Trois mois avant la première échéance du CRA qui compte
La plus grande partie du règlement sur la cyberrésilience (CRA) paraît encore lointaine. Le règlement, règlement (UE) 2024/2847, s’applique pleinement à partir du 11 décembre 2027, et c’est la date que la plupart des équipes produit ont retenue dans leurs plans pour les exigences de sécurité dès la conception, l’évaluation de la conformité et le marquage CE.
Mais une obligation arrive bien plus tôt. À partir du 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler aux autorités les vulnérabilités activement exploitées et les incidents graves. Cette obligation ne se limite pas aux nouveaux produits : elle couvre aussi les produits connectés déjà sur le marché. Pour une entreprise qui vend des appareils domotiques, des jouets connectés, des objets portables ou tout autre produit doté d’un logiciel ou d’une connexion réseau, il reste désormais trois mois pour mettre en place un processus qui fonctionne en 24 heures.
Les trois dates du CRA
L’article 71, § 2, du CRA fixe trois dates d’application :
- 11 juin 2026 – le chapitre IV (articles 35 à 51), relatif à la notification des organismes d’évaluation de la conformité, s’applique. C’est le travail préparatoire pour les organismes qui évalueront ultérieurement les classes de produits les plus critiques.
- 11 septembre 2026 – l’article 14, relatif aux obligations de notification des fabricants, s’applique.
- 11 décembre 2027 – le reste du règlement s’applique, y compris les exigences essentielles de cybersécurité de l’annexe I.
Le CRA définit un produit comportant des éléments numériques comme « un produit logiciel ou matériel et ses solutions de traitement de données à distance », y compris les composants mis sur le marché séparément. En pratique, cela couvre la plupart des produits de consommation qui se connectent à un téléphone, à un réseau ou au cloud.
Ce qu’il faut notifier
L’article 14 crée deux obligations de notification.
Vulnérabilités activement exploitées (article 14, § 1). Un fabricant doit notifier toute vulnérabilité activement exploitée dans son produit dont il a connaissance. Le CRA définit une vulnérabilité activement exploitée comme une vulnérabilité « pour laquelle il existe des preuves fiables qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation du propriétaire du système ». Une vulnérabilité découverte lors de vos propres essais et que personne n’a exploitée n’entre pas dans cette obligation impérative, même si l’article 15 autorise une notification volontaire.
Incidents graves (article 14, § 3). Un fabricant doit également notifier tout incident grave ayant une incidence sur la sécurité du produit. L’article 14, § 5, considère qu’un incident est grave lorsqu’il affecte, ou peut affecter, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes, ou lorsqu’il a conduit, ou peut conduire, à l’introduction ou à l’exécution de code malveillant dans le produit ou dans les réseaux et systèmes d’information d’un utilisateur.
24 heures, 72 heures, 14 jours et un mois
Les deux obligations suivent un calendrier par étapes, défini à l’article 14, § 2 et 4 :
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | Dans les 24 heures suivant la prise de connaissance | Dans les 24 heures suivant la prise de connaissance |
| Notification | Dans les 72 heures, avec des informations générales sur le produit, l’exploitation et les éventuelles mesures correctives ou d’atténuation | Dans les 72 heures, avec une évaluation initiale et les mesures prises |
| Rapport final | Au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation | Dans un délai d’un mois après la notification de l’incident |
L’alerte précoce doit indiquer, le cas échéant, les États membres dans lesquels le fabricant sait que le produit a été mis à disposition. Pour les incidents, elle doit aussi préciser si l’incident est soupçonné de résulter d’actes illicites ou malveillants. Le CSIRT qui reçoit la notification peut demander un rapport d’étape intermédiaire (article 14, § 6).
La notification aux autorités n’est que la moitié du travail. En vertu de l’article 14, § 8, le fabricant doit aussi informer les utilisateurs concernés, et le cas échéant tous les utilisateurs, de la vulnérabilité ou de l’incident et des mesures qu’ils peuvent prendre pour en réduire l’impact.
Où envoyer les notifications
Les notifications sont soumises via la plateforme unique de signalement que l’article 16 charge l’ENISA, l’agence de l’UE pour la cybersécurité, de mettre en place et d’exploiter. Le fabricant utilise le point d’accès électronique de notification du CSIRT désigné comme coordinateur dans l’État membre de son établissement principal dans l’Union, et la notification est simultanément accessible à l’ENISA (article 14, § 7).
