Différencier CRA, NIS2 et RGPD

Réponse courte

CRA, NIS2 et RGPD portent sur des objets différents ; leur application peut se cumuler.

Définition et périmètre

Le CRA traite la cybersécurité des produits comportant des éléments numériques. NIS2 concerne la gestion de la cybersécurité de certaines entités et de leurs services. Le RGPD traite les données à caractère personnel. Une certification, un audit ou une conformité à l’un de ces cadres ne vaut pas conformité automatique aux autres.

Faits à documenter

Une entreprise SaaS peut examiner NIS2 pour ses activités, le RGPD pour les données traitées et le CRA pour les produits ou solutions à distance relevant de sa définition. Il faut analyser chaque périmètre, rôle et obligation, pas choisir une seule étiquette pour toute l’entreprise.

Conséquences pratiques

Conservez trois analyses distinctes avec les responsables compétents, puis identifiez les mesures ou preuves communes. Une mesure de sécurité peut servir plusieurs dossiers, mais sa portée doit être établie pour chacun.

Source et limites

Articles 1 à 3 du CRA ; consulter également les textes NIS2 et RGPD pour leurs propres champs d’application. Règlement (UE) 2024/2847 — texte officiel.

Synthèse pédagogique relue le 8 octobre 2026, en attente de validation juridique. Les faits d’un produit particulier peuvent nécessiter une analyse complémentaire ; CRA Manager ne certifie pas la décision.

Périmètre de cet article

Synthèse de périmètres et sources à faire valider. Pour l’autre intention, consultez differences cra nis2 rgpd.

Articles liés

• differences cra nis2 rgpd
• qualifier un produit au regard du cra

Article issu de la base de connaissance CRA Manager.