Cyber Resilience Act : les obligations de signalement sont entrées en vigueur le 11 septembre 2026

Faits, analyse et incertitudes

Ce qui a changé le 11 septembre 2026

Une bascule s’est produite ce jour-là : une obligation qui figurait dans un texte adopté en 2024 est devenue une obligation opérationnelle, avec une plateforme, des comptes, des délais et des destinataires. C’est la différence entre un règlement publié et un règlement applicable.

Qu’est-ce que le Cyber Resilience Act ?

Le règlement n° 2024/2847, dit Cyber Resilience Act, vise selon l’ANSSI « à renforcer la cybersécurité des produits comportant des éléments numériques en établissant un cadre juridique uniforme ». Il impose des obligations de cybersécurité aux fabricants, importateurs et distributeurs, « dès la conception et tout au long du cycle de vie des produits ».

Sa logique est celle du marquage CE, transposée à la cybersécurité : les produits porteront ce marquage pour indiquer qu’ils sont conformes aux exigences du CRA. Le règlement prévoit des exigences essentielles de cybersécurité portant sur les produits et sur la gestion des vulnérabilités, et établit des procédures d’évaluation de la conformité.

C’est un changement de nature. Jusqu’ici, la sécurité d’un logiciel ou d’un objet connecté relevait de l’engagement commercial de son éditeur. Le CRA en fait une condition de mise sur le marché, avec un dispositif de surveillance et des sanctions. En France, cette surveillance est assurée par l’Agence nationale des fréquences, avec des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial du fabricant, et la possibilité d’un retrait du marché.

Quels produits et quels fabricants sont concernés ?

Le CRA s’applique aux produits comportant des éléments numériques, définis par l’ANSSI comme « produits logiciels ou matériels et leurs solutions de traitement de données à distance, y compris les composants logiciels ou matériels mis sur le marché séparément ». La définition est large : elle couvre aussi bien un logiciel vendu seul qu’un objet connecté.

Plusieurs familles sont explicitement exclues du périmètre : les dispositifs médicaux à usage humain et les dispositifs médicaux de diagnostic in vitro, les systèmes et composants automobiles, les produits certifiés de l’aviation civile, les équipements marins, ainsi que les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou de traitement d’informations classifiées. Ces secteurs relèvent de régimes qui leur sont propres.

Vulnérabilité activement exploitée et incident grave : les deux définitions qui comptent

Tout repose sur ces deux qualifications. Une équipe qui les interprète mal signalera trop — et se noiera — ou trop peu, et se mettra en défaut. La FAQ de l’ENISA en donne les définitions.

Deux conséquences opérationnelles en découlent. D’abord, la notion de « preuve fiable » suppose une capacité d’investigation : sans télémétrie ni remontée terrain, un éditeur ne saura pas qu’une de ses vulnérabilités est exploitée. Ensuite, le point de départ du délai de 24 heures est le moment où l’on a connaissance du fait — ce qui rend décisive la question, très concrète, de savoir qui, dans l’organisation, est réputé « avoir connaissance ».

Les trois échéances de signalement

La logique de ces trois temps est celle de la réponse à incident, pas celle du rapport d’audit. On signale d’abord qu’il se passe quelque chose, on complète quand on en sait davantage, on conclut quand c’est traité. Une équipe qui attend d’avoir une analyse complète pour faire son alerte précoce a déjà manqué l’échéance.

Comment fonctionne la Single Reporting Platform

La plateforme est gérée par l’ENISA. Elle constitue le point d’entrée unique : le fabricant y dépose son signalement, et celui-ci est transmis simultanément au CSIRT désigné comme coordinateur et à l’ENISA, sauf circonstances exceptionnelles.

1. Créer le compte avant d’en avoir besoin

   L’ENISA indique que les représentants désignés doivent disposer d’un compte EU Login avec authentification multifacteur activée. L’enregistrement se fait sur le portail dédié de la plateforme.

2. Désigner les représentants

   Ce sont eux qui déposent les signalements. Prévoir plusieurs personnes : une astreinte de 24 heures ne se tient pas avec un seul compte nominatif.

3. Identifier son CSIRT coordinateur

   Le signalement va au CSIRT de l’État membre de l’établissement principal. À défaut, l’ENISA indique un ordre de rattachement : représentant autorisé, importateur, distributeur, ou l’État où se trouvent le plus d’utilisateurs.

4. Déposer manuellement

   L’ENISA précise qu’aucune interface de programmation n’est proposée dans la version initiale. Les signalements sont soumis manuellement.

Un détail utile : l’ANSSI indique que la plateforme peut également être utilisée par toute personne physique ou morale pour effectuer une déclaration volontaire. Le canal n’est donc pas réservé aux fabricants soumis à obligation.

Le rôle du CERT-FR en France

Pour un fabricant établi en France, le destinataire est le CERT-FR de l’ANSSI, en qualité de CSIRT coordinateur. L’ANSSI précise qu’à ce titre il « assurera la gestion des vulnérabilités en centralisant les signalements de vulnérabilités activement exploitées et les incidents graves susceptibles d’affecter la sécurité des produits et en coordonnant, le cas échéant, les actions de remédiations avec les fabricants concernés ».

L’ANSSI cumule par ailleurs plusieurs rôles dans ce dispositif : autorité notifiante chargée d’évaluer, de contrôler et de notifier les organismes d’évaluation de la conformité — sur la base d’une accréditation octroyée par le COFRAC — et soutien technique de l’ANFR pour la surveillance du marché.

Le calendrier d’application

CRA et NIS 2 : deux textes qu’il ne faut pas confondre

La confusion est fréquente parce que les deux textes parlent de cybersécurité, de notification et de délais. Ils ne s’adressent pourtant ni aux mêmes acteurs, ni au même objet.

Checklist : avant, 24 h, 72 h, rapport final

Quels métiers sont concernés ?

Le CRA a une particularité : il ne se traite ni uniquement en équipe produit, ni uniquement en conformité. Il impose une chaîne qui part du code et va jusqu’à un formulaire réglementaire, en 24 heures.

Ce que les organisations doivent retenir

1. Le délai de 24 heures se prépare, il ne s’improvise pas

   Comptes créés, rôles nommés, modèle prérempli, règle de déclenchement écrite. Tout ce qui n’est pas fait avant se paiera pendant.

2. La saisie est manuelle

   Aucune interface de programmation dans la version initiale : dimensionnez un processus humain, et ne pariez pas sur une automatisation qui n’existe pas encore.

3. Il faut savoir qu’on est exploité

   Le déclencheur est la preuve fiable d’une exploitation. Sans canal de remontée, sans télémétrie, sans veille, un éditeur reste aveugle — et son obligation ne se déclenche jamais, jusqu’au jour où elle se déclenche très mal.

4. 2027 se prépare en 2026

   Les exigences essentielles applicables au 11 décembre 2027 portent sur la conception. Ce qui est décidé sur les produits en 2026 sera évalué à cette aune.

5. CRA et NIS 2 ne se remplacent pas

   Deux périmètres, deux canaux, deux logiques. Une organisation peut relever des deux simultanément.