CRA Kit, pack d’avocat, plateforme ou faire soi-même ?
Quatre façons pour un petit éditeur de produire les documents du Cyber Resilience Act. Pour chacune, voici ce qu’elle couvre, son prix et ses limites. Nous vendons l’une d’elles, alors lisez la dernière colonne avec méfiance.
| Soi-même, à partir des sources gratuites | Pack Word d’un cabinet d’avocats | Plateforme de conformité (SaaS) | CRA Kit | |
|---|---|---|---|---|
| Coût | 0 € + 1 à 3 jours de lecture | Plusieurs centaines d’euros, une fois (prix publics relevés en septembre 2026 : de quelques centaines à un millier d’euros) | Sur devis, en général par produit et par an, pensé pour des équipes | Outils gratuits, puis 79 € TTC une fois, par produit |
| Dit si vous êtes concerné | Vous tranchez après les articles 2-3 et les considérants | Parfois une liste de contrôle | Non. La plateforme suppose que vous l’êtes, puisque vous êtes client | Oui, en 8 questions. Évaluation écrite et indicative avec les articles, gratuite |
| SBOM et état des vulnérabilités | Vos propres outils (CycloneDX CLI, osv-scanner…) | Non | Oui, en continu, souvent le cœur du produit | Oui, à la demande, dans le navigateur ou en CI (npx crakit, MIT). Pas de surveillance continue |
| Marqueur « activement exploitée » (déclencheur art. 14) | Vérifier CISA KEV et les avis éditeurs vous-même | Non | Selon l’éditeur | Oui, correspondance CISA KEV à chaque analyse |
| Documents personnalisés avec vos données | Vous les écrivez | Modèles à trous à remplir à la main | Générés, dans un flux à maintenir | 13 documents générés à partir d’un formulaire, FR ou EN, régénérables à volonté |
| Procédure de notification et modèles type ENISA | Les guides ENISA sont gratuits, mais vous assemblez tout | En général inclus | En général inclus | Inclus (24 h / 72 h / rapport final, modèles A-G, CERT-FR comme destinataire) |
| Documentation technique (annexe VII) | Vous construisez la structure | Squelette | Gérée dans la plateforme | Squelette pré-rempli avec votre produit, vos dates de support et votre SBOM |
| Relecture ou conseil juridique | Aucun | Parfois une heure avec le cabinet | Rarement | Non. Pas un conseil juridique. Chaque clause renvoie à son article, ce qui raccourcit la relecture |
| Surveillance continue et alertes | Votre CI | Non | Oui. C’est là qu’une plateforme justifie son prix | Non (volontairement : aucune alerte que vous pourriez rater). Relancez l’analyse ou le CLI en CI |
| Compte, données stockées | Sans objet | Des fichiers sur votre disque | Votre SBOM et vos données produit sur leurs serveurs | Pas de compte. Tout reste dans votre navigateur. Seule la clé de licence est vérifiée |
| Fait pour | Les équipes qui ont le temps et quelqu’un qui aime lire les règlements | Ceux qui veulent le nom d’un cabinet sur les modèles | Les éditeurs avec beaucoup de produits, des audits ou une équipe sécurité | Les éditeurs de 1 à 20 personnes qui veulent régler les obligations de septembre et démarrer le dossier 2027 cette semaine |
Fonctions et fourchettes de prix des tiers telles qu’affichées publiquement en septembre 2026, décrites de façon générique à dessein. Elles changent. Si nous nous sommes trompés sur les vôtres, écrivez à et nous corrigerons.