Calculateur des délais de l’article 14 du CRA
Article 14 : 24 heures pour l’alerte précoce, 72 heures pour la notification. Depuis le 11 septembre 2026, les fabricants signalent les vulnérabilités activement exploitées et les incidents graves à leur CSIRT coordinateur et à l’ENISA. Indiquez le moment où vous en avez eu connaissance : vous obtenez chaque échéance dans votre fuseau horaire.
| Rapport | À envoyer avant | Base |
|---|---|---|
| Alerte précoce | — | Art. 14(2)(a) et 14(4)(a) |
| Notification | — | Art. 14(2)(b) et 14(4)(b) |
| Rapport final | — | Art. 14(2)(c) : 14 jours après la mise à disposition d’un correctifArt. 14(4)(c) : un mois après la notification (ici : pour une notification envoyée à son échéance) |
Ce que contient chaque rapport
- Alerte précoce (24 heures). Le fait que la vulnérabilité est activement exploitée ou que l’incident a eu lieu et, si vous les connaissez, les États membres où le produit est mis à disposition. Pour un incident, s’il semble causé par un acte illicite ou malveillant.
- Notification (72 heures). Les informations générales sur le produit, la nature de l’exploitation ou de l’incident, les mesures correctives ou d’atténuation prises et celles que les utilisateurs peuvent prendre, et le degré de sensibilité des informations.
- Rapport final. La description de la vulnérabilité ou de l’incident, sa gravité et son impact, les informations disponibles sur un éventuel acteur malveillant, et le détail de la mise à jour de sécurité ou des autres mesures.
Vous informez aussi les utilisateurs concernés, et si besoin tous les utilisateurs, de la vulnérabilité ou de l’incident et des mesures qu’ils peuvent prendre (art. 14(8)). Les rapports passent par la plateforme unique de signalement gérée par l’ENISA.
Quand le délai commence
Chaque délai court à partir du moment où vous en avez connaissance : ni à partir du moment où le correctif est prêt, ni à partir du jour ouvré suivant. Notez ce moment quand il arrive, avec l’élément qui vous a alerté. C’est la première question qu’une autorité posera.
Cette page vous aide à planifier et à documenter ; ce n’est pas un conseil juridique. Vérifiez le texte officiel et les consignes de votre autorité. Source : règlement (UE) 2024/2847, article 14. À lire aussi : signaler une vulnérabilité activement exploitée et le calendrier du CRA.