Le calendrier du Cyber Resilience Act tient en trois dates : les obligations de signalement s'appliquent depuis le 11 septembre 2026, les règles sur les organismes d'évaluation de la conformité depuis le 11 juin 2026, et l'essentiel du règlement à partir du 11 décembre 2027. Les normes harmonisées, en cours de rédaction, ne donnent une présomption de conformité qu'une fois citées au Journal officiel.
Le Cyber Resilience Act (CRA), en français « règlement sur la cyberrésilience », désigne le règlement (UE) 2024/2847 du 23 octobre 2024. Il fixe des exigences de cybersécurité horizontales pour les « produits comportant des éléments numériques », matériels et logiciels, mis à disposition sur le marché de l'Union. Il s'applique par étapes : cette page reprend chaque date, ce qui s'applique, l'article concerné et les acteurs visés, puis l'état des actes d'exécution, des normes et des propositions de 2025-2026.
Quelles sont les dates clés du Cyber Resilience Act ?
| Date | Ce qui s'applique | Article | Qui est concerné |
|---|---|---|---|
| 20 novembre 2024 | Publication au Journal officiel (JO L, 2024/2847) | Art. 71, § 1 | Tous les opérateurs économiques |
| 10 décembre 2024 | Entrée en vigueur (vingtième jour après la publication) ; aucune obligation n'est encore applicable | Art. 71, § 1 | Tous les opérateurs économiques |
| 21 décembre 2025 | Entrée en vigueur du règlement d'exécution (UE) 2025/2392 : description technique des catégories de produits importants (annexe III) et critiques (annexe IV) | Art. 7, § 4 | Fabricants de produits importants et critiques |
| 10 mai 2026 | Entrée en vigueur du règlement délégué (UE) 2026/881 : conditions dans lesquelles un CSIRT coordinateur peut différer la diffusion d'une notification | Art. 14, § 9, et art. 16, § 2 | CSIRT ; fabricants qui demandent un report |
| 11 juin 2026 | Application du chapitre IV : autorités notifiantes et notification des organismes d'évaluation de la conformité | Art. 35 à 51 et art. 71, § 2 | États membres, organismes d'évaluation de la conformité |
| 27 juillet 2026 | Publication des lignes directrices de la Commission C(2026) 5252 (non contraignantes) | Art. 26 | Fabricants, en particulier les PME |
| 11 septembre 2026 | Signalement des vulnérabilités activement exploitées et des incidents graves via la plateforme unique de signalement, y compris pour les produits déjà sur le marché | Art. 14, art. 16 et art. 69, § 3 | Fabricants, ainsi qu'importateurs et distributeurs assimilés à des fabricants |
| 11 décembre 2026 | Les États membres s'efforcent de disposer d'organismes notifiés en nombre suffisant | Art. 35, § 2 | États membres |
| 30 octobre 2027 | Échéance des 13 dernières normes horizontales et du rapport final des organismes de normalisation | Décision C(2025) 618 | CEN, Cenelec, ETSI |
| 11 décembre 2027 | Application complète : exigences essentielles (annexe I), évaluation de la conformité, marquage CE, obligations des importateurs, distributeurs et intendants de logiciels ouverts, surveillance du marché | Art. 71, § 2 | Fabricants, importateurs, distributeurs, mandataires, intendants de logiciels ouverts |
| 11 juin 2028 | Fin de validité des certificats d'examen UE de type et des approbations délivrés au titre d'autres législations pour les exigences de cybersécurité | Art. 69, § 1 | Fabricants de produits relevant d'autres législations d'harmonisation |
| 11 septembre 2028 | Rapport de la Commission sur l'efficacité de la plateforme unique de signalement | Art. 70, § 2 | Commission, ENISA, CSIRT |
Deux règles transitoires comptent en pratique. Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux exigences du CRA que s'il fait l'objet d'une modification substantielle après cette date (article 69, § 2). Le signalement fait exception : l'article 69, § 3, applique l'article 14 à tous les produits couverts déjà sur le marché, quelle que soit leur date de mise sur le marché.
Que faut-il signaler, et dans quels délais ?
