Cyber Resilience Act : les obligations et le calendrier, de 2026 à 2027
Le Cyber Resilience Act est entré en vigueur fin 2024, mais c’est maintenant que son calendrier devient concret : depuis le 11 septembre 2026, les obligations de signalement sont actives — et l’essentiel du règlement tombe le 11 décembre 2027. Pour un éditeur de logiciel ou un fabricant de produit connecté, quinze mois, c’est le temps d’une roadmap produit. Voici ce qui s’applique, échéance par échéance.
Le calendrier
| Échéance | Ce qui s'applique |
|---|---|
| 11 septembre 2026 (actif) | Signalement obligatoire des vulnérabilités activement exploitées et des incidents graves — pour les produits déjà sur le marché aussi. |
| 11 décembre 2027 | Le cœur du règlement : sécurité dès la conception, gestion des vulnérabilités, SBOM, documentation technique, évaluation de conformité et marquage CE. |
Depuis le 11 septembre 2026 : signaler, vite
Toute vulnérabilité activement exploitée dans votre produit, et tout incident grave affectant sa sécurité, doivent être notifiés via la plateforme de signalement (ENISA et CSIRT national) selon une cascade stricte :
- Alerte précoce sous 24 heures après en avoir eu connaissance ;
- Notification détaillée sous 72 heures — nature de la vulnérabilité, mesures prises ou prévues ;
- Rapport final sous 14 jours pour une vulnérabilité (une fois le correctif ou la mitigation disponible), sous un mois pour un incident grave.
Tenir 24 heures suppose d’être organisé avant : un canal de réception des signalements (chercheurs, clients), une qualification rapide — exploitée ou non ? grave ou non ? —, un responsable identifié pour déclarer, et des correctifs qui ne partent pas en dernière position du backlog. C’est un processus, pas un outil.
Au 11 décembre 2027 : le produit conforme, ou pas de marché
- Sécurité dès la conception et par défaut. Analyse de risque documentée, configuration sûre livrée d’origine, surface d’attaque réduite, protection des données, journalisation.
- Gestion des vulnérabilités dans la durée. Nomenclature des composants logiciels (SBOM) tenue à jour, politique de divulgation coordonnée publiée, tests réguliers, et correctifs de sécurité gratuits pendant la période de support — cinq ans en règle générale.
- Documentation technique et marquage CE. Évaluation de conformité — autoévaluation pour la plupart des produits, organisme tiers pour les catégories importantes ou critiques —, déclaration UE, marquage. Sans CE, pas de mise sur le marché européen.
Les sanctions, et le risque d’avant les sanctions
Le plafond : 15 M€ ou 2,5 % du chiffre d’affaires mondial pour les manquements aux exigences essentielles, avec des paliers inférieurs pour le reste. Mais comme souvent, le marché frappera avant le régulateur : les acheteurs publics et les grands comptes intègrent déjà la conformité CRA dans leurs consultations, et un concurrent marqué CE utilisera votre retard comme argument commercial.
Quinze mois : le rétroplanning réaliste
- Maintenant — trancher le périmètre (voir votre produit est-il concerné ?) et mettre en place le processus de signalement : c’est l’obligation déjà active.
- D’ici mi-2027 — générer et fiabiliser le SBOM, documenter l’analyse de risque, publier la politique de divulgation, résorber les écarts de conception les plus lourds.
- Second semestre 2027 — documentation technique complète, évaluation de conformité, marquage. En gardant de la marge : les organismes tiers seront engorgés.
Notre diagnostic CRA établit votre position en une à deux semaines : périmètre, écarts, feuille de route. Et si votre entreprise relève aussi de NIS2, les deux démarches partagent une bonne partie du socle — voir notre accompagnement NIS2.