration ou la refonte du PEN. Cela peut \u00eatre li\u00e9 \u00e0 des niveaux de service et \u00e0 des sanctions.<\/p><h3><span style=\"color: #dc3b51;\">Garanties de correctifs et de mises \u00e0 jour<\/span><\/h3><p>Pour les fabricants, importateurs et distributeurs, il est important d&rsquo;inclure des dispositions obligeant leur fournisseur, pendant la p\u00e9riode de support du PEN, \u00e0 signaler sans d\u00e9lai les vuln\u00e9rabilit\u00e9s, \u00e0 les analyser et \u00e0 d\u00e9velopper des correctifs ou mises \u00e0 jour qui devront ensuite \u00eatre mis \u00e0 disposition imm\u00e9diatement et gratuitement. Cela peut \u00eatre li\u00e9 \u00e0 des niveaux de service et \u00e0 des sanctions.<\/p><h3><span style=\"color: #dc3b51;\">Software Bill of Materials (SBOM)<\/span><\/h3><p>Le fabricant doit convenir contractuellement que les fournisseurs fournissent une liste d\u00e9taill\u00e9e de tous les composants (y compris les composants open source). Si un fournisseur s&rsquo;y refuse, le fabricant ne pourra pas respecter ses propres obligations au titre du CRA.<\/p><h3><span style=\"color: #dc3b51;\">Responsabilit\u00e9 et garantie<\/span><\/h3><p>Le fabricant doit pouvoir tenir le fournisseur responsable ou l&rsquo;appeler en garantie en cas d&rsquo;amendes ou de dommages si le composant ne satisfait pas aux exigences CRA convenues ou si le fournisseur omet de fournir des mises \u00e0 jour. Les importateurs et distributeurs doivent \u00e9galement pouvoir tenir leur fournisseur responsable ou l&rsquo;appeler en garantie s&rsquo;il ne respecte pas le CRA. Les r\u00e9gimes ou limitations de responsabilit\u00e9 existants devront \u00e9ventuellement \u00eatre r\u00e9vis\u00e9s.<\/p><h3><span style=\"color: #dc3b51;\">R\u00e9siliation<\/span><\/h3><p>La possibilit\u00e9 de r\u00e9silier les contrats existants devra peut-\u00eatre aussi \u00eatre r\u00e9vis\u00e9e, clarifi\u00e9e ou \u00e9tendue dans le contexte du CRA, par exemple si une partie ne fournit pas (dans les d\u00e9lais) un correctif ou si ce correctif s&rsquo;av\u00e8re insuffisant pour rem\u00e9dier \u00e0 la vuln\u00e9rabilit\u00e9. L&rsquo;inclusion de dispositions de sortie ou de migration peut \u00e9galement \u00eatre utile pour assurer la continuit\u00e9 du PEN pendant sa p\u00e9riode de support.<\/p><h3><span style=\"color: #dc3b51;\">Niveaux de service et Service Level Agreement (SLA)<\/span><\/h3><p>De mani\u00e8re g\u00e9n\u00e9rale, il peut \u00eatre utile de convenir de niveaux de service ou d&rsquo;un SLA distinct.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-70e843f e-flex e-con-boxed e-con e-parent\" data-id=\"70e843f\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-34ed4fa elementor-widget elementor-widget-text-editor\" data-id=\"34ed4fa\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Cons\u00e9quences pour les contrats en aval (avec les clients ou revendeurs).<\/h2><p>Outre les risques en amont, les acteurs mentionn\u00e9s doivent \u00e9galement tenir compte de leurs obligations en aval envers les clients. Il peut s&rsquo;agir par exemple d&rsquo;utilisateurs finaux, d&rsquo;importateurs ou de distributeurs.<\/p><p>Nous listons ci-dessous quelques exemples de clauses \u00e0 prendre en compte dans les conditions g\u00e9n\u00e9rales (de vente), les contrats de licence, les conditions d&rsquo;utilisation ou autres documents juridiques conclus avec les clients.<\/p><h3><span style=\"color: #dc3b51;\">P\u00e9riode de support<\/span><\/h3><p>Le fabricant doit indiquer la dur\u00e9e de vie pr\u00e9vue ou une p\u00e9riode fixe pendant laquelle il fournira des mises \u00e0 jour de s\u00e9curit\u00e9.<\/p><h3><span style=\"color: #dc3b51;\">Limitation de responsabilit\u00e9<\/span><\/h3><p>Le fabricant ne peut plus simplement exclure toute responsabilit\u00e9 en mati\u00e8re de cybers\u00e9curit\u00e9. \u00c9tant donn\u00e9 que le CRA fixe des exigences essentielles l\u00e9gales en mati\u00e8re de cybers\u00e9curit\u00e9, un tribunal pourrait \u00eatre plus prompt \u00e0 requalifier ou \u00e0 examiner plus attentivement les clauses \u00ab en l&rsquo;\u00e9tat \u00bb. Les r\u00e9gimes ou limitations de responsabilit\u00e9 existants devront \u00e9ventuellement \u00eatre r\u00e9vis\u00e9s.