L’établissement principal d’un fabricant est le lieu où sont prises, de manière prépondérante, les décisions relatives à la cybersécurité de ses produits. Un fabricant sans établissement principal dans l’UE suit un ordre fixé à l’article 14, § 7 : l’État membre du mandataire agissant pour le plus grand nombre de ses produits, puis celui de l’importateur qui en met le plus sur le marché, puis celui du distributeur qui en met le plus à disposition, et enfin l’État membre comptant le plus d’utilisateurs. Pour une marque hors UE qui vend par l’intermédiaire d’un importateur de l’UE, cela signifie que le pays de l’importateur peut déterminer quel CSIRT reçoit la notification.
Les produits déjà sur le marché
Le détail qui surprend de nombreuses entreprises figure dans les dispositions transitoires. En règle générale, les produits mis sur le marché avant le 11 décembre 2027 ne relèvent du CRA que s’ils font l’objet d’une modification substantielle après cette date (article 69, § 2). L’article 69, § 3, prévoit une exception : les obligations de notification de l’article 14 s’appliquent à tous les produits relevant du champ d’application mis sur le marché avant le 11 décembre 2027.
Ainsi, un produit connecté que vous avez lancé en 2024 et que vous continuez de prendre en charge est couvert par l’obligation de notification à partir du 11 septembre 2026, même s’il n’a pas besoin d’une évaluation de la conformité au titre du CRA, sauf modification substantielle à compter du 11 décembre 2027.
Le CRA assortit aussi cette obligation de sanctions réelles. En vertu de l’article 64, § 2, le non-respect des obligations de l’article 14 peut entraîner des amendes administratives pouvant atteindre 15 millions d’EUR ou, pour une entreprise, 2,5 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
Un plan de préparation pour l’été
À trois mois de l’échéance, le travail est surtout organisationnel :
- Recensez tous les produits connectés que vous avez mis sur le marché, y compris les modèles abandonnés encore en service, et les versions logicielles déployées.
- Désignez qui est chargé de décider, en quelques heures, si un cas relève d’une vulnérabilité « activement exploitée » ou d’un « incident grave », et qui envoie l’alerte précoce.
- Mettez en place un point d’entrée pour les informations sur les vulnérabilités provenant des fournisseurs, des chercheurs, des clients et de votre propre surveillance, afin de savoir quand démarre le compte à rebours de 24 heures.
- Identifiez où se situe votre établissement principal, ou quel État membre s’applique selon l’ordre de l’article 14, § 7, si vous êtes hors de l’UE.
- Préparez des modèles de communication aux utilisateurs pour l’article 14, § 8, dans les langues des marchés où le produit est vendu.
- Convenez des rôles avec votre importateur ou votre mandataire, afin que l’information parvienne rapidement au fabricant.
Si votre produit est aussi un équipement radioélectrique, consultez notre guide de la directive sur les équipements radioélectriques et les pages consacrées aux nouvelles règles de cybersécurité pour les appareils connectés et à l’ajout du Bluetooth ou du Wi-Fi à un produit existant.
Comment Conphora vous aide
L’obligation de notification du CRA est un problème d’échéance : les informations dont vous avez besoin dans les 24 premières heures doivent être prêtes avant qu’il ne se passe quoi que ce soit. Avec Conphora, vous pouvez :
- Tenir un registre de vos produits connectés, avec les modèles, les versions logicielles, les marchés et les opérateurs économiques concernés.
- Relier chaque produit à ses responsables et à ses documents, afin que la personne qui doit décider d’une notification trouve tout au même endroit.
- Suivre les dates du CRA par produit, de l’obligation de notification en septembre 2026 à l’application complète en décembre 2027.
- Conserver les notifications et les avis aux utilisateurs à côté du produit concerné, prêts pour une demande d’une autorité de surveillance du marché.
Découvrez comment fonctionne Conphora et comment il tient les dossiers produit prêts pour les autorités.
Vous voulez que vos produits connectés soient prêts pour le 11 septembre ? Voir les offres et les tarifs →