Chaque article sur le règlement sur la cyberrésilience, règlement (UE) 2024/2847, les nôtres compris, dit aux fabricants ce qu'ils doivent avoir en place. Il est juste d'exiger la même chose de la machinerie sur laquelle le règlement repose : les organismes qui certifient, les normes qui donnent une présomption de conformité, les autorités qui appliquent, les CSIRT qui reçoivent les notifications. Nous avons lu les registres de la Commission le jour où la première obligation s'est appliquée et le lendemain. Voici ce qu'ils contenaient.

Organismes notifiés : aucun

L'article 32 envoie les produits importants et critiques vers un organisme notifié pour l'examen UE de type ou l'assurance qualité complète, sauf application intégrale d'une norme harmonisée. Les organismes notifiés sont désignés par les autorités notifiantes des États membres et listés dans la base NANDO de la Commission, aujourd'hui intégrée au Single Market Compliance Space.

Le 12 septembre 2026, la liste des organismes notifiés au titre du règlement (UE) 2024/2847 avec une notification active renvoyait zéro résultat. Le règlement figure sur la liste des législations pour lesquelles un organisme peut être notifié, et treize États membres ont enregistré une autorité notifiante qui pourrait en notifier un. Aucune ne l'a fait.

Pour un fabricant d'un produit de classe I, de classe II ou critique, cela signifie qu'il n'y a pour l'instant personne à qui adresser une demande. L'objectif propre de la Commission, réaffirmé dans ses orientations de 2026, est une capacité d'organismes notifiés pour décembre 2026 ; l'obligation d'en avoir utilisé un tombe le 11 décembre 2027.

Normes harmonisées : aucune publiée

L'article 27 accorde une présomption de conformité aux produits qui appliquent des normes harmonisées dont les références sont publiées au Journal officiel. L'article 32, paragraphe 2, fait de ces normes la condition pour qu'un produit de classe I s'auto-évalue.

En septembre 2026, aucune norme harmonisée au titre du CRA n'a été publiée au Journal officiel. L'amendement de juillet 2026 de la Commission à la demande de normalisation a reporté les deux normes horizontales de base à un objectif du 31 octobre 2026, les normes verticales au 31 décembre 2026 et les autres normes horizontales à octobre 2027, environ un an avant l'application complète. Jusqu'à publication, l'annexe VII, point 5, se remplit en décrivant les solutions adoptées, exigence par exigence, et un produit de classe I n'a pas de voie d'auto-évaluation.

Autorités d'application : sept sur 27

L'article 52, paragraphe 2, impose à chaque État membre de désigner une autorité de surveillance du marché et de l'enregistrer auprès de la Commission. Le 11 septembre 2026, sept l'avaient fait : Belgique, Chypre, Finlande, France, Allemagne, Lettonie et Slovaquie. Treize avaient enregistré une autorité notifiante. Douze n'avaient enregistré ni l'une ni l'autre. Le registre, État par État.

CSIRT coordinateurs : listés la veille

L'article 14 envoie les notifications au CSIRT désigné comme coordinateur au titre de l'article 12(1) de NIS2. L'ENISA a publié la liste des coordinateurs désignés le 10 septembre, la veille de l'entrée en application de l'obligation, et dans deux des 27 États le coordinateur n'est pas le CSIRT national que répertorie le réseau des CSIRT : en Tchéquie c'est le NÚKIB, en Croatie le NCSC-HR. La liste, État par État. La plateforme unique de notification demande au déclarant de choisir le coordinateur dans une liste déroulante, et l'ENISA indique qu'une notification déposée auprès du mauvais peut être invalidée.

La plateforme : ouverte

L'ENISA a mis en service la capacité opérationnelle initiale de la plateforme unique de notification le 11 septembre 2026, le jour où l'article 14 s'est appliqué. Elle fonctionne avec EU Login et l'authentification à deux facteurs, qui peut être mise en place avant d'en avoir besoin ; l'ENISA demande aux fabricants de ne s'inscrire sur la plateforme elle-même que lorsqu'ils ont une notification à déposer. Elle est en anglais seulement et n'a pas d'API. C'est la seule pièce de la machinerie qui était prête le jour même, et son fonctionnement, champ par champ, fait l'objet d'un article distinct.

Ce que cela signifie pour un fabricant

Un produit par défaut n'est pas concerné. L'auto-évaluation selon le module A de l'annexe VIII n'a besoin ni d'un organisme notifié ni d'une norme harmonisée ; les 22 exigences sont satisfaites et documentées sous la seule responsabilité du fabricant, et les douze étapes peuvent être achevées aujourd'hui.

Un produit de classe I n'a pas encore de voie, et cela vaut la peine de l'écrire. L'article 32, paragraphe 2, exige soit l'application intégrale d'une norme harmonisée, soit un organisme notifié ; ni l'un ni l'autre n'existe. L'enregistrement honnête pour un tel produit en septembre 2026 est un dossier construit au regard de l'annexe I avec les solutions décrites, une note indiquant que la norme et l'organisme sont attendus, et une vérification chaque mois. Quand le premier organisme sera notifié, sa file d'attente sera la contrainte, ce qui est une raison d'avoir le dossier prêt avant qu'il soit possible de le soumettre.

L'obligation de notification est pleinement en vigueur. Aucune des lacunes ci-dessus ne touche l'article 14. La plateforme est ouverte, les CSIRT existent, et les horloges tournent.

Nous tenons les chiffres ci-dessus sous une revérification à trente jours et mettrons cette page à jour quand ils bougeront ; la date en tête est celle à laquelle ils ont été lus.

Sources

  • Règlement (UE) 2024/2847, articles 14, 27, 32, paragraphes 1 à 4, 36, 52, paragraphe 2, 71, paragraphe 2 ; annexe VIII.
  • Le Single Market Compliance Space de la Commission : organismes notifiés au titre du règlement (UE) 2024/2847 avec statut actif (zéro le 12 septembre 2026) ; autorités de surveillance du marché et autorités notifiantes filtrées sur le CRA (7 et 13 le 11 septembre 2026).
  • L'amendement de juillet 2026 de la Commission à la demande de normalisation CRA, pour le calendrier des normes harmonisées ; le Journal officiel, pour l'absence de références publiées.
  • ENISA, « The CRA Single Reporting Platform is launched », communiqué du 11 septembre 2026.

Ceci n'est pas un avis juridique, et ce sont des décomptes lus à une date ; les registres sont publics, donc les chiffres actuels sont à un clic.