CRA : le signalement démarre le 11 septembre
Actualité · Échéance à venir
Le 11 septembre 2026, dans vingt jours, l'article 14 du règlement (UE) 2024/2847 devient applicable. Tout fabricant d'un produit comportant des éléments numériques qui prend connaissance d'une vulnérabilité activement exploitée dispose alors de 24 heures pour émettre une alerte précoce. C'est la première obligation contraignante du Cyber Resilience Act, elle vise les produits déjà sur le marché, et aucune période transitoire n'est prévue. La plateforme censée recevoir ces signalements est décrite par la Commission comme encore en phase de tests fonctionnels et de sécurité.
En résumé :
- L'article 14 s'applique au 11 septembre 2026. Les obligations de marquage CE suivent séparément au 11 décembre 2027.
- Il existe deux cascades de signalement, pas une, et leurs délais de rapport final diffèrent.
- Le délai de 24 heures court dès la prise de connaissance, pas dès l'existence d'un correctif.
- Le signalement va au CSIRT de votre établissement principal, que le règlement définit comme le lieu où les décisions de cybersécurité sont principalement prises, et non le lieu d'immatriculation.
- L'ENISA indique que la plateforme « sera utilisée » à partir du 11 septembre ; la Commission indique que les tests sont en cours. Elle n'est pas ouverte aujourd'hui.
Deux horloges, pas une
Section intitulée « Deux horloges, pas une »L'article 14 sépare les vulnérabilités activement exploitées (paragraphes 1 et 2) des incidents graves (paragraphes 3 et 4). Les deux premières étapes sont identiques. Le rapport final ne l'est pas.
| Étape | Vulnérabilité activement exploitée | Incident grave |
|---|---|---|
| Alerte précoce | 24 heures dès la prise de connaissance | 24 heures dès la prise de connaissance |
| Notification complète | 72 heures dès la prise de connaissance | 72 heures dès la prise de connaissance |
| Rapport final | 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation | un mois après la notification à 72 heures |
La différence compte quand un correctif prend du temps. Pour une vulnérabilité, l'horloge du rapport final ne démarre qu'à l'existence d'une mesure corrective ou d'atténuation : un problème difficile ne vous met donc pas en défaut sur l'étape des 14 jours. Pour un incident grave, l'horloge part de votre propre notification à 72 heures, que l'affaire soit réglée ou non.
L'alerte précoce est volontairement légère : pour une vulnérabilité, elle doit seulement indiquer, le cas échéant, les États membres où le fabricant sait que le produit a été mis à disposition. Pour un incident, elle doit indiquer au minimum si l'incident est soupçonné de résulter d'actes illicites ou malveillants.
Ce qu'est un incident « grave »
Section intitulée « Ce qu'est un incident « grave » »L'article 14(5) le définit, et le seuil est plus bas que le mot ne le suggère. Un incident est grave dès que l'une des deux conditions est remplie :
- il compromet ou est susceptible de compromettre la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes ; ou
- il a conduit ou est susceptible de conduire à l'introduction ou à l'exécution de code malveillant dans le produit, ou dans les réseaux et systèmes d'information d'un utilisateur du produit.
Les deux branches visent la capacité, pas seulement le dommage réalisé. Un incident qui aurait pu conduire à l'exécution de code malveillant est signalable même si rien n'a été exécuté.
Quel CSIRT reçoit le signalement, et la règle souvent mal rapportée
Section intitulée « Quel CSIRT reçoit le signalement, et la règle souvent mal rapportée »La notification passe par la plateforme unique de l'article 16, via le point de notification électronique du CSIRT désigné comme coordinateur pour un État membre déterminé. L'article 14(7) fixe comment cet État membre est déterminé, et ce n'est pas simplement « là où se trouve le siège ».
Pour un fabricant ayant un établissement principal dans l'Union, le règlement définit l'établissement principal comme l'État membre où les décisions relatives à la cybersécurité de ses produits sont principalement prises. Ce n'est qu'à défaut de pouvoir le déterminer qu'on retient l'État membre où le fabricant compte le plus grand nombre de salariés dans l'Union.