<\/p><h3><span style=\"color: #dc3b51;\">Obligations de mise \u00e0 jour<\/span><\/h3><p>Le fournisseur peut obliger les clients \u00e0 installer les mises \u00e0 jour dans un d\u00e9lai d\u00e9termin\u00e9. Si les clients refusent d&rsquo;installer les mises \u00e0 jour ou ne le font pas dans les d\u00e9lais, le fournisseur peut limiter sa responsabilit\u00e9 pour les incidents qui auraient pu \u00eatre \u00e9vit\u00e9s gr\u00e2ce \u00e0 cette mise \u00e0 jour. Le contrat peut \u00e9galement pr\u00e9ciser comment les mises \u00e0 jour seront fournies.<\/p><h3><span style=\"color: #dc3b51;\">Informations et instructions pour l&rsquo;utilisateur<\/span><\/h3><p>Le CRA exige que les PEN soient accompagn\u00e9s d&rsquo;informations et d&rsquo;instructions claires pour l&rsquo;utilisateur, notamment sur l&rsquo;utilisation s\u00e9curis\u00e9e du PEN, ses fonctionnalit\u00e9s de s\u00e9curit\u00e9 et la mani\u00e8re d&rsquo;installer les mises \u00e0 jour de s\u00e9curit\u00e9. Cette obligation incombe en premier lieu au fabricant. Les importateurs et distributeurs doivent veiller \u00e0 ce que ces informations soient pr\u00e9sentes lorsqu&rsquo;ils mettent le PEN sur le march\u00e9 ou poursuivent sa distribution. Dans les contrats avec les clients, il peut donc \u00eatre conseill\u00e9 de faire r\u00e9f\u00e9rence \u00e0 ces informations et instructions d&rsquo;utilisation, afin que le client confirme les avoir lues et comprises, ou du moins qu&rsquo;il soit clair o\u00f9 il peut les trouver et les consulter.<\/p><h3><span style=\"color: #dc3b51;\">Obligations de notification des vuln\u00e9rabilit\u00e9s et des incidents<\/span><\/h3><p>Il est important que les vuln\u00e9rabilit\u00e9s et les incidents soient signal\u00e9s au fabricant, car celui-ci a ses propres obligations de notification et doit prendre des mesures correctives. Cette obligation de notification doit \u00e9galement \u00eatre pr\u00e9vue contractuellement.<\/p><h3><span style=\"color: #dc3b51;\">Obligations de coop\u00e9ration<\/span><\/h3><p>Dans certains cas, un incident peut n\u00e9cessiter une coop\u00e9ration entre le fournisseur et le client. Les contrats peuvent donc pr\u00e9voir des arrangements et des proc\u00e9dures pour la coop\u00e9ration dans l&rsquo;investigation d&rsquo;un incident et la communication de certaines informations \u00e0 son sujet.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-f33a2d0 e-flex e-con-boxed e-con e-parent\" data-id=\"f33a2d0\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-8f41500 elementor-widget elementor-widget-text-editor\" data-id=\"8f41500\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Faut-il examiner l&rsquo;ensemble des contrats (contrats back-to-back) ?<\/h2><p>Oui, chaque contrat doit \u00eatre examin\u00e9 dans le contexte de l&rsquo;ensemble des contrats de la cha\u00eene, car un contrat a des cons\u00e9quences sur un autre. Ceux-ci doivent \u00eatre align\u00e9s pour former un ensemble coh\u00e9rent d&rsquo;obligations, afin d&rsquo;\u00e9viter toute lacune contractuelle.<\/p><table><tbody><tr><td width=\"601\"><p>\u00a0<\/p><blockquote><p>Par exemple, un distributeur qui ach\u00e8te des produits comportant des \u00e9l\u00e9ments num\u00e9riques aupr\u00e8s d&rsquo;un fabricant pour les mettre ensuite sur le march\u00e9 et les vendre devra veiller tout particuli\u00e8rement \u00e0 aligner les clauses du contrat avec le fabricant sur celles du contrat avec le client, afin d&rsquo;\u00e9viter des lacunes contractuelles qui exposeraient le distributeur \u00e0 des risques inutiles en tant que vendeur.<\/p><\/blockquote><p>\u00a0<\/p><\/td><\/tr><\/tbody><\/table><p>\u00a0<\/p><h2>Faut-il faire une distinction entre les contrats types et les contrats existants ?