L'horloge du Cyber Resilience Act tourne : 24 heures, 72 heures, 14 jours depuis le 11 septembre 2026
Depuis le 11 septembre 2026, tout fabricant d'un produit comportant des éléments numériques vendu dans l'UE doit déclarer les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de déclaration de l'ENISA, sous 24 heures pour l'alerte précoce. L'obligation vaut pour les produits déjà sur le marché, pas seulement pour les nouveaux, et elle arrive quinze mois avant le reste du Cyber Resilience Act (CRA), applicable en décembre 2027. Un mois plus tard, la plateforme fonctionne, les premiers retours publics existent, les normes de base sont attendues pour le 31 octobre, et la plupart des éditeurs que nous rencontrons n'ont pas encore décidé qui, chez eux, déclenche le chronomètre. Cet article expose les délais, le périmètre, le processus et les sanctions.
L'horloge
« Avoir connaissance » est le déclencheur, et c'est ce qui piège les équipes : un signalement crédible d'un chercheur indiquant qu'un exploit circule lance le chronomètre, que l'ingénierie l'ait reproduit ou non. L'alerte précoce de 24 heures est volontairement mince pour pouvoir partir avant l'analyse ; la notification détaillée à 72 heures est là où vont les faits.
Où en est le CRA
Une norme livrée n'est pas une norme disponible : la présomption de conformité de l'article 27 ne suit que la citation au Journal officiel, et aucune n'a encore été citée. D'ici là, les fabricants documentent la conformité directement contre les exigences essentielles de l'annexe I.
Qui est concerné, et à quel niveau
L'obligation de déclaration s'applique aux quatre anneaux de la même façon. La classe décide de la manière d'évaluer la conformité en 2027, pas de l'obligation de déclarer en 2026. Les mainteneurs open source ont un régime allégé (obligations de déclaration, pas d'évaluation de conformité), et le pur SaaS est hors périmètre sauf s'il est livré comme produit comportant des éléments numériques ; les lignes directrices de juillet 2026 sont la référence pour les cas limites.
Le processus dans l'entreprise
Le couloir a une leçon : la personne qui consigne « l'heure de connaissance » et la personne qui peut envoyer l'alerte précoce doivent toutes deux être joignables en quelques heures, y compris un vendredi soir. Les entreprises qui ont déjà une équipe de réponse aux incidents de sécurité produit (PSIRT) s'adaptent en quelques jours ; celles dont la réception des vulnérabilités est une boîte mail partagée, non.
Les sanctions
| Manquement | Amende maximale |
|---|---|
| Exigences essentielles de cybersécurité (annexe I) ou obligations du fabricant des articles 13 et 14, y compris la déclaration | 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le plus élevé des deux |
| Autres obligations du règlement | 10 millions d'euros ou 2 % |
| Informations incorrectes, incomplètes ou trompeuses aux autorités | 5 millions d'euros ou 1 % |
Les États membres désignent les autorités de surveillance du marché et fixent la procédure ; Malte a nommé les siennes le 11 septembre, la désignation française est attendue dans le chantier national de transposition, aux côtés de NIS2. Le risque pratique en 2026 est moins une amende qu'une question d'audit d'un client : « montrez-moi votre procédure de déclaration CRA et son dernier test ».
La procédure à écrire ce trimestre
Préparation à la déclaration CRA
tadataPréparation à la déclaration CRA
- MUST Décider ce que « avoir connaissance » signifie chez vous et qui consigne l'horodatage
- MUST S'inscrire sur la plateforme unique de l'ENISA et connaître l'État membre de votre établissement principal FAQ, tutoriel et fiche en neuf langues mis à jour le 12 septembre
- MUST Rédiger le modèle d'alerte précoce (24 h) et le modèle de notification (72 h), avec les champs de l'article 14
- SHOULD Définir le seuil : « activement exploitée » et « incident grave » selon les définitions du règlement, avec des exemples
- SHOULD Faire un exercice sur table sur un scénario « vendredi 17 h » ; mesurer le délai d'envoi de l'alerte précoce
- COULD Rattacher vos produits aux quatre classes et noter ceux qui exigeront une évaluation par un tiers en 2027
- COULD Commencer le SBOM : exigence de 2027, mais c'est ce qui rend la notification de 72 h possible
En résumé
La première obligation du CRA est déjà en vigueur et c'est une horloge, pas une liste de contrôle. Vingt-quatre heures suffisent pour envoyer une alerte précoce mince si quelqu'un est responsable du déclencheur ; elles ne suffisent pas pour découvrir qui est ce quelqu'un. Écrivez la procédure, inscrivez-vous sur la plateforme, faites un exercice, et gardez le chantier SBOM sur la feuille de route 2027. Pour la vue d'ensemble, voir nos articles sur NIS2 en France et DORA pour les entités financières.
Sources : règlement (UE) 2024/2847 (articles 14, 27, 64, annexes I et III) ; état des lieux de cyberresilienceact.eu ; FAQ de la plateforme unique de l'ENISA ; teiss et Nortal sur l'échéance de septembre ; lignes directrices de la Commission du 27 juillet 2026. Lus le 14 octobre 2026.