Le choix du critère est délibéré. Une société immatriculée dans un État membre mais dont l'ingénierie sécurité est pilotée depuis un autre signale dans le second, pas dans le premier.
Pour un fabricant sans établissement principal dans l'Union, l'article 14(7) fixe une cascade ordonnée :
| Ordre | État membre déterminé par |
|---|---|
| 1 | le lieu d'établissement du mandataire agissant pour le plus grand nombre de produits de ce fabricant |
| 2 | le lieu d'établissement de l'importateur mettant sur le marché le plus grand nombre de ses produits |
| 3 | le lieu d'établissement du distributeur mettant à disposition le plus grand nombre de ses produits |
Le mandataire ne détermine donc le CSIRT que pour les fabricants sans établissement principal dans l'Union, et seulement au premier rang d'une cascade. C'est fréquemment présenté comme la règle générale : ce n'en est pas une.
Quel que soit le point de notification retenu, le signalement doit être simultanément accessible à l'ENISA. L'article 14(6) permet en outre au CSIRT destinataire de demander un rapport d'étape intermédiaire.
La plateforme, à vingt jours
Section intitulée « La plateforme, à vingt jours »La plateforme unique existe pour qu'un fabricant signale une fois plutôt que de notifier séparément les autorités de 27 États membres. Son statut mérite une lecture précise, car l'obligation n'attend pas l'outil.
La page de l'ENISA indique qu'à partir du 11 septembre 2026, la SRP sera utilisée par les CSIRT et les fabricants pour le signalement obligatoire, et décrit la période actuelle comme celle où l'agence « prend les mesures nécessaires pour accompagner la mise en oeuvre de la plateforme ». La page de la Commission indique que la plateforme sera opérationnelle au 11 septembre 2026 et que les tests fonctionnels et de sécurité sont en cours.
Aucune des deux pages ne publie de solution de repli en cas d'indisponibilité le jour venu. L'ENISA publie en revanche des guides sur l'enregistrement des utilisateurs et les procédures de notification, et tient une assistance à cra-srp-helpdesk@enisa.europa.eu.
Un acte délégué distinct, adopté le 11 décembre 2025, encadre les cas où un CSIRT peut différer la transmission d'une notification aux autres CSIRT pour des motifs justifiés de cybersécurité. Cela concerne la diffusion entre autorités, pas le délai propre au fabricant.
Ce qu'il faut faire avant le 11 septembre
Section intitulée « Ce qu'il faut faire avant le 11 septembre »- Désigner qui porte l'horloge des 24 heures. Elle court dès la prise de connaissance, y compris quand celle-ci arrive dans une boîte support ou par le courriel d'un chercheur un vendredi soir. Nommer le rôle, pas la personne, et prévoir une astreinte.
- Déterminer dès maintenant votre État membre de signalement, avec le test de l'article 14(7) et non l'adresse d'immatriculation. Consigner le raisonnement : le lieu de décision prépondérante en cybersécurité est une question de fait qu'il faudra peut-être défendre.
- S'enregistrer sur la plateforme dès l'ouverture des inscriptions. Découvrir le parcours d'enregistrement pendant un incident réel est le mode de défaillance que cette échéance crée.
- Écrire les deux cascades dans la procédure d'incident, avec leurs délais de rapport final distincts, plutôt qu'une règle unique à 14 jours.
- Confronter le test de gravité à votre propre tri. L'article 14(5) vise la capacité : un verdict interne « aucun impact constaté » ne suffit pas à sortir un incident du périmètre.
Pour aller plus loin
Section intitulée « Pour aller plus loin »- Cyber Resilience Act, calendrier 2026 et 2027 : le calendrier complet jusqu'au 11 décembre 2027
- Guide Cyber Resilience Act : périmètre, classes de produits et voies d'évaluation
- CRA : 17 projets de normes ETSI en enquête : pourquoi aucun produit ne dispose encore de présomption de conformité
Sources & références
- Règlement (UE) 2024/2847, Cyber Resilience Act, articles 14 et 16 , EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
- Plateforme unique de signalement (SRP) , ENISA www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp
- Cyber Resilience Act, obligations de signalement , Commission européenne digital-strategy.ec.europa.eu/en/policies/cra-reporting