Cyber Resilience Act : tous les outils et articles
Quelque chose s'est produit. Quand en avez-vous eu connaissance ?
- À qui cela s'applique
- Un fabricant qui a pris connaissance d'une vulnérabilité activement exploitée ou d'un incident grave dans un produit qu'il met sur le marché de l'UE.
- Les dates
- Une alerte précoce dans les 24 heures, une notification dans les 72 heures, et un rapport final dans les 14 jours suivant la disponibilité d'une mesure corrective ou d'atténuation.
- La seule chose à faire
- Entrez le moment de votre prise de connaissance : cette page calcule les trois échéances dans votre fuseau horaire et nomme le CSIRT destinataire.
24h
Alerte précoce
la date de prise de connaissance n'a pas été enregistrée.
72h
Notification de la vulnérabilité
la date de prise de connaissance n'a pas été enregistrée.
14jours
Rapport final
pas d'échéance tant qu'une mesure correctrice n'est pas disponible.
Vos délais de notification CRA
À partir du 11 septembre 2026, prendre connaissance d'une vulnérabilité activement exploitée dans un produit que vous mettez sur le marché de l'UE déclenche un compte à rebours de 24 heures. Cette page calcule les trois échéances, y compris celle que la plupart des articles se trompent à décrire.
Les trois horloges n'ont pas le même point de départ
Les délais de 24 et de 72 heures courent tous deux à partir du moment où vous avez pris connaissance. Le rapport final, non. Pour une vulnérabilité, il court 14 jours à compter de la disponibilité d'une mesure correctrice ou d'atténuation, une date qui n'existe peut-être pas encore : une solution de contournement documentée le déclenche, pas seulement un correctif. Pour un incident, il court un mois à compter de la notification à 72 heures, il n'existe donc pas avant le dépôt de cette notification. Lorsqu'il n'y a pas de date, cette page indique quel point de départ manque plutôt que d'afficher un chiffre.
Déclenche les horloges de 24 et de 72 heures.
Alerte précoce
Art. 14(2)(a)
la date de prise de connaissance n'a pas été enregistrée.
24 heures à compter de la prise de connaissance
Notification de la vulnérabilité
Art. 14(2)(b)
la date de prise de connaissance n'a pas été enregistrée.
72 heures à compter de la prise de connaissance
Rapport final
Art. 14(2)(c)
pas d'échéance tant qu'une mesure correctrice n'est pas disponible.
14 jours après la disponibilité d'une mesure correctrice ou d'atténuation
Saisissez le moment de la prise de connaissance pour lancer les horloges.
À qui cela s'applique
Aux fabricants de produits comportant des éléments numériques mis sur le marché de l'UE, et aux gestionnaires de logiciels libres. Il n'y a ni seuil de taille ni exemption pour les PME nulle part dans le CRA, et l'article 69, paragraphe 3, étend l'obligation de notification aux produits déjà sur le marché avant la pleine application du règlement en décembre 2027.
Le considérant 12 place les modèles de services en nuage, y compris le logiciel en tant que service, hors du CRA et dans NIS2, si bien qu'un grand nombre d'éditeurs de logiciels sont entièrement hors champ. Cette détermination dépend de ce que vous mettez réellement sur le marché, et c'est à vous de la faire et de la consigner. Nous ne la ferons pas à votre place sur une page marketing.
Votre produit est-il concerné ? Six questions, une détermination écriteL'obligation s'applique. Cinq choses à avoir en place dès aujourd'hui
Aucune ne prend longtemps. Toutes sont impossibles à bien faire dans la première heure d'un incident, c'est-à-dire au moment où une entreprise qui ne les a pas découvre qu'elle en avait besoin.
- 1Décidez si vous êtes dans le champ d'application, et consignez la décision. Les logiciels que l'on installe ou télécharge, les applications mobiles et de bureau, les bibliothèques et les appareils sont dedans. Le pur logiciel en tant que service est dehors. Le traitement à distance sans lequel un produit ne peut pas fonctionner est de nouveau dedans. Une détermination consignée est ce que vous montrez si quelqu'un demande pourquoi vous avez notifié ou non.
- 2Trouvez votre CSIRT. Les notifications vont au CSIRT désigné comme coordinateur dans l'État membre de votre établissement principal. Si votre établissement principal est hors de l'UE, l'article 14 retient l'État membre de votre mandataire, puis de votre plus grand importateur, puis de votre plus grand distributeur, puis celui où se trouvent la majorité de vos utilisateurs. Les coordinateurs sont listés ci-dessous.
