Pour de nombreuses organisations, le CRA reste associé à décembre 2027. C’est à cette date que le règlement sur la cyberrésilience (Cyber Resilience Act, CRA) deviendra largement applicable aux produits comportant des éléments numériques mis sur le marché de l’UE. Mais les premières obligations opérationnelles sont arrivées plus tôt, et elles sont déjà en vigueur.
Pourquoi le 11 septembre 2026 importe-t-il plus que décembre 2027 ?
Les orientations de la Commission de juillet 2026 confirment que les obligations de notification s’appliquent également aux produits déjà mis sur le marché avant le 11 décembre 2027. La question immédiate n’est donc plus seulement de savoir si votre organisation peut démontrer une conformité totale au CRA d’ici 2027. Il s’agit de savoir si elle est capable, dès aujourd’hui, de détecter, d’évaluer, de faire remonter et de signaler un événement de sécurité des produits dans des délais très stricts.
Votre organisation serait-elle capable de déterminer, documenter et signaler un événement de sécurité des produits relevant du CRA dès demain ?
Que faut-il signaler, et dans quel délai ?
| Déclencheur | Sous 24h | Sous 72h | Rapport final |
| Vulnérabilité exploitée activement | Alerte précoce (Early warning) | Notification de vulnérabilité | Au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation |
| Incident grave ayant des répercussions sur la sécurité du produit | Alerte précoce (Early warning) | Notification d’incident | Dans un délai d’un mois après la notification de l’incident |
Les notifications sont soumises via la plateforme unique de signalement de l’ENISA (Single Reporting Platform). Les utilisateurs touchés doivent également être informés et, si nécessaire, recevoir des mesures pour réduire leur risque.
Pourquoi s’agit-il d’un sujet de leadership et pas seulement d’une tâche de conformité ?
À première vue, la notification ressemble à une activité juridique ou de conformité. En pratique, le rapport n’est que le résultat visible d’un processus de sécurité bien plus large. Avant de pouvoir faire un signalement, un fabricant doit savoir quels produits et versions sont concernés, si une exploitation a réellement lieu, quels utilisateurs peuvent être impactés, quelles mesures d’atténuation existent et qui est habilité à décider.
Les équipes juridiques et de conformité restent importantes, mais elles ne peuvent pas créer de preuves techniques après le déclenchement d’un incident. Une fonction conformité solide ne peut pas compenser une faible visibilité sur les produits, une responsabilité floue ou un triage technique lent.
Cinq questions à poser à vos équipes cette semaine
-
Lesquels de nos produits entrent dans le champ d’application du CRA, y compris ceux déjà sur le marché ?
-
Qui est responsable de la décision de signaler ?
-
Pourrions-nous déterminer une exploitation active dans un délai de 24 heures ?
-
Savons-nous comment l’ENISA et le CSIRT désigné comme coordinateur s’intègrent dans nos processus ?
-
Pourrions-nous prouver la chronologie de la prise de connaissance, du triage, de l’approbation, de la soumission et de la communication avec les utilisateurs ?
La direction a besoin de la garantie que le processus fonctionne en pratique, et pas seulement qu’une politique existe sur le papier.
La bonne nouvelle : les briques fondamentales existent déjà
La plupart des organisations n’ont pas besoin d’inventer de nouvelles disciplines de sécurité. La gestion des vulnérabilités (vulnerability management), la réponse aux incidents de sécurité des produits (les équipes de réponse aux incidents de sécurité des produits (PSIRT), la modélisation des menaces (threat modelling), l’inventaire logiciel, la réponse aux incidents et les pratiques de développement sécurisé sont des notions familières. Le défi consiste à les connecter au sein d’un processus opérationnel unique qui produit des décisions rapides, des preuves fiables et une communication proportionnée.
Vous souhaitez savoir où vous en êtes ? Nos experts peuvent vous aider à vérifier si votre organisation serait en mesure de respecter les obligations de notification du CRA dès aujourd’hui.
» CRA Reporting Readiness Check
Foire aux questions (FAQ)
- Les obligations de notification du CRA s’appliquent-elles aux produits déjà sur le marché ? Oui. Selon les orientations de la Commission de juillet 2026, elles s’appliquent à compter du 11 septembre 2026, y compris pour les produits mis sur le marché avant le 11 décembre 2027.
-
Quand le délai de 24 heures commence-t-il à courir ? Lorsqu’après une évaluation initiale, le fabricant a un degré de certitude raisonnable qu’une vulnérabilité est activement exploitée ou qu’un iincident grave ayant des répercussions sur la sécurité du produit. Pas à chaque signal vague.
-
Où les rapports sont-ils soumis ? Via la plateforme unique de signalement de l’ENISA (Single Reporting Platform), qui transmet les informations au CSIRT désigné comme coordinateur national compétent, comme le CCB en Belgique.
Cet article propose une lecture pratique du CRA et des orientations de la Commission sous l’angle de la sécurité. Il ne constitue pas un conseil juridique.