Les échéances du Cyber Resilience Act
Trois dates, dont une seule crée aujourd'hui une obligation immédiate pour la plupart des fabricants. Voici ce qui s'applique quand, et ce qu'il faut avoir fait avant.
Le calendrier
Le signalement : des délais qui se comptent en heures
C'est l'obligation la plus souvent sous-estimée, parce qu'elle ne se prépare pas dans l'urgence : elle suppose d'avoir désigné qui décide, qui rédige et qui notifie, avant l'incident.
| Étape | Délai | Ce qu'elle contient |
|---|---|---|
| Alerte précoce | 24 heures | Dès la connaissance du fait à signaler. |
| Notification | 72 heures | Les éléments techniques disponibles et, le cas échéant, les mesures correctives ou d'atténuation prises. |
| Rapport final — vulnérabilité | 14 jours | Après la mise à disposition d'une mesure corrective ou d'atténuation. |
| Rapport final — incident | 1 mois | Après la notification à 72 heures. |
Ces délais courent à partir du moment où le fabricant a connaissance du fait à signaler — pas à partir de la décision interne de le traiter.
Un rétroplanning qui tient
Ce découpage ne figure pas dans le règlement : c'est l'ordre dans lequel les chantiers se débloquent le plus facilement, l'un conditionnant le suivant.
D'ici fin 2026 — la chaîne de signalement
Désigner le point de contact, écrire la procédure, identifier le CSIRT compétent, faire un essai à blanc. Peu coûteux, et c'est la seule échéance déjà en vigueur.
Premier semestre 2027 — l'inventaire
Constituer la nomenclature logicielle, cartographier les dépendances, brancher une veille de vulnérabilités dessus. Rien d'autre n'est vérifiable tant que l'inventaire n'existe pas.
Second semestre 2027 — la preuve
Documentation technique (annexe VII), évaluation des risques, procédure d'évaluation de la conformité, déclaration UE et marquage CE. Si un organisme notifié est requis, le contacter bien avant.
Ce qui ne s'arrête pas à une date
Le traitement des vulnérabilités et la fourniture de mises à jour de sécurité courent pendant toute la période d'assistance du produit. Ce n'est pas un jalon à franchir, c'est un processus à tenir.
Questions fréquentes
Que se passe-t-il si je ne suis pas prêt au 11 septembre 2026 ?
Les obligations de signalement s'appliquent à cette date. Une vulnérabilité activement exploitée non notifiée constitue un manquement, indépendamment de l'avancement du reste de votre mise en conformité.
Puis-je attendre 2027 pour commencer ?
La première échéance ne porte que sur le signalement. Mais les chantiers du 11 décembre 2027 — nomenclature logicielle, documentation technique, évaluation de la conformité — se comptent en mois, et l'accès à un organisme notifié est à anticiper pour les produits de classe II et de l'annexe IV.
À qui notifie-t-on ?
Au CSIRT désigné comme coordinateur et à l'ENISA, selon les modalités prévues à l'article 14 du règlement.
Ces dates peuvent-elles changer ?
Les dates citées ici sont celles fixées par le règlement (UE) 2024/2847 tel que publié. Toute modification passerait par un acte modificatif publié au Journal officiel de l'Union européenne.
Source : règlement (UE) 2024/2847, articles 14 et 71.