- 3Donnez à la personne qui notifiera un EU Login avec authentification à deux facteurs. La plateforme unique de notification de l'ENISA exige un compte EU Login personnel avec l'authentification multifacteur activée. C'est une tâche de dix minutes un jour calme, et très longue à la vingt-troisième heure.
- 4Nommez cette personne, et un suppléant. L'horloge de 24 heures ne s'arrête pas pour les congés annuels.
- 5Convenez de ce que "prendre connaissance" signifie pour vous. Ce moment déclenche l'horloge, et une équipe qui n'a pas décidé si un e-mail client, une alerte de scanner ou un exploit confirmé constitue le déclencheur en débattra pendant que les heures s'écoulent.
Où vont les notifications
Au CSIRT désigné comme coordinateur pour votre établissement principal, et à l'ENISA, l'un et l'autre via la plateforme unique de notification de l'ENISA, ouverte le 11 septembre 2026, le jour même où l'obligation a commencé, et qui, selon la FAQ de l'ENISA lue le 21 septembre 2026, est disponible en anglais seulement, sans API, et exige un EU Login personnel avec authentification multifacteur. Rien sur cette page ne dépose quoi que ce soit ; elle vous dit quand vous devriez le faire. La plateforme est à l'adresse portal.cra-srp.enisa.europa.eu FAQ de l'ENISA
Le tableau est la liste des CSIRT désignés comme coordinateurs telle que l'ENISA l'a publiée le 10 septembre 2026, la veille de l'ouverture de la plateforme, relevée le 12 septembre 2026 ; le lien est la première page de contact que l'ENISA donne pour chaque État. Dans la plupart des États, c'est le CSIRT national que l'État a désigné au réseau des CSIRT de l'UE. C'est un organisme différent en Croatie (NCSC-HR), Tchéquie (NÚKIB). L'ENISA indique qu'une notification déposée auprès du mauvais coordinateur peut être invalidée et devoir être déposée à nouveau ; la ligne de votre établissement principal est donc celle à inscrire dans votre procédure d'incident. Liste de l'ENISA.
| État membre | CSIRT désigné comme coordinateur | Page de contact |
|---|---|---|
| Autriche | CERT.at · Computer Emergency Response Team Austria | www.cert.at |
| Belgique | CCB · Centre for Cybersecurity Belgium | ccb.belgium.be |
| Bulgarie | CERT Bulgaria · CERT Bulgaria | www.govcert.bg |
| Croatie | NCSC-HR · National Cyber Security Centre of Croatia | ncsc.hr |
| Chypre | CSIRT-CY · National CSIRT-CY | www.csirt.cy |
| Tchéquie | NÚKIB · National Cyber and Information Security Agency | nukib.gov.cz |
| Danemark | FE DDIS · Danish Defence Intelligence Service, formerly CFCS | www.fe-ddis.dk |
| Estonie | CERT-EE · CERT Estonia | www.ria.ee |
| Finlande | NCSC-FI · National Cyber Security Centre Finland | www.kyberturvallisuuskeskus.fi |
| France | CERT-FR · CERT-FR | www.cert.ssi.gouv.fr |
| Allemagne | CERT-Bund · CERT-Bund at the BSI | www.bsi.bund.de |
| Grèce | EL-CSIRT · National Cyber Security Authority CSIRT | cyber.gov.gr |
| Hongrie | NCSC Hungary · National Cyber Security Center of Hungary | ncsc.gov.hu |
| Irlande | CSIRT-IE · National Cyber Security Centre Ireland | www.ncsc.gov.ie |
| Italie | CSIRT Italia · Computer Security Incident Response Team Italia | www.acn.gov.it |
| Lettonie | CERT.LV · Information Technologies Security Incident Response Institution | cert.lv |
| Lituanie | CERT-LT · National CERT of Lithuania | www.nksc.lt |
| Luxembourg | CIRCL · Computer Incident Response Center Luxembourg | www.circl.lu |
| Malte | MT-CSIRT · MT-CSIRT | www.mita.gov.mt |
| Pays-Bas | NCSC-NL · Nationaal Cyber Security Centrum | www.ncsc.nl |
| Pologne | CERT Polska · CERT Polska | cert.pl |
| Portugal | CERT.PT · CERT.PT at the CNCS | www.cncs.gov.pt |
| Roumanie | DNSC · Romanian National Cyber Security Directorate | www.dnsc.ro |
| Slovaquie | SK-CERT · SK-CERT | www.sk-cert.sk |
| Slovénie | SI-CERT · Slovenian Computer Emergency Response Team | www.cert.si |
| Espagne | INCIBE-CERT · INCIBE-CERT | www.incibe.es |
| Suède | CERT-SE · CERT-SE | cert.se |
Qui l'applique, État membre par État membre
Les amendes sont infligées au niveau national par l'autorité de surveillance du marché que chaque État membre désigne au titre de l'article 52 et enregistre auprès de la Commission. Le 13 octobre 2026, 7 États sur 27 en avaient enregistré une. Les autres apparaissent comme non enregistrés : c'est l'état du registre de la Commission ce jour-là, pas une affirmation que l'État n'a pas de plan. Les noms sont reproduits tels qu'enregistrés.