<\/h2><p>Oui, il est pr\u00e9f\u00e9rable de faire une distinction entre vos contrats types et vos contrats existants (sign\u00e9s) :<\/p><p><strong>Contrats types<\/strong> : il est pr\u00e9f\u00e9rable de les r\u00e9viser le plus rapidement possible, afin que les futurs contrats que vous conclurez soient conformes au CRA.<\/p><p><strong>Contrats existants<\/strong> : ceux-ci peuvent \u00eatre r\u00e9vis\u00e9s d\u00e8s maintenant par voie d&rsquo;avenant, ou lorsque le contrat approche de son terme ou de sa date de renouvellement, selon le type d&rsquo;accord. Cela n\u00e9cessite d&rsquo;avoir une bonne vue d&rsquo;ensemble de vos contrats existants et de savoir quand ils arrivent \u00e0 terme ou sont renouvel\u00e9s. Si vous ne disposez pas de cette vue d&rsquo;ensemble, il est pr\u00e9f\u00e9rable de la cartographier d&rsquo;abord.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-080ecd0 e-flex e-con-boxed e-con e-parent\" data-id=\"080ecd0\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-7b43022 elementor-widget elementor-widget-text-editor\" data-id=\"7b43022\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Quand devez-vous r\u00e9viser vos contrats ?<\/h2><p>En tant que fabricant, il est pr\u00e9f\u00e9rable d&rsquo;adapter vos contrats avant le 11 septembre 2026, conform\u00e9ment \u00e0 l&rsquo;entr\u00e9e en vigueur progressive du CRA. L&rsquo;entr\u00e9e en vigueur progressive du CRA est abord\u00e9e plus loin.<\/p><p>En tout \u00e9tat de cause, n&rsquo;attendez pas le dernier moment pour adapter vos contrats. Vous devrez peut-\u00eatre n\u00e9gocier le contrat avec votre fournisseur ou votre client, ce qui peut prendre du temps. En engageant la conversation suffisamment t\u00f4t, vous \u00e9vitez de devoir n\u00e9gocier sous pression.<\/p><h2>Devez-vous \u00e9galement r\u00e9viser d&rsquo;autres processus ?<\/h2><p>Oui, le CRA n&rsquo;impacte pas seulement vos contrats (en amont et en aval), mais peut aussi avoir un impact sur d&rsquo;autres processus, comme le processus de s\u00e9lection des fournisseurs.<\/p><p>Les n\u00e9gociations avec un fournisseur mature et conforme au CRA se d\u00e9rouleront toujours plus facilement et plus rapidement qu&rsquo;avec un fournisseur qui n&rsquo;a jamais entendu parler du CRA. Les questionnaires fournisseurs existants devront \u00e9ventuellement aussi \u00eatre adapt\u00e9s.<\/p><h2>Qu&rsquo;en est-il des produits d\u00e9j\u00e0 sur le march\u00e9 ?<\/h2><p>Pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques qui sont actuellement sur le march\u00e9 ou qui seront mis sur le march\u00e9 avant le 11 d\u00e9cembre 2027, les dispositions du CRA ne s&rsquo;appliqueront qu&rsquo;\u00e0 partir du moment o\u00f9 ces PEN feront l&rsquo;objet d&rsquo;une modification substantielle.<\/p><p>Cela ne signifie pas pour autant qu&rsquo;il n&rsquo;y a pas d&rsquo;impact contractuel pour ces PEN existants, car il existe une exception \u00e0 cette r\u00e8gle : l&rsquo;obligation de notification du fabricant pour certaines vuln\u00e9rabilit\u00e9s et certains incidents s&rsquo;applique \u00e0 tous les PEN, y compris ceux mis sur le march\u00e9 avant le 11 d\u00e9cembre 2027.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-a5bcda0 e-flex e-con-boxed e-con e-parent\" data-id=\"a5bcda0\" data-element_type=\"container\" data-e-type=\"container\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-81853ef elementor-widget elementor-widget-text-editor\" data-id=\"81853ef\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>O\u00f9 le CRA s&rsquo;applique-t-il et quel est l&rsquo;impact contractuel ?<\/h2><p>Le CRA est un r\u00e8glement europ\u00e9en et s&rsquo;applique donc directement dans tous les \u00c9tats membres de l&rsquo;Union europ\u00e9enne, sans devoir \u00eatre transpos\u00e9 en droit national (contrairement \u00e0 la directive NIS2).