Article · 4 novembre 2026
Cyber Resilience Act : depuis le 11 septembre 2026, les fabricants ont 24 heures pour signaler
CRA : calendrier, obligations de signalement à l'ENISA depuis septembre 2026, rôle de l'ANSSI et de l'ANFR, normes harmonisées et plan d'action pour les fabricants.
Le Cyber Resilience Act (règlement (UE) 2024/2847) est entré dans sa phase opérationnelle. Depuis le 11 septembre 2026, tout fabricant d'un produit comportant des éléments numériques vendu dans l'UE doit signaler ses vulnérabilités activement exploitées et ses incidents graves. Les exigences de conception, elles, deviennent obligatoires le 11 décembre 2027.
Le CRA en une phrase
Le CRA impose un socle commun de cybersécurité à tous les produits numériques, matériels comme logiciels, sur tout leur cycle de vie, avec à la clé le marquage CE. Les amendes peuvent atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu (Jones Day).
Pour le directeur général de l'ANSSI, Vincent Strubel, « le CRA est l'équivalent numérique des gestes barrières dans la santé » (ANSSI).
Le calendrier
| Date | Étape |
|---|---|
| 10 octobre 2024 | Adoption formelle par le Parlement et le Conseil |
| 10 décembre 2024 | Entrée en vigueur |
| Avril 2025 | CEN, CENELEC et ETSI acceptent le mandat M/606 : environ 41 normes harmonisées, dont 15 horizontales |
| 11 juin 2026 | Application des règles sur les organismes d'évaluation de la conformité |
| 27 juillet 2026 | Publication des lignes directrices de la Commission (plus de 80 pages, non contraignantes) |
| 11 septembre 2026 | Obligations de signalement (article 14) et ouverture de la plateforme ENISA |
| 31 octobre 2026 | Nouvelle échéance des deux normes horizontales clés (développement sécurisé, gestion des vulnérabilités) |
| 31 décembre 2026 | Nouvelle échéance des normes verticales par type de produit |
| 11 décembre 2027 | Application complète : exigences essentielles et marquage CE |
Sources : cyberresilienceact.eu, Jones Day.
Signaler : trois délais à tenir
Toute notification passe par la Single Reporting Platform (SRP) de l'ENISA, accessible sur portal.cra-srp.enisa.europa.eu. Une seule déclaration est transmise à la fois à l'ENISA et au CSIRT coordinateur (cyberresilienceact.eu). Le délai court dès que le fabricant a connaissance de l'événement :
| Étape | Délai |
|---|---|
| Alerte précoce | 24 heures |
| Notification | 72 heures |
| Rapport final (vulnérabilité exploitée) | 14 jours après la mise à disposition d'un correctif |
| Rapport final (incident grave) | 1 mois après la notification à 72 heures |
Selon les lignes directrices de la Commission, le fabricant « a connaissance » d'un événement lorsqu'une première analyse lui donne une certitude raisonnable d'exploitation active ou d'incident grave. Aucune déclaration rétroactive n'est exigée pour une exploitation connue avant le 11 septembre 2026.
En revanche, l'obligation couvre aussi les produits mis sur le marché avant décembre 2027, et les utilisateurs touchés doivent être informés (Jones Day).
Comment Domyno le traite
Un seul référentiel, des agents qui préparent le travail et un expert dédié qui valide.
Qui contrôle en France
L'Agence nationale des fréquences (ANFR) est l'autorité de surveillance du marché : elle analyse les produits et peut imposer un retrait ou des sanctions financières. L'ANSSI est autorité notifiante, chargée d'évaluer et de contrôler les organismes d'évaluation de la conformité, et CSIRT national au titre du CRA (ANSSI).
Normes harmonisées : encore en chantier
Un produit conforme à une norme harmonisée bénéficie d'une présomption de conformité, mais seulement une fois la norme citée au Journal officiel de l'UE. Lors de la dernière mise à jour consultée (septembre 2026), aucune norme CRA n'y était encore citée.
Un projet d'amendement de juillet 2026 a repoussé de deux mois les échéances de livraison, et l'ETSI a ouvert le 13 août 2026 l'enquête publique sur 17 projets de normes produits (série EN 304 xxx) (cyberresilienceact.eu). Il faut donc travailler dès maintenant sur la base des projets existants.
Que faire maintenant
- Inventorier vos produits et les classer (par défaut, importants de classe I ou II, critiques) : la classe détermine la procédure d'évaluation de conformité.
- Mettre en place une capacité de détection et de qualification des vulnérabilités exploitées, joignable 24 h/24.
- Créer votre compte sur la plateforme SRP de l'ENISA et identifier votre CSIRT coordinateur.
- Produire et maintenir une SBOM pour chaque produit.
- Exiger de vos fournisseurs de composants leur feuille de route CRA.
- Préparer dès aujourd'hui la documentation technique attendue pour décembre 2027.
Comment Domyno vous accompagne
Domyno est une plateforme de conformité incroyable, pensée pour s'adapter à votre organisation plutôt que l'inverse. Les normes harmonisées du CRA ne sont pas encore publiées ? Avec le custom framework, vous construisez dès aujourd'hui votre propre référentiel CRA à partir des exigences essentielles du règlement, puis vous le faites évoluer au rythme des publications.
Le plan de contrôle transforme ces exigences en actions concrètes : chaque contrôle a son responsable, son échéance et ses preuves. Les modules de gestion des actifs, des vulnérabilités et des incidents vous donnent la base pour structurer votre processus de signalement à 24 et 72 heures, et la gestion des fournisseurs vous aide à suivre la feuille de route CRA de vos composants.
L'IA de Domyno vous assiste au quotidien, et un expert conformité vous accompagne à chaque étape. Un seul outil pour le CRA, ISO 27001, NIS2, DORA et tous vos autres référentiels.