| État membre | Autorité de surveillance du marché (art. 52) | Autorité notifiante (art. 36) |
|---|---|---|
| Autriche | non enregistrée | non enregistrée |
| Belgique | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarie | non enregistrée | non enregistrée |
| Croatie | non enregistrée | Information Systems Security Bureau |
| Chypre | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tchéquie | non enregistrée | non enregistrée |
| Danemark | non enregistrée | non enregistrée |
| Estonie | non enregistrée | Consumer Protection and Technical Regulatory Authority |
| Finlande | Finnish Transport and Communications Agency (Traficom) | National Cyber Security Centre, Finnish Transport and Communications Agency Traficom |
| France | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Allemagne | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Grèce | non enregistrée | non enregistrée |
| Hongrie | non enregistrée | Supervisory Authority for Regulatory Affairs |
| Irlande | non enregistrée | National Cyber Security Centre |
| Italie | non enregistrée | non enregistrée |
| Lettonie | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | non enregistrée |
| Lituanie | non enregistrée | Ministry of National Defence of the Republic of Lithuania |
| Luxembourg | non enregistrée | non enregistrée |
| Malte | non enregistrée | Malta Digital Innovation Authority |
| Pays-Bas | non enregistrée | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Pologne | non enregistrée | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | non enregistrée | non enregistrée |
| Roumanie | non enregistrée | non enregistrée |
| Slovaquie | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slovénie | non enregistrée | non enregistrée |
| Espagne | non enregistrée | non enregistrée |
| Suède | non enregistrée | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Ensuite : les délais à partir du moment de la connaissance, et la notification rédigée.
7 jours gratuits, sans carte.
Ou le CRA Readiness Toolkit, 199 €, fichiers par e-mail
Ou le faire avec vous : Préparation au CRA, 1 500 €, 10 jours ouvrés
D'ici décembre 2027, il vous faut aussi la documentation technique
L'article 13, paragraphe 12, exige une documentation technique pour chaque produit comportant des éléments numériques avant sa mise sur le marché, conservée au moins dix ans ou pendant la période de support, la plus longue des deux prévalant, avec le contenu qu'énumère l'annexe VII. Achetez-la pour un produit et elle est rédigée dans votre organisation dès le paiement.
La documentation technique, 2 000 € en une foisSi vous revendez plutôt que de fabriquer, les articles 19 à 21 vous concernent quand même
Un importateur vérifie que le fabricant a fait sa part avant la mise sur le marché du produit. Un distributeur vérifie le marquage CE et la conformité du fabricant et de l'importateur. Apposez votre propre marque sur un produit et l'article 21 fait de vous son fabricant.
Obligations des importateurs et distributeurs, 1 200 €Ce que vaut réellement une notification manquée
L'article 14 se situe dans le niveau de sanction le plus élevé du CRA, aux côtés des exigences de sécurité de l'annexe I : jusqu'à 15 000 000 EUR ou 2,5 % du chiffre d'affaires annuel mondial. Il y a trois niveaux, ce sont les autorités nationales qui les appliquent, et le règlement nomme deux fois les petits fabricants.
Les trois niveaux de sanction, et qui les appliqueLes questions que cette page soulève, traitées en détail
Le règlement sur la cyberrésilience pour un petit fabricant de logiciels, en douze étapes
Tout ce qu'une entreprise de dix personnes qui livre un logiciel installé ou un appareil doit faire au titre du CRA, dans l'ordre où le faire : la détermination du champ d'application, le palier, le CSIRT et l'autorité d'application, la procédure de notification en vigueur depuis le 11 septembre 2026, puis le dossier technique, les 22 exigences, la SBOM, la période d'assistance, le marquage CE et la déclaration dus pour le 11 décembre 2027.
