00 — Cadre réglementaire et classification

Champ d'application

Le Cyber Resilience Act (règlement UE 2024/2847) impose des exigences horizontales de cybersécurité à tout « produit comportant des éléments numériques » mis à disposition sur le marché de l'Union dans le cadre d'une activité commerciale, dont l'utilisation prévue comprend une connexion à un dispositif ou à un réseau.

Le Superviseur entre dans ce champ : logiciel commercial de supervision d'alarmes incendie qui communique en réseau et dialogue avec des centrales via Modbus TCP/RTU.

Classification du produit

Le CRA gradue les obligations selon la criticité :

• Produits « importants » (annexe III) — navigateurs, VPN, pare-feu, gestion des identités, SIEM, systèmes d'exploitation, etc.
• Produits « critiques » (annexe IV) — modules de sécurité matériels, cartes à puce, etc.
• Produits « par défaut » — tout le reste. Auto-évaluation par le fabricant (module A, contrôle interne, annexe VIII partie I), marquage CE et déclaration UE sous sa seule responsabilité.

Analyse : le Superviseur est un produit « par défaut ». Sa fonction de base est la supervision d'alarmes incendie ; il n'appartient à aucune catégorie de l'annexe III. L'authentification et la gestion des rôles sont des fonctions support, pas la fonctionnalité vendue en tant que telle.

Conséquence : voie de l'auto-évaluation (module A, sans organisme notifié).

Échéances

Date	Ce qui s'applique
11 juin 2026	Dispositions relatives aux organismes notifiés (peu impactant : produit à auto-évaluation).
11 septembre 2026	Obligation de signaler les vulnérabilités activement exploitées et les incidents graves (art. 14) à l'ENISA et au CSIRT coordinateur. Voir 05.
11 décembre 2027	Application générale : exigences essentielles (annexe I), marquage CE, déclaration UE, documentation technique, informations utilisateur, période d'assistance.

L'échéance structurante est fin 2027 ; la brique « signalement des vulnérabilités » doit exister dès septembre 2026.