Qu’est-ce qui a changé ?
L’article 14 du règlement sur la cyberrésilience, le règlement (UE) 2024/2847, s’applique depuis le 11 septembre 2026. Les fabricants de produits comportant des éléments numériques doivent notifier toute vulnérabilité activement exploitée et tout incident grave ayant une incidence sur la sécurité du produit dont ils ont connaissance, simultanément au CSIRT désigné comme coordinateur et à l’ENISA, via la plateforme unique de signalement.
La notification se fait par étapes : une alerte précoce dans les 24 heures suivant la prise de connaissance, puis une notification détaillée dans les 72 heures. Pour les vulnérabilités activement exploitées, un rapport final est dû au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation.
Quels produits sont concernés ?
L’obligation de signalement s’applique à tous les produits comportant des éléments numériques relevant du règlement, y compris ceux mis sur le marché avant le 11 décembre 2027. Les exigences essentielles de cybersécurité et les règles d’évaluation de la conformité s’appliqueront intégralement à partir du 11 décembre 2027 ; le chapitre consacré aux organismes d’évaluation de la conformité s’applique depuis le 11 juin 2026.
Que doivent faire les fabricants dès maintenant ?
Recensez les produits connectés ou intégrant un logiciel dans votre gamme, définissez qui signale les vulnérabilités et les incidents et dans quels délais, et mettez en place un processus de conservation des enregistrements. Lancer dès maintenant l’analyse de risques produit par produit et la documentation technique pour 2027 évite l’engorgement des derniers mois.
Évaluons ensemble le champ CRA de votre produit et les étapes de préparation : Découvrir notre service de cybersécurité