À quel CSIRT notifier au titre du CRA ? Au coordinateur de votre établissement principal, les 27 nommés
L'article 14 adresse la notification au CSIRT désigné comme coordinateur par l'État membre de votre établissement principal ; l'ENISA a publié les 27 le 10 septembre 2026.
Déposer une notification CRA sur la plateforme de l'ENISA : un EU Login personnel, un coordinateur, trois onglets, pas d'API
portal.cra-srp.enisa.europa.eu a ouvert le 11 septembre 2026.
Quand démarre l'horloge de 24 heures du CRA ? À un degré raisonnable de certitude après une évaluation initiale rapide, selon les orientations de la Commission
L'article 14 compte 24 et 72 heures à partir de la « prise de connaissance » sans jamais la définir.
Le délai du rapport final du CRA ne part pas du moment où vous avez connaissance
La plupart des présentations de l'article 14 du règlement sur la cyberrésilience donnent trois délais depuis un seul point de départ : 24 heures, 72 heures, 14 jours.
Votre produit entre-t-il dans le champ du règlement sur la cyberrésilience ? Où se situe le SaaS
La question la plus posée sur le CRA n'est pas comment notifier, c'est si le règlement s'applique à vous.
Quand un logiciel est-il « mis sur le marché » au sens du CRA, et lequel de vos builds est un produit ? La règle des orientations pour les logiciels autonomes
Tout, dans le CRA, tient à une date et à un nom : la date à laquelle un produit est mis sur le marché, et la question de savoir si ce que vous livrez est un produit.
Quelles parties de votre backend sont dans le CRA ? Le traitement de données à distance, d'après les orientations de la Commission
Un produit comportant des éléments numériques inclut ses solutions de traitement de données à distance, et le règlement les définit en une phrase.
Qui applique le règlement sur la cyberrésilience dans votre État membre ? 7 sur 27 l'ont dit
Le CRA est appliqué au niveau national, par une autorité de surveillance du marché que chaque État membre désigne et enregistre auprès de la Commission.
Votre produit est-il important ou critique au sens du CRA ? Par défaut, sauf s'il relève de l'une des 19, 4 ou 3 catégories des annexes III et IV
Dans le champ du CRA, un produit est par défaut, important de classe I (19 catégories), important de classe II (4) ou critique (3), et le niveau décide si vous vous auto-évaluez ou s'il vous faut un organisme notifié au titre de l'article 32.
Par défaut, important ou critique : les 26 descriptions techniques du règlement d'exécution 2025/2392, et le test de la fonctionnalité de base
Les annexes III et IV du CRA nomment 26 catégories de produits en une ligne chacune.
CRA annexe 1 : les 22 exigences essentielles en liste de contrôle, 14 exigences produit et 8 de gestion des vulnérabilités
Ce que votre produit doit respecter à partir du 11 décembre 2027 et que le dossier technique doit montrer : partie I, 14 exigences produit, dont 13 « le cas échéant » sur la base de votre évaluation des risques ; partie II, 8 exigences de gestion des vulnérabilités qui s'appliquent toujours.
Ce que contient le dossier technique du CRA : l'annexe VII, point par point
À partir du 11 décembre 2027, tout produit comportant des éléments numériques mis sur le marché de l'UE a besoin d'une documentation technique avant sa mise sur le marché, conservée dix ans ou pendant la période d'assistance, la plus longue des deux.
Le CRA exige-t-il une SBOM ? Oui, et voici exactement ce qu'il dit
L'annexe I, partie II, point 1 du règlement sur la cyberrésilience exige une nomenclature logicielle dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau.
Ce que le CRA vous demande pour vos dépendances : diligence raisonnable, signalement en amont et vulnérabilités exploitables connues, d'après les orientations de la Commission
Un produit logiciel est surtout fait du code des autres.
CRA ou NIS2 : lequel s'applique à une société de logiciels, et peut-on être sous les deux ?
Le règlement sur la cyberrésilience régit les produits mis sur le marché ; NIS2 régit les entités qui fournissent des services.
NIS2 ou CRA : quelle horloge d'incident court pour un éditeur de logiciels, et ce qui rend un incident « important »
Les deux textes vous donnent 24 heures, 72 heures et un mois, et les deux font partir l'horloge du moment où vous « avez connaissance ».
