CRA : produits comportant des éléments numériques, et non services

Le règlement sur la cyberrésilience (CRA) porte sur les produits matériels et logiciels dotés de composants numériques, tels que les appareils intelligents, les systèmes d’exploitation ou les objets connectés. Il ne réglemente pas les services tels que l’informatique en nuage ou les plateformes en ligne. La distinction essentielle concerne NIS2, qui cible la cybersécurité des organisations et de leurs services, et non les produits eux-mêmes. Si une question mentionne un thermostat intelligent ou un jouet connecté, pensez au CRA ; si elle mentionne un hôpital ou une banque, pensez à NIS2.

Pour éviter de les confondre, retenez que le CRA couvre les produits que vous pouvez acheter et installer, tandis que NIS2 couvre les entités qui fournissent des services critiques. Autre astuce : le CRA s’applique aux produits mis sur le marché de l’UE, quel que soit le lieu d’établissement du fabricant. Si un scénario décrit une exigence de mise à jour logicielle applicable à un routeur, il relève du CRA. Pour éliminer rapidement les mauvaises réponses, demandez-vous si la question porte sur un produit tangible ou sur les activités d’une organisation. La réponse vous orientera vers le règlement approprié.

Une manière concise de vous tester : si une question énumère une enceinte intelligente, une voiture connectée et un service en nuage, lesquels relèvent du CRA ? Les deux premiers, car il s’agit de produits comportant des éléments numériques ; le service en nuage est un service et relève donc de NIS2. Gardez à l’esprit cette distinction entre produits et services, et vous ne confondrez pas les deux.