<\/p><p>Cela n&#8217;emp\u00eache pas le CRA d&rsquo;avoir des cons\u00e9quences sur les contrats conclus avec des parties non europ\u00e9ennes, par exemple si votre fournisseur est \u00e9tabli hors d&rsquo;Europe. N\u00e9gocier avec, par exemple, un fournisseur am\u00e9ricain pour rendre le contrat conforme au CRA devient une question de rapport de force. Il est pr\u00e9f\u00e9rable d&rsquo;aborder cela de mani\u00e8re strat\u00e9gique.<\/p><h2>\u00c0 partir de quand le CRA s&rsquo;applique-t-il ?<\/h2><p>Les obligations du CRA s&rsquo;appliquent progressivement. Voici quelques dates cl\u00e9s de la p\u00e9riode transitoire :<\/p><ul><li>Le 11 d\u00e9cembre 2024, le CRA est entr\u00e9 en vigueur.<\/li><li>Le 11 juin 2026, les organismes d&rsquo;\u00e9valuation de la conformit\u00e9 (OEC) seront habilit\u00e9s \u00e0 \u00e9valuer la conformit\u00e9 des produits aux exigences du CRA.<\/li><li>Le 11 septembre 2026, les fabricants de produits connect\u00e9s seront soumis \u00e0 des obligations de notification obligatoires pour les vuln\u00e9rabilit\u00e9s et les incidents. Les fabricants devraient id\u00e9alement avoir conclu leurs arrangements contractuels avec leurs fournisseurs et clients avant cette date.<\/li><li>Le 11 d\u00e9cembre 2027, toutes les dispositions restantes du CRA s&rsquo;appliqueront enfin, notamment les exigences essentielles de cybers\u00e9curit\u00e9 avant la mise sur le march\u00e9 d&rsquo;un PEN, la gestion des vuln\u00e9rabilit\u00e9s tout au long du cycle de vie complet du PEN et la transparence envers les utilisateurs.<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-7266827 e-flex e-con-boxed e-con e-parent\" data-id=\"7266827\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;background_background&quot;:&quot;gradient&quot;}\">\n\t\t\t\t\t<div class=\"e-con-inner\">\n\t\t\t\t<div class=\"elementor-element elementor-element-b7ce8de elementor-widget elementor-widget-text-editor\" data-id=\"b7ce8de\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><span style=\"color: #ffffff;\">Comment CRANIUM peut-il m&rsquo;aider ?<\/span><\/h2><p>La mise en \u0153uvre du CRA requiert une approche multidisciplinaire, tant juridique que technique. Au sein du Groupe CRANIUM, nous disposons de toute l&rsquo;expertise n\u00e9cessaire en interne pour vous accompagner pleinement.<\/p><p><a href=\"https:\/\/www.cranium.eu\/fr\/conseil-en-droit-numerique\/\">L&rsquo;\u00e9quipe Digital Law de CRANIUM<\/a> prend en charge les aspects juridiques (p. ex. l&rsquo;\u00e9valuation de l&rsquo;applicabilit\u00e9 du CRA \u00e0 votre organisation, la r\u00e9daction et la r\u00e9vision de vos contrats, l&rsquo;assistance juridique pour satisfaire \u00e0 l&rsquo;obligation de notification et l&rsquo;accompagnement dans le cadre de l&rsquo;application).<\/p><p><a href=\"https:\/\/cingulum.eu\/fr\/\" target=\"_blank\" rel=\"noopener\">Cingulum<\/a> prend en charge les aspects cybers\u00e9curit\u00e9.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Points cl\u00e9s. Le CRA a des cons\u00e9quences importantes pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques (PEN). Les PEN ne peuvent plus simplement \u00eatre mis sur le march\u00e9 \u00ab en l&rsquo;\u00e9tat \u00bb. En vertu du CRA, ces derniers doivent d\u00e9sormais satisfaire \u00e0 des exigences essentielles minimales en mati\u00e8re de cybers\u00e9curit\u00e9. Les fabricants, importateurs et distributeurs seront [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":13254,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[132,71],"post_folder":[],"class_list":["post-13272","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-cra","tag-droit-numerique"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/13272","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=13272"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/13272\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/13254"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=13272"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=13272"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=13272"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=13272"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}