Un logiciel doit-il porter le marquage CE au titre du CRA ? Oui, et l'article 30 dit où il va
À partir du 11 décembre 2027, un marquage CE est exigé sur tout produit comportant des éléments numériques mis sur le marché de l'UE, logiciel compris.
La déclaration UE de conformité au titre du CRA : l'annexe V point par point, la forme simplifiée et un exemple rempli
L'article 28 impose au fabricant d'établir une déclaration UE de conformité avant la mise sur le marché, selon le modèle de l'annexe V, et l'article 28(4) fait de sa signature l'acte par lequel le fabricant assume la responsabilité du produit.
L'auto-évaluation au titre du CRA : ce que le module A exige vraiment, d'après l'annexe VIII et la FAQ de la Commission
La plupart des produits logiciels ne verront jamais un organisme notifié.
Normes harmonisées pour le CRA : aucune citée encore, 41 demandées, les deux premières étaient dues le 30 août 2026
La demande M/606 du 3 février 2025 commande au CEN, au CENELEC et à l'ETSI 41 normes : deux horizontales pour le 30 août 2026, les verticales pour les produits des annexes III et IV pour le 30 octobre 2026, les exigences génériques pour le 30 octobre 2027.
Combien de temps dure la période de support du CRA ? Au moins cinq ans, la date de fin indiquée à l'achat, chaque mise à jour conservée dix ans
Article 13, paragraphe 8, du Cyber Resilience Act : une période de support d'au moins cinq ans, ou la durée d'utilisation attendue si elle est plus courte ; sa date de fin, au moins le mois et l'année, indiquée au moment de l'achat ; chaque mise à jour de sécurité maintenue disponible dix ans ou le reste de la période ; le dossier technique, la déclaration et les informations utilisateur conservés dix ans après la mise sur le marché ou pendant la période de support.
Quelle mise à jour fait entrer votre logiciel existant dans le CRA ? Les modifications substantielles, d'après les orientations de la Commission
Un logiciel mis sur le marché avant le 11 décembre 2027 reste hors des obligations de conception et de conformité du CRA tant qu'il n'est pas substantiellement modifié.
Ce que vous devez notifier au titre du CRA : les deux déclencheurs, tels que le règlement les définit
L'article 14 a deux déclencheurs et les deux sont définis dans le texte.
Le CRA s'applique-t-il aux logiciels libres ? Trois cas, et le régime allégé des gestionnaires
Le règlement sur la cyberrésilience n'atteint les logiciels libres et ouverts que lorsqu'ils sont fournis dans le cadre d'une activité commerciale.
Votre projet open source est-il « commercial » au sens du CRA ? Les sept tests de la Commission, avec ses exemples
Le CRA n'atteint les logiciels libres et open source que lorsqu'ils sont fournis dans le cadre d'une activité commerciale, et le règlement laisse « commercial » à deux considérants.
Ce que le CRA demande aux importateurs et distributeurs, et quand il fait d'eux le fabricant
Si vous revendez des logiciels ou des appareils dans l'UE plutôt que de les construire, les articles 19 et 20 du règlement sur la cyberrésilience vous donnent une liste de vérification à dérouler avant la mise en vente, l'obligation de transmettre les vulnérabilités au fabricant, l'obligation d'informer les autorités des risques importants, et dix ans de conservation.
La machinerie CRA de l'UE elle-même, le jour où l'obligation a commencé : 0 organisme notifié, 0 norme harmonisée, 7 autorités d'application sur 27
Le règlement sur la cyberrésilience demande aux fabricants d'être prêts.
L'évaluation des risques de cybersécurité du CRA : ce que l'article 13 exige vraiment, et le seul résultat qu'elle doit produire
L'article 13, paragraphes 2 à 4, du règlement sur la cyberrésilience fait de l'évaluation des risques le document dont dépend toute autre obligation du CRA.
La politique de divulgation coordonnée des vulnérabilités exigée par le CRA : trois dispositions, et une politique d'une page qui y répond
L'annexe I, partie II, point 5 du règlement sur la cyberrésilience exige de tout fabricant dans le champ qu'il mette en place et applique une politique de divulgation coordonnée des vulnérabilités.
Le calcul présenté ici est la fonction même que le produit exécute, pas une copie écrite pour cette page, y compris le plafonnement au mois civil, si bien qu'une notification le 31 janvier a pour réponse le 28 février plutôt que de glisser en mars. Ceci n'est pas un avis juridique, et l'article 14 est assez court pour être lu vous-même : Règlement (UE) 2024/2847.