Calendrier du CRA : les trois dates qui comptent

Le Cyber Resilience Act (CRA), ou règlement sur la cyberrésilience, entre en application en trois temps. Depuis le 11 septembre 2026, vous devez déjà signaler les failles activement exploitées dans vos produits, même ceux vendus avant cette date. Le 11 décembre 2027, toutes les autres obligations s’appliquent, dont le dossier technique et le marquage CE.

Toutes ces dates viennent de l’article 71, paragraphe 2, du règlement (UE) 2024/2847.

Les trois dates

Date	Ce qui s’applique	Pour vous, concrètement
11 juin 2026	Le chapitre IV (articles 35 à 51) : les règles pour les organismes d’évaluation de la conformité	Les organismes notifiés peuvent être désignés. Utile si votre produit doit passer par un tiers
11 septembre 2026	L’article 14 : le signalement des failles activement exploitées et des incidents graves	Vous devez pouvoir réagir en 24 heures, dès maintenant
11 décembre 2027	Tout le reste du règlement	Exigences de l’annexe I, dossier technique, déclaration UE de conformité, marquage CE

Depuis le 11 juin 2026 : les organismes notifiés

Un organisme notifié est un laboratoire ou un auditeur agréé par un État membre pour vérifier certains produits. Depuis le 11 juin 2026, les États peuvent les évaluer et les notifier à la Commission. En France, c’est l’ANSSI qui joue le rôle d’autorité notifiante ; notre page sur l’ANSSI et le CRA détaille qui fait quoi.

Pour la plupart des objets connectés, cette date ne change rien : le fabricant évalue lui-même son produit (module A). Elle compte si votre produit figure dans une catégorie « importante » de classe II ou « critique », ou en classe I sans norme harmonisée appliquée en entier. Comme aucune norme harmonisée CRA n’est encore publiée au Journal officiel, un produit de classe I passe pour l’instant par un tiers : un organisme notifié ou une certification européenne (article 32, paragraphe 2).

Depuis le 11 septembre 2026 : signaler

C’est la date que beaucoup de petites équipes ont manquée. L’article 14 s’applique depuis le 11 septembre 2026, et l’article 69, paragraphe 3, précise qu’il vaut aussi pour les produits mis sur le marché avant le 11 décembre 2027. Une caméra vendue en 2024 est donc concernée.

Si vous apprenez qu’une faille de votre produit est activement exploitée, vous envoyez une alerte précoce en 24 heures, une notification en 72 heures, puis un rapport final au plus tard 14 jours après la mise à disposition d’un correctif. Les envois passent par la plateforme unique de signalement de l’ENISA, l’agence européenne de cybersécurité, ouverte depuis le 11 septembre 2026 dans une version de base.

Le détail des délais, et la différence entre faille et incident grave, se trouvent dans notre guide du signalement.

Le 11 décembre 2027 : tout le reste

À cette date, un produit neuf ne peut être mis sur le marché de l’Union que s’il respecte les 22 exigences essentielles de l’annexe I, avec un dossier technique, une déclaration UE de conformité signée et le marquage CE.

Pour les produits déjà sur le marché avant cette date, la règle est plus douce : ils n’ont à respecter le règlement que s’ils font l’objet d’une modification substantielle à partir du 11 décembre 2027 (article 69, paragraphe 2). Une modification substantielle change la conformité aux exigences de l’annexe I, partie I, ou l’usage prévu du produit (article 3). Une simple mise à jour de sécurité n’en fait pas forcément partie, mais une nouvelle fonction réseau peut en être une. Le signalement, lui, reste dû pour tous.

Ce qui n’a pas de date ferme

Plusieurs pièces dépendent encore de textes à venir. Il vaut mieux le savoir avant de planifier :

• Aucune norme harmonisée CRA n’est citée au Journal officiel à ce jour. La série EN 40000 est en projet.
• La Commission peut fixer le format de la nomenclature des logiciels (SBOM) par acte d’exécution (article 13, paragraphe 24). Elle ne l’a pas encore fait. L’ENISA a publié un avis technique sur les SBOM, version 1.10, en octobre 2026.
• Le formulaire simplifié de documentation technique pour les micro et petites entreprises est prévu par l’article 33, paragraphe 5, sous forme d’acte d’exécution.
• La proposition « omnibus numérique » prévoit un point d’entrée unique pour les signalements, bâti sur la plateforme de l’ENISA. Elle n’est pas adoptée et ne repousse aucune date du CRA.

Ces sujets bougent. Nous mettons ce guide à jour quand un texte paraît au Journal officiel.

Un plan réaliste d’ici décembre 2027

Pour une équipe de 5 à 50 personnes, voici un ordre qui tient compte des dates :

1. Maintenant. Préparez la réponse en 24 heures : qui surveille, qui décide, qui envoie. Faites la liste des composants de chaque produit vendu, car vous ne pouvez pas savoir qu’une faille vous touche sans elle.
2. Début 2027. Vérifiez la classe de chaque produit avec notre test de classe. Si un tiers doit intervenir, contactez un organisme notifié tôt : la liste des organismes notifiés pour le CRA se remplit encore.
3. Courant 2027. Montez le dossier technique, fixez la durée de support, rédigez la politique de gestion des failles.
4. Avant le 11 décembre 2027. Signez la déclaration UE de conformité et apposez le marquage CE sur les nouveaux produits.

Ce que fait Proofsheet

Proofsheet est une application web qui couvre les deux échéances. Pour celle de 2027, vous envoyez votre firmware ou votre application. En quelques minutes, l’application génère la liste des composants (SBOM au format CycloneDX 1.5 et SPDX 2.3), les failles connues trouvées dans la base NVD et une carte des 22 points de l’annexe I, chacun marqué « prouvé », « partiel » ou « ouvert ». La formule à 249 € ajoute le dossier : index de la documentation de l’annexe VII, fiche de durée de support et modèles de politique.

Pour le signalement, Watchdog, un abonnement logiciel à 79 € par mois (bientôt disponible), réanalyse chaque version et vous envoie une alerte par e-mail quand un composant que vous utilisez figure sur la liste des failles exploitées de la CISA. Il génère le texte de l’alerte précoce, de la notification à 72 heures, du rapport final et du message aux utilisateurs. C’est vous qui l’envoyez sur la plateforme de l’ENISA.

C’est une preuve technique, pas un certificat juridique. Voir les tarifs, ou lisez les obligations des fabricants.