Cyber Resilience Act
À jour au
Le règlement européen sur la cyberrésilience s’applique par défaut à presque tout produit logiciel ou connecté mis sur le marché de l’Union. Sa première échéance contraignante tombe le 11 septembre 2026 : le signalement des vulnérabilités activement exploitées. Cette page tient à jour ce que le texte impose, quand, et ce qui n’est pas encore prêt du côté des institutions.
Ce que le règlement impose, en bref
Le CRA est une loi horizontale : il ne vise pas un secteur, mais une catégorie. Les « produits comportant des éléments numériques » — tout logiciel ou matériel dont l’usage prévu comporte une connexion, directe ou indirecte, à un appareil ou à un réseau — relèvent de lui dès lors qu’ils sont mis sur le marché de l’Union (Art. 3). Les exclusions sont sectorielles et limitées : dispositifs médicaux sous MDR et IVDR, aviation civile, véhicules à moteur, entre autres (Art. 2).
Raisonner par secteur d’activité est donc le premier réflexe à corriger. La question n’est pas « mon métier est-il visé ? » mais « ce que je livre est-il un produit au sens du règlement ? ».
Les obligations, une fois le produit dans le périmètre
- Traiter les vulnérabilités pendant toute la période de support annoncée, et livrer les correctifs sans frais.
- Tenir une nomenclature des composants logiciels (SBOM) couvrant au minimum les dépendances de premier niveau.
- Publier une politique de divulgation coordonnée des vulnérabilités, avec un point de contact.
- Constituer et tenir à jour un dossier technique (Annexe VII), conservé dix ans.
- Apposer le marquage CE après évaluation de la conformité, selon la classe du produit.
- Signaler les vulnérabilités activement exploitées et les incidents graves (Art. 14).
Le calendrier
Cinq dates structurent l’application du règlement. Deux sont derrière nous, la troisième est la seule qui engage aujourd’hui.
- 10 déc. 2024
Entrée en vigueur
Le règlement existe en droit. Aucune de ses obligations n’est encore exigible : la période qui s’ouvre est une période de préparation.
- 11 juin 2026
Organismes d’évaluation de la conformité
Les États membres peuvent notifier les organismes chargés d’évaluer la conformité des produits (Chapitre IV). Cette date ne concerne pas directement les fabricants.
Cette échéance est adossée au seul Art. 71 du règlement : la guidance de la Commission ne la mentionne pas.
- 11 sept. 2026
Signalement obligatoire
L’Art. 14 entre en application. Toute vulnérabilité activement exploitée et tout incident grave doivent être signalés : alerte précoce à 24 heures, notification à 72 heures, rapport final ensuite. C’est la première obligation réellement contraignante du texte.
- 11 déc. 2027
- 11 juin 2028
Fin des certificats antérieurs
Les certificats d’examen UE de type et décisions d’approbation délivrés au titre d’une autre législation d’harmonisation de l’Union cessent de valoir, pour les seuls risques que cette législation couvrait (Art. 69 § 1).
L’état d’avancement réel
Le calendrier légal est une chose, la disponibilité effective des instruments en est une autre. Trois chantiers institutionnels conditionnent la mise en conformité, et aucun n’est achevé. Ce constat est daté et revérifié à chaque mise à jour de cette page.
Normes harmonisées
Aucune publiéeAucune norme harmonisée CRA n’est citée au Journal officiel de l’Union européenne. Les projets déposés à l’ETSI — navigateurs, gestionnaires de mots de passe, antivirus, VPN, systèmes d’exploitation, et une dizaine d’autres catégories — étaient encore ouverts aux commentaires au 12 août 2026. Conséquence pratique : la présomption de conformité prévue à l’Art. 27 n’est pas disponible, et une auto-évaluation reste sans filet normatif.
Schéma de certification EUCC
Non adoptéL’acte délégué prévu à l’Art. 8, qui doit désigner les catégories de produits soumises à une certification obligatoire, n’a pas été adopté.
Plateforme de signalement (ENISA)
Annoncée, pas en ligneLa plateforme unique par laquelle transiteront les signalements de l’Art. 14 n’est pas encore accessible. Sa mise en service est annoncée pour le 11 septembre 2026, jour de l’entrée en application. Trois guides destinés aux représentants désignés ont été publiés entre le 3 et le 14 août 2026. Aucune interface programmatique n’est prévue à ce stade : la soumission se fait par formulaire web, ce qui pèse sur le délai de 24 heures.
Suis-je concerné ?
La qualification se joue en trois questions, dans cet ordre : ce que je livre est-il un produit au sens du règlement, ce produit relève-t-il d’une exclusion sectorielle, et à quelle classe appartient-il. Les deux premières décident du périmètre ; la troisième décide seulement de la lourdeur de l’évaluation.
Le classement en classe I ou II — et donc l’obligation de passer par un organisme tiers — dépend de la fonction principale du produit, pas des technologies qu’il embarque. Un produit qui intègre un composant classé ne devient pas classé pour autant.
Lire l’arbre de qualification, article par articleSituer mon produit en quelques questions
Ce que le non-respect coûte
Le régime de sanctions de l’Art. 64 s’applique à partir du 11 décembre 2027. Pour un manquement aux exigences essentielles, il prévoit des amendes administratives pouvant atteindre 15 000 000 € ou 2,5 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
Une atténuation existe : l’Art. 64 § 10 écarte l’amende, pour les micro et petites entreprises, au titre du seul non-respect du délai de vingt-quatre heures. Elle ne couvre ni les autres délais de signalement, ni les exigences essentielles.
Aucune amende n’a été prononcée à ce jour : le régime n’est pas encore applicable.
Nos analyses sur le sujet
Chacune part d’une source primaire et cite l’article dont elle traite.
Situer votre produit
Le diagnostic reprend l’arbre de qualification du règlement et vous rend un rapport écrit. Sans compte, sans dépôt de code.
Lancer le diagnostic