Depuis le 11 septembre 2026, tout fabricant d’un produit comportant des éléments numériques est tenu de signaler, dans un délai de 24 heures, toute vulnérabilité activement exploitée. Un délai particulièrement court, via une plateforme unique, pour un champ d’application bien plus large qu’on ne pourrait le penser. La simple distribution, dans l’Union européenne, d’un plugin, d’un thème ou d’un connecteur, y compris gratuitement, peut suffire à vous faire entrer dans le périmètre de cette nouvelle règlementation. Voici ce qu’il faut savoir à ce sujet.
L’essentiel en bref
- Les obligations de signalement prévues à l’article 14 du règlement sont applicables depuis le 11 septembre 2026, tandis que les autres dispositions du texte entreront en vigueur le 11 décembre 2027.
- Trois échéances par incident : alerte précoce sous 24 heures, notification principale sous 72 heures, rapport final sous 14 jours après la mise à disposition d’une mesure corrective.
- Est fabricant celui qui développe ou fait développer un produit et le commercialise sous son nom ou sa marque, que ce soit contre paiement, par monétisation ou gratuitement.
Ce qui s’applique depuis le 11 septembre, et ce qui attend encore
Commençons par clarifier un point important : affirmer que le Cyber Resilience Act « entre en vigueur le 11 septembre 2026 » n’est pas tout à fait correct.
Le règlement (UE) 2024/2847 est en vigueur depuis le 10 décembre 2024. Ce qui a changé le 11 septembre 2026, c’est l’application de ses obligations de signalement.
Le calendrier du règlement s’articule autour de trois dates clés, chacune correspondant à l’entrée en application d’obligations différentes.
Si votre feuille de route de conformité pour 2027 se résume à une seule échéance, elle est sans doute incomplète.
Les exigences documentaires et le marquage CE n’entreront en application qu’en décembre 2027, mais la procédure de signalement, elle, doit déjà être opérationnelle.
Comment fonctionne la procédure de signalement du Cyber Resilience Act ?
Selon la Commission européenne, le fabricant qui prend connaissance d’une vulnérabilité activement exploitée ou d’un incident grave affectant la sécurité de son produit ou logiciel doit déposer une alerte précoce dans les 24 heures, une notification complète dans les 72 heures, puis un rapport final.
Ce rapport final tombe au plus tard 14 jours après la mise à disposition d’une mesure corrective pour une vulnérabilité exploitée, ou dans le mois suivant la notification à 72 heures pour un incident grave.
Une seule déclaration suffit : elle part via la plateforme unique de signalement opérée par l’ENISA, ouverte depuis le 11 septembre, à destination du CSIRT de l’État membre où se trouve votre établissement principal, l’information étant mise à disposition de l’ENISA au même moment.
Une précision importante concerne les petites structures, alors qu’elle est rarement mentionnée : les fabricants relevant de la catégorie des microentreprises ou des petites entreprises ne peuvent pas faire l’objet d’une sanction financière pour le seul non-respect du délai de 24 heures.
L’obligation de signalement reste pleinement applicable : seule la sanction financière liée au non-respect de ce délai précis est écartée. Les gestionnaires de logiciels libres, quant à eux, ne sont soumis à aucune sanction en cas de manquement au règlement.
Pourquoi votre agence peut être « fabricant » sans le savoir ?
La définition retenue par le règlement est large : est fabricant toute personne physique ou morale qui développe ou fait développer un produit comportant des éléments numériques et le commercialise sous son nom ou sa marque, que ce soit contre paiement, par monétisation ou gratuitement.
La gratuité ne vous exclut pas du règlement
La notion de mise à disposition sur le marché suit la même logique : c’est la fourniture d’un produit pour distribution ou utilisation dans l’Union dans le cadre d’une activité commerciale, contre paiement ou à titre gratuit.
Une agence qui publie un plugin WordPress sous sa marque, un éditeur qui distribue un connecteur pour un CRM, un intégrateur qui met un thème en téléchargement pour générer des leads : tous ces cas méritent un examen. Le simple fait qu’un produit soit distribué gratuitement ne suffit pas à l’en exclure.
Les distributeurs ont aussi leurs propres obligations
Ils portent des obligations propres, notamment celle de vérifier le marquage CE et d’informer le fabricant dès qu’ils ont connaissance d’une vulnérabilité. Des précédents comme la faille Slider Revolution, qui a affecté quatre millions de sites WordPress, illustrent la rapidité avec laquelle une simple extension peut devenir un risque pour toute une chaîne d’approvisionnement logicielle.
Le cas du SaaS reste encore flou
Une incertitude subsiste toutefois, et la documentation disponible ne permet pas encore de la lever complètement. Un SaaS pur, sans composant logiciel distribué, n’entre pas clairement dans le champ du règlement.
Le texte vise les produits logiciels et matériels, ainsi que certaines solutions de traitement de données à distance, définies comme des services dont l’absence empêcherait le produit d’assurer l’une de ses fonctions. Un outil marketing accessible uniquement depuis un navigateur se situe donc dans une zone grise que les textes consultés ne permettent pas de trancher précisément.
Si vous êtes dans cette situation, mieux vaut faire qualifier votre cas plutôt que de tirer seul une conclusion définitive.
Le CRA ne concerne pas seulement vos prochaines versions
Beaucoup d’équipes produit ont encore tendance à considérer le CRA comme un sujet à intégrer aux prochaines versions. Sur le volet du signalement, le règlement impose pourtant d’agir dès maintenant.
Les obligations de déclaration concernent tous les produits comportant des éléments numériques mis à disposition sur le marché de l’Union, y compris ceux commercialisés avant le 11 décembre 2027.
Concrètement, un connecteur publié en 2021 et encore maintenu, même de façon minimale, peut déjà entrer dans le périmètre de déclaration. Il n’est donc pas nécessaire d’attendre 2027 pour s’en occuper.
Pour les éditeurs qui disposent d’un catalogue d’anciennes intégrations, l’inventaire des produits existants est indispensable et est à réaliser avant qu’un incident ne contraigne les équipes à le faire dans l’urgence.
Comment organiser votre procédure de signalement ?
- Qui détecte ? Désignez la personne ou l’équipe chargée de recevoir les signalements externes avec une adresse de contact clairement identifiée.
- Qui qualifie ? Déterminez à l’avance qui décide s’il s’agit d’une « vulnérabilité activement exploitée » ou d’une simple faille signalée, car cette qualification déclenche le délai de déclaration.
- Qui déclare ? Identifiez la personne habilitée à effectuer le signalement sur la plateforme de l’ENISA, ainsi qu’un suppléant en cas d’absence.
- Quel CSIRT contacter ? Vérifiez en amont quel CSIRT est compétent pour l’État membre dans lequel se situe votre établissement principal.
- Qui informe les clients ? Le signalement réglementaire ne remplace ni vos obligations contractuelles d’information, ni, le cas échéant, les notifications prévues par le RGPD lorsqu’une violation de données personnelles est concernée.
Cette procédure peut aussi servir au-delà de la seule conformité réglementaire. Le sujet commence à apparaître dans les appels d’offres et les questionnaires de sécurité adressés aux fournisseurs. Une procédure écrite, datée et attribuée à des responsables identifiés permet de répondre rapidement. À l’inverse, l’absence de cadre formalisé devient plus difficile à justifier.
Cette exigence s’inscrit d’ailleurs dans une tendance plus large de renforcement des règles en matière de données et de sécurité, déjà suivie de près par les équipes juridiques.
Notre verdict :
Le CRA n’est pas un sujet à repousser à 2027 pour les entreprises qui distribuent des logiciels dans l’Union européenne, y compris gratuitement. Les obligations de signalement sont déjà applicables et concernent également les produits existants.
Deux actions permettent dès maintenant de poser les bases de la conformité : recenser les produits distribués sous votre nom ou votre marque et formaliser précisément qui doit signaler quoi, et dans quels délais. Les autres obligations du règlement entreront, elles, en application en décembre 2027.