L'article 14 prévoit deux circuits parallèles. Les délais courent à partir du moment où le fabricant « a connaissance » de l'événement, et les deux passent par la même plateforme.
| Étape | Vulnérabilité activement exploitée (art. 14, § 1 et 2) | Incident grave ayant un impact sur la sécurité du produit (art. 14, § 3 et 4) |
|---|---|---|
| Alerte précoce | Au plus tard 24 heures ; États membres où le produit est mis à disposition, s'ils sont connus | Au plus tard 24 heures ; soupçon ou non d'actes illicites ou malveillants ; États membres concernés, s'ils sont connus |
| Notification | Au plus tard 72 heures ; informations générales sur le produit, nature de l'exploitation et de la vulnérabilité, mesures correctives ou d'atténuation prises et à la portée des utilisateurs, sensibilité des informations | Au plus tard 72 heures ; nature de l'incident, évaluation initiale, mesures correctives ou d'atténuation prises et à la portée des utilisateurs, sensibilité des informations |
| Rapport final | Au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation ; description, gravité et impact, informations sur l'acteur malveillant, détails de la mise à jour de sécurité | Dans un délai d'un mois après la notification d'incident ; description détaillée, gravité et impact, type de menace ou cause probable, mesures d'atténuation appliquées et en cours |
Autres points de l'article 14 :
- Un incident est grave lorsqu'il porte ou peut porter atteinte à la capacité du produit de protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou lorsqu'il a conduit ou peut conduire à l'introduction ou à l'exécution d'un code malveillant (art. 14, § 5).
- Le CSIRT coordinateur peut demander un rapport intermédiaire (art. 14, § 6).
- Le fabricant informe aussi les utilisateurs touchés, et si nécessaire tous les utilisateurs, ainsi que des mesures qu'ils peuvent prendre (art. 14, § 8).
- La notification va au CSIRT coordinateur de l'État membre de l'établissement principal du fabricant, c'est-à-dire là où sont prises la plupart des décisions de cybersécurité sur ses produits. Sans établissement principal dans l'Union, l'article 14, § 7, fixe un ordre : mandataire, importateur, distributeur, puis utilisateurs.
- L'article 64, § 10, écarte les amendes administratives pour les micro et petites entreprises qui manquent le délai de 24 heures de l'alerte précoce, ainsi que pour les intendants de logiciels ouverts.
Comment fonctionne la plateforme unique de signalement ?
La plateforme unique de signalement (Single Reporting Platform, SRP) est l'outil que l'ENISA a mis en place en vertu de l'article 16 pour recevoir les notifications du CRA. L'ENISA l'a lancée le 11 septembre 2026 dans une première version opérationnelle, et les notifications obligatoires doivent y passer. Le fabricant notifie une seule fois : le CSIRT coordinateur et l'ENISA reçoivent l'information en même temps, puis le CSIRT la transmet aux CSIRT des autres États membres où le produit est disponible. À titre exceptionnel, cette diffusion peut être différée pour des motifs justifiés liés à la cybersécurité (art. 16, § 2), dans les conditions du règlement délégué (UE) 2026/881. L'ENISA publie sur sa page SRP les guides d'utilisation, la liste des CSIRT coordinateurs et l'état de la plateforme.
Où en sont les normes harmonisées ?
La demande de normalisation C(2025) 618 du 3 février 2025 confie au CEN, au Cenelec et à l'ETSI 41 normes : 15 horizontales et 26 verticales (par produit). La décision fixe trois échéances :
- 30 août 2026 : deux normes horizontales, l'une sur la conception, le développement et la production des produits en fonction des risques, l'autre sur la gestion des vulnérabilités.
- 30 octobre 2026 : les 26 normes verticales pour les catégories de produits importants et critiques.
- 30 octobre 2027 : les 13 autres normes horizontales et le rapport conjoint final.
Une norme ne donne de présomption de conformité qu'une fois sa référence publiée au Journal officiel (article 27, § 1). La page de la Commission consacrée à la normalisation du CRA, mise à jour le 31 juillet 2026, ne mentionnait aucune norme citée. En attendant, le fabricant documente lui-même la manière dont il respecte l'annexe I. Le calendrier de mise en œuvre de la Commission prévoit aussi, au quatrième trimestre 2026, un acte délégué sur la présomption de conformité des produits certifiés selon le schéma européen fondé sur les critères communs (EUCC).
