Cyber Resilience Act : la notification est en place, le reste en 2027

Publié le 19 octobre 2026 · Par Dazr

Depuis le 11 septembre 2026, les fabricants notifient à l'ENISA vulnérabilités exploitées et incidents graves. Le CRA complet s'applique en décembre 2027.

Le Cyber Resilience Act (règlement (UE) 2024/2847) fixe des exigences de sécurité pour le matériel et les logiciels vendus dans l'UE. Sa première obligation véritablement contraignante s'applique désormais, et les exigences principales suivront dans un peu plus d'un an.

Ce qui s'applique depuis le 11 septembre 2026

Les fabricants de produits comportant des éléments numériques doivent notifier deux types d'événements via la plateforme unique de déclaration de l'ENISA, lancée le 11 septembre 2026 :

Les vulnérabilités activement exploitées dans leurs produits : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification dans les 72 heures et un rapport final dans les 14 jours suivant la mise à disposition d'une mesure corrective ou d'atténuation.
Les incidents graves ayant un impact sur la sécurité de leurs produits : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois qui suit la notification.

La déclaration est adressée au CSIRT de l'État membre du fabricant, qui joue le rôle de coordinateur, et en même temps à l'ENISA. Le fabricant doit aussi informer les utilisateurs du produit, au besoin en indiquant les mesures qu'ils peuvent prendre.

Ces obligations couvrent aussi les produits déjà sur le marché, pas seulement les nouveaux (article 69, paragraphe 3). Les micro et petits fabricants sont également concernés ; ils ne peuvent toutefois pas être sanctionnés pour le seul non-respect de l'alerte précoce de 24 heures.

Les prochaines étapes

11 décembre 2027 : le CRA s'applique pleinement : sécurité dès la conception, gestion des vulnérabilités pendant la période d'assistance, documentation technique, évaluation de la conformité et marquage CE. Les obligations de déclaration des gestionnaires de logiciels libres (open-source stewards) commencent à la même date.
Depuis le 11 juin 2026, les règles sur la notification des organismes d'évaluation de la conformité s'appliquent, afin que les organismes notifiés soient prêts avant 2027.

Que faire maintenant

Désignez qui, dans votre organisation, peut déclarer dans les 24 heures, y compris le week-end, et testez l'accès à la plateforme.
Tenez un enregistrement unique par événement avec l'heure à laquelle vous en avez eu connaissance, car chaque délai court à partir de ce moment.
Préparez un court modèle de texte pour informer les utilisateurs.
Profitez du temps jusqu'en décembre 2027 pour les exigences de conception et de documentation : un inventaire des produits concernés, une nomenclature logicielle (SBOM) et un processus de gestion des vulnérabilités.

L'article 14 en détail dans notre guide : notification dans le Cyber Resilience Act.

Sources

À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 19 octobre 2026.

Thèmes: Cyber Resilience Act, ENISA, UE

Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål