Cyber Resilience Act : ce qui vous oblige le 11 septembre

Vendredi 11 septembre 2026, un chronomètre de 24 heures se met en marche pour qui vend un logiciel ou un objet connecté dans l’Union. C’est la date d’application de l’article 14 du règlement (UE) 2024/2847, dit Cyber Resilience Act.

Un seul article sur soixante et onze. Le reste attend décembre 2027.

Ce qui commence, et ce qui ne commence pas

L’article 71 fixe trois dates : le règlement s’applique au 11 décembre 2027, sauf son chapitre IV sur les organismes notifiés, en vigueur depuis le 11 juin 2026, et son article 14, applicable au 11 septembre 2026.

Vendredi, vous ne devez donc ni marquage CE au titre du CRA, ni documentation technique, ni nomenclature logicielle. Vous devez signaler. Rien d’autre, mais cela.

Une précision de l’article 69, paragraphe 3, change tout : le signalement vise aussi les produits mis sur le marché avant décembre 2027. Votre catalogue existant est concerné, pas seulement ce que vous sortirez demain.

Qui doit signaler

L’obligation pèse sur le fabricant de l’article 3, point 13 : celui qui développe ou fait développer un produit comportant des éléments numériques et le commercialise sous son nom ou sa marque, « à titre onéreux, monétisé ou gratuit ».

Traduit pour une PME : faire assembler un boîtier connecté par un sous-traitant et le vendre sous sa marque, c’est être fabricant. Publier un logiciel, même gratuit, dans un cadre commercial aussi. Se contenter d’utiliser des produits connectés, non : les obligations des importateurs et distributeurs attendent décembre 2027.

Le nuage fait basculer des dossiers. Considérant 12 : une fonction en nuage conçue sous la responsabilité du fabricant, et sans laquelle le produit ne marche plus, entre dans le champ ; un SaaS autonome relève, lui, de la directive NIS 2.

Quoi, à qui, sous quel délai

Deux évènements seulement déclenchent l’obligation.

La vulnérabilité activement exploitée, définie à l’article 3, point 42 : celle « pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire ». Une faille que vous découvrez tranquillement en interne n’entre pas dans cette case.

L’incident grave, caractérisé à l’article 14, paragraphe 5 : atteinte à la capacité du produit de protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données sensibles, ou introduction de code malveillant chez l’utilisateur.

Même calendrier dans les deux cas : alerte précoce sous 24 heures après en avoir eu connaissance, notification complète sous 72 heures, rapport final quatorze jours après la mise à disposition du correctif, ou un mois après la notification pour un incident.

Le canal est unique : la plateforme européenne de l’article 16, opérée par l’ENISA, que l’ANSSI annonce en ligne le 11 septembre. Le point d’entrée français est le CERT-FR, CSIRT coordinateur, qui rediffuse aux autres États membres.

Une obligation passe souvent inaperçue : le paragraphe 8 impose aussi d’informer les utilisateurs touchés. Si vous tardez, le CSIRT peut le faire à votre place. Vous préférerez l’annoncer vous-même.

L’IA n’est pas hors du texte

L’article 12 vise les produits classés systèmes d’IA à haut risque au sens du règlement (UE) 2024/1689 : satisfaire aux exigences essentielles de l’annexe I du CRA les fait réputer conformes à l’article 15 du règlement sur l’IA. Le considérant 51 demande que l’analyse de risques tienne compte des tentatives de tiers non autorisés de modifier l’usage, le comportement ou les performances du système, « y compris les vulnérabilités propres à l’IA telles que l’empoisonnement des données ou les attaques adversaires ».

Un produit dont une fonction repose sur un modèle relève donc du même article 14 que n’importe quel micrologiciel. Où passe la frontière, nous ne savons pas le dire : aucune orientation publiée ne précise à ce jour si une injection d’invite exploitée sur un assistant embarqué constitue une « vulnérabilité activement exploitée ». En cas de doute, l’article 15 ouvre le signalement volontaire, sans obligation supplémentaire pour qui l’utilise.

Ce que vous risquez, et à partir de quand

L’article 64, paragraphe 2, prévoit jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial pour un manquement à l’article 14. Ce plafond fait le tour des conférences depuis deux ans. Sauf que l’article 64 relève, lui, du régime applicable au 11 décembre 2027 : l’obligation court dès vendredi, l’amende non. Quinze mois de devoir sans bâton, mais des signalements horodatés, et un historique se relit.

Le paragraphe 10, point a), exempte d’amende les micro et petites entreprises pour le seul dépassement des 24 heures. Sa rédaction est bancale : il déroge aux paragraphes 3 à 9, alors que les amendes visant l’article 14 figurent au paragraphe 2. L’intention se lit, la portée exacte moins.

Trois jours, quatre décisions

Répondez d’abord par écrit, avec la date : sommes-nous fabricant au sens de l’article 3, point 13 ? Beaucoup d’entreprises qui se posent sincèrement la question répondent non. Celles qui répondent oui ont trois choses à poser. Une personne joignable et son suppléant, parce que vingt-quatre heures ne se négocient pas un samedi. Ce qui déclenche un signalement et qui décide de l’envoyer, sans quoi l’alerte remonte le vendredi et part le mardi. Le point d’entrée sur la plateforme, vérifié dès l’ouverture.

Cet arbitrage relève de la direction, pas du prestataire informatique. C’est l’objet de notre formation Sûreté & cybersécurité des PME/TPE : établir son premier plan d’actions. Précision constante : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Le vrai test n’aura pas lieu vendredi, mais le premier soir où un client signalera qu’un de vos produits fait quelque chose d’anormal, et où quelqu’un devra décider, dans l’heure, si le chronomètre tourne.

Sources

• Règlement (UE) 2024/2847 du 23 octobre 2024, texte publié au Journal officiel de l’Union européenne (EUR-Lex) : articles 3 (points 13 et 42), 12, 14, 15, 16, 64, 69 et 71 ; considérants 12 et 51. Versions française et anglaise consultées.
• ANSSI, « Questions fréquentes sur le CRA », cyber.gouv.fr, consulté le 8 septembre 2026 : mise en ligne de la plateforme unique de signalement le 11 septembre 2026, rôle du CERT-FR comme CSIRT coordinateur.
• Commission européenne, « Cyber Resilience Act — Reporting obligations », digital-strategy.ec.europa.eu, consulté le 8 septembre 2026.
• Next, « Cyber Resilience Act : les obligations de signalement entrent en vigueur le 11 septembre », 2026 (article à l’origine de notre vérification).