Vérificateur de modification substantielle CRA

What this checker does

Une modification, telle qu’une mise à jour de sécurité, une fonction, une nouvelle interface ou une réparation, est rapprochée de la modification substantielle du cyber-resilience act. Il s’agit d’un changement après la mise sur le marché qui touche les exigences essentielles de cybersécurité de l’annexe I, partie I, ou la finalité évaluée. Les délais de 24 et 72 heures ne sont pas calculés.

Examples it can separate

A security update that only reduces risk, with purpose, hazard, risk increase, and Annex I unchanged.
A visual enhancement, pictogram, or interface language that does not change the original function or the risk.
A feature update that changes original functions, product type, or performance, or that increases risk.
A new input, API, or interface that creates a new attack surface on a version made available.
Repair, refurbishment, or maintenance that keeps purpose, function, and risk the same.

Who should use it

Les équipes sécurité, firmware et conformité peuvent voir quel facteur codé est présent. L’écran de cycle de vie ne pose qu’un premier repère. Les horloges d’incident restent dans les outils de signalement.

How it works

Choisissez le type de changement et oui, non ou inconnu pour le marché, la finalité, la fonction, la performance, le risque, le danger, la surface d’attaque, la prévision initiale, la mise à disposition et l’annexe I, partie I. Le résultat indique les facteurs déclenchés. Un inconnu qui changerait le résultat reste en revue.

How to read the result

Vraisemblablement non substantiel couvre une mise à jour de sécurité, un petit changement d’interface ou une réparation, remise à neuf ou maintenance sans changement de finalité, de fonction et de risque. Possible couvre une nouvelle surface d’attaque ou un indicateur de fonction sur une version mise à disposition. Vraisemblablement substantiel couvre un changement de finalité, un effet sur l’annexe I, partie I, deux indicateurs, une nouvelle interface avec risque accru, ou une hausse de risque ou de danger non prévue. Hors écran : produit pas encore mis sur le marché. Revue : fait décisif manquant ou combinaison non codée.

Official sources

Les liens renvoient au texte du règlement (UE) 2024/2847 pour l’article 3, paragraphe 30, les considérants 38 à 42 et les articles 21, 22, 26 et 32. Les orientations de la Commission du 27 juillet 2026 sont un motif de revue de ce jeu de règles. Leur URL n’est pas dans le registre des sources et n’est pas liée ici.

Limitations

Outil de criblage opérationnel, pas un conseil juridique. Le résultat dépend des faits saisis. Les orientations, normes harmonisées et actes d’exécution peuvent changer l’application. Vérifiez les sources officielles de l’UE avant une décision. Aucune conformité ni exemption n’est certifiée.

Questions

Is a security update a substantial modification?

A security update that only decreases cybersecurity risk, without a purpose change, a hazard change, a risk increase, or an Annex I Part I effect, is treated as likely not substantial on this screen.

How is this different from the lifecycle modification screen?

The lifecycle screen sends a post-market software or hardware change to review. This checker separates security updates, interface changes, feature updates, new interfaces, and repair using the encoded Article 3(30) conditions.

Does a feature update always require a new conformity assessment?

No. A feature update can be possible or likely substantial when the encoded indicators match. This screen does not decide that conformity assessment must be repeated.

What if a fact is unknown?

A fact that would change the result stays on review. The screen does not fill the gap.