Vous éditez un logiciel, vous vendez un équipement connecté, et une date circule : le 11 septembre 2026. Elle est réelle, elle est proche, et elle est souvent mal comprise — ce n’est pas le jour où le règlement (UE) 2024/2847 s’applique en entier, c’est le jour où une seule de ses obligations entre en application. Cet article sépare ce qui devient obligatoire ce jour-là de ce qui ne l’est pas encore, texte à l’appui.
Ce qui s’applique le 11 septembre
L’obligation qui entre en application est celle de l’Art. 14 : signaler toute vulnérabilité activement exploitée (une faille dont quelqu’un se sert réellement, preuve à l’appui) et tout incident grave ayant un impact sur la sécurité d’un produit comportant des éléments numériques, c’est-à-dire un logiciel ou un matériel connecté mis sur le marché de l’Union. Le signalement se fait en trois temps — 24 heures, 72 heures, rapport final — auprès du CSIRT national, le centre de réponse aux incidents de sécurité informatique désigné par chaque État membre, et simultanément auprès de l’ENISA, l’agence de cybersécurité de l’Union européenne. En pratique, un seul dépôt suffit : la plateforme unique de signalement, décrite plus bas, sert les deux destinataires d’un coup. Le calendrier, lui, vient du texte même du règlement :
Le présent règlement est applicable à partir du 11 décembre 2027. Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.
Le chapitre IV cité concerne la désignation et la notification des organismes d’évaluation de la conformité, c’est-à-dire de l’infrastructure administrative, côté États membres. Pour un fabricant, la seule obligation qui commence avant décembre 2027 reste donc le signalement.
Un point surprend systématiquement : cette obligation vaut aussi pour les produits déjà sur le marché. Un produit vendu en 2023 et encore utilisé chez vos clients entre dans le champ du signalement le 11 septembre 2026 : les dispositions transitoires de l’Art. 69 le prévoient expressément, sans attendre que les autres obligations s’appliquent à lui.
Ce qui ne s’applique pas encore
Tout le reste attend le 11 décembre 2027 : les exigences essentielles de cybersécurité de l’annexe I, l’évaluation de conformité et le marquage CE, la documentation technique, la période de support, la surveillance du marché. Au 11 septembre 2026, un fabricant doit être capable de signaler, sans avoir à être conforme au règlement au sens plein.
Et les amendes ? Le règlement en prévoit, et le manquement à l’obligation de signalement relève du palier le plus élevé :
Le non-respect des exigences de cybersécurité énoncées à l’annexe I et avec les obligations énoncées aux articles 13 et 14 fait l’objet d’une amende administrative pouvant aller jusqu’à 15 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 2,5 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
Mais l’article 64 lui-même ne figure pas parmi les exceptions du calendrier cité plus haut : comme le reste du règlement, il est applicable à partir du 11 décembre 2027. Entre le 11 septembre 2026 et cette date, l’obligation de signaler est en vigueur ; le régime d’amendes administratives du règlement ne l’est pas encore. Ce décalage n’est pas un délai de grâce : le texte dit où commence l’obligation et où commence l’amende, il ne dit nulle part qu’un manquement commis avant décembre 2027 serait effacé.
Autre absence, moins connue : le format des notifications. Aucun acte juridique ne le fixe. Le règlement se contente d’ouvrir une porte à la Commission, celle d’un acte d’exécution, c’est-à-dire un texte d’application qu’elle peut adopter seule, sans repasser par le législateur :
La Commission peut, par voie d’actes d’exécution, préciser plus en détail le format et les procédures des notifications visées au présent article ainsi qu’aux articles 15 et 16.
Au 19 août 2026, cette faculté n’a pas été exercée : aucun acte d’exécution ne précise le format. La seule grille de champs disponible vient de la foire aux questions d’ENISA, dont la question 16 détaille, étape par étape, ce que la plateforme attendra.
La plateforme ouvre le jour où l’obligation commence
La conséquence pratique tient en une phrase : l’outil ouvre le jour même où l’obligation commence, et personne ne l’aura pratiqué en conditions réelles avant l’échéance. Aucun report de la date n’est annoncé au 19 août 2026, et aucune demande publique de report n’a été relevée. Préparer le contenu des notifications sans attendre l’outil est la seule position tenable.
Trois gestes avant le 11 septembre
- Trancher le périmètre, produit par produit. L’obligation ne vise que les produits comportant des éléments numériques mis sur le marché de l’Union dans le cadre d’une activité commerciale. Savoir lesquels de vos produits sont couverts est le préalable à tout le reste : notre analyse « Le CRA s’applique-t-il à votre produit ? » traite les critères un par un.
- Préparer ce qui se prépare à froid. Dans la grille d’ENISA, une partie des champs se remplit d’avance (identité, produit, coordonnées) et les décisions de l’étape des 72 heures se cadrent avant l’incident : qui évalue la gravité, qui décrit les mesures correctives, qui informe les utilisateurs. Nos deux analyses de l’Art. 14 détaillent la grille champ par champ.
- Désigner qui tranche, et sur quel critère. La frontière entre l’obligation de l’Art. 14 et la notification volontaire de l’Art. 15, le canal ouvert aux signalements sans preuve d’exploitation établie, est précisément cette preuve. La guidance retient une connaissance formée après une première évaluation, avec un degré raisonnable de certitude (§ 211 à 214). Décider maintenant qui qualifie « exploité ou pas » évite de le découvrir en pleine crise, l’horloge des 24 heures déjà lancée.
Le 11 septembre 2026 demande d’être organisé et capable de signaler en 24 heures. Le marquage CE, la documentation complète et la conformité totale ne sont exigés qu’au 11 décembre 2027. Ces trois gestes tiennent dans le temps qui reste.