Le Digital Omnibus a-t-il modifié le calendrier du CRA ?
Non. La proposition « Digital Omnibus » du 19 novembre 2025 (COM(2025) 837) ne touche ni aux dates du CRA ni à son article 14. Elle chargerait l'ENISA d'un point d'entrée unique pour les notifications d'incidents au titre de NIS2, du RGPD, de DORA, d'eIDAS et de la directive CER, qui pourrait s'appuyer sur la plateforme du CRA. Elle modifierait aussi NIS2 pour qu'un signalement d'incident grave fait au titre du CRA vaille notification NIS2 lorsqu'il contient les informations requises. Ce texte reste une proposition : le Conseil a arrêté sa position de négociation le 21 octobre 2026, et les discussions avec le Parlement européen ne pourront commencer qu'une fois la position de celui-ci adoptée. L'omnibus numérique sur l'IA, adopté séparément sous la forme du règlement (UE) 2026/1744, ne concerne pas le CRA.
Que vérifier dès maintenant ?
- Recenser chaque produit comportant des éléments numériques et sa catégorie au regard du règlement d'exécution (UE) 2025/2392.
- S'enregistrer sur la plateforme unique de signalement, avec un suppléant, et identifier le CSIRT coordinateur.
- Organiser une réception des signalements de vulnérabilités et des indices d'exploitation compatible avec le délai de 24 heures, reliée au processus de gestion des incidents.
- Tenir à jour une nomenclature logicielle (SBOM) : voir notre guide pratique SBOM et CycloneDX.
- Inscrire les obligations de signalement et de mise à jour dans les contrats fournisseurs : voir les clauses CRA pour les fournisseurs de produits numériques.
- Réserver tôt la capacité d'un organisme notifié si vos produits sont importants ou critiques.
Les référentiels couverts par ResiPlan, dont le CRA, sont présentés sur https://www.resiplan.eu/fr/compliance-frameworks.
Questions fréquentes
Le signalement vise-t-il les produits vendus avant 2027 ?
Oui. L'article 69, § 3, applique l'article 14 à tous les produits couverts déjà sur le marché, y compris ceux mis sur le marché avant le 11 décembre 2027.
Les importateurs et distributeurs doivent-ils signaler ?
L'article 14 vise les fabricants. Un importateur ou un distributeur qui commercialise un produit sous son propre nom ou sa propre marque, ou qui le modifie substantiellement, est considéré comme fabricant et doit signaler (article 21). Leurs obligations propres (articles 19 et 20) s'appliquent à partir du 11 décembre 2027.
Les projets open source sont-ils concernés ?
Les intendants de logiciels ouverts signalent au titre de l'article 24, § 3, dans la mesure où ils participent au développement ; selon la Commission, ces obligations s'appliquent à partir du 11 décembre 2027. Les amendes administratives ne leur sont pas applicables (article 64, § 10).
Le rapport final est-il dû 14 jours après l'incident ?
Pas toujours. Le délai de 14 jours vaut pour les vulnérabilités activement exploitées et court à partir de la mise à disposition d'un correctif ou d'une mesure d'atténuation. Pour un incident grave, le rapport final est dû dans un délai d'un mois après la notification à 72 heures.
Sources
- Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), EUR-Lex
- Règlement d'exécution (UE) 2025/2392, EUR-Lex
- Règlement délégué (UE) 2026/881, EUR-Lex
- Commission européenne, obligations de signalement du CRA
- Commission européenne, calendrier de mise en œuvre du CRA
- Commission européenne, lignes directrices du 27 juillet 2026
- Commission européenne, normalisation du CRA
- Demande de normalisation C(2025) 618, registre de la Commission (en anglais)
- ENISA, plateforme unique de signalement du CRA (en anglais)
- Proposition Digital Omnibus COM(2025) 837, EUR-Lex
- Conseil de l’UE, communiqué du 21 octobre 2026 (en anglais)