La première grande obligation du Cyber Resilience Act est déjà entrée en application

Le Cyber Resilience Act, règlement (UE) 2024/2847, ne sera pleinement applicable qu’à partir du 11 décembre 2027.

Mais une partie essentielle du dispositif s’applique déjà.

Depuis le 11 septembre 2026, les fabricants concernés doivent notifier :

• les vulnérabilités activement exploitées ;
• certains incidents graves ayant un impact sur la sécurité des produits comportant des éléments numériques. 

Les fabricants de produits connectés ou de logiciels commercialisés en Europe doivent donc disposer dès maintenant d’une procédure opérationnelle.

Quels produits peuvent être concernés ?

Le CRA vise très largement les produits comportant des éléments numériques, c’est-à-dire notamment de nombreux équipements et logiciels dont l’utilisation implique une connexion logique ou physique à un dispositif ou à un réseau.

Pour les entreprises industrielles, cela peut concerner selon les cas :

• objets connectés ;
• équipements de contrôle ;
• logiciels embarqués ;
• solutions IoT ;
• équipements réseau ;
• applications commerciales ;
• composants numériques intégrés à un produit.

Le champ doit toutefois être analysé au regard des définitions et exclusions précises du règlement.

Première échéance : 24 heures

Lorsqu’un fabricant apprend qu’une vulnérabilité affectant son produit fait l’objet d’une exploitation active, il doit envoyer une alerte précoce :

sans retard injustifié et au plus tard dans les 24 heures suivant le moment où il en a connaissance. 

Cette première alerte peut rester concise.

L’objectif est de permettre une réaction rapide des autorités compétentes.

Deuxième échéance : 72 heures

Une notification plus complète doit ensuite être transmise au plus tard dans les 72 heures.

Elle doit notamment comporter, selon les informations disponibles :

• les éléments généraux relatifs au produit ;
• la nature de la vulnérabilité et de son exploitation ;
• les mesures correctives ou d’atténuation prises ;
• les mesures que les utilisateurs peuvent adopter. 

Pour les incidents graves ayant un impact sur la sécurité, une logique comparable d’alerte précoce puis de notification complète s’applique. 

Un rapport final complète le dispositif

Pour une vulnérabilité activement exploitée, le rapport final doit être transmis au plus tard 14 jours après qu’une mesure corrective ou d’atténuation est disponible.

Pour un incident grave, le rapport final doit intervenir dans le mois suivant la notification de 72 heures. 

L’entreprise doit donc être capable de suivre un événement pendant toute sa résolution, pas seulement de produire une première alerte.

Où faut-il notifier ?

La Commission et l’ENISA ont mis en place une Single Reporting Platform, opérationnelle depuis le 11 septembre 2026.

Le fabricant transmet une seule notification sur cette plateforme. Elle est adressée au CSIRT de l’État membre où le fabricant a son établissement principal et, sauf circonstances exceptionnelles prévues par le dispositif, les informations sont également mises à disposition de l’ENISA. 

Les délais imposent une procédure interne très rapide

Un délai de 24 heures laisse très peu de temps pour faire circuler l’information entre :

• développeur ;
• équipe SOC ;
• responsable produit ;
• RSSI ;
• qualité ;
• juridique ;
• direction.

Le principal risque serait qu’une équipe technique identifie une exploitation active mais que l’information reste plusieurs jours dans un ticket interne avant d’arriver à la personne chargée du CRA.

Il faut donc définir clairement à quel moment commence le délai réglementaire et qui déclenche la notification.

Les produits déjà sur le marché ne doivent pas être oubliés

La Commission précise que les obligations de signalement s’appliquent aux produits avec éléments numériques qui ont été mis à disposition sur le marché de l’Union, y compris lorsqu’ils l’ont été avant l’application générale du CRA en décembre 2027. 

Une entreprise ne peut donc pas limiter sa procédure aux seuls nouveaux produits lancés après septembre 2026.

Son parc existant doit être cartographié.

Une obligation distincte de la directive NIS2

Certaines entreprises sont susceptibles de relever simultanément :

• du Cyber Resilience Act en qualité de fabricant ;
• de NIS2 en qualité d’entité essentielle ou importante ;
• voire de règles sectorielles complémentaires.

Les procédures de notification doivent donc être coordonnées afin d’éviter :

• les oublis ;
• les notifications contradictoires ;
• les doublons non maîtrisés.

Le CRA ne remplace pas les autres régimes de cybersécurité.

Checklist CRA à appliquer immédiatement

1. L’entreprise est-elle fabricant au sens du CRA ?
2. Quels produits comportant des éléments numériques sont concernés ?
3. Les anciens produits commercialisés sont-ils cartographiés ?
4. Qui détecte une vulnérabilité activement exploitée ?
5. Qui décide qu’elle entre dans le champ du signalement ?
6. Qui déclenche le délai de 24 heures ?
7. Les identifiants nécessaires pour la plateforme sont-ils prêts ?
8. Une personne est-elle joignable en permanence ?
9. Un modèle d’alerte 24 h existe-t-il ?
10. Un modèle de notification 72 h existe-t-il ?
11. Le rapport final est-il intégré au workflow ?
12. Les équipes juridiques, produit, qualité et cyber travaillent-elles selon la même procédure ?
13. Les obligations NIS2 ou sectorielles sont-elles coordonnées ?

Conclusion : le CRA n’est plus une échéance 2027

Beaucoup d’entreprises continuent à associer le Cyber Resilience Act à sa date d’application générale du 11 décembre 2027.

Depuis le 11 septembre 2026, cette lecture est incomplète.

Les obligations de notification des vulnérabilités activement exploitées et des incidents graves sont déjà applicables.

Le délai de 24 heures impose une organisation préparée à l’avance : lorsqu’une vulnérabilité est découverte un vendredi soir, il sera trop tard pour commencer à chercher lundi matin qui doit déclarer quoi.

KAiSA permet d’intégrer ces nouvelles obligations aux référentiels de conformité numérique et de transformer les délais CRA en procédures, responsabilités et points d’audit opérationnels.

Sources officielles : règlement (UE) 2024/2847, notamment article 14 ; Commission européenne, « Cyber Resilience Act – Reporting obligations » et calendrier de mise en œuvre.