Calendrier du CRA : les dates du Cyber Resilience Act, de 2026 à 2027
Le Cyber Resilience Act n’arrive pas d’un seul coup. Le signalement s’applique déjà ; les exigences sur les produits suivent en décembre 2027. Voici les dates, ce que chacune change, et ce qu’il faut avoir prêt.
Les dates
- 10 décembre 2024 : entrée en vigueur du règlement.
- 11 juin 2026 : les règles sur la notification des organismes d’évaluation de la conformité (chapitre IV) s’appliquent.
- 11 septembre 2026 : le signalement de l’article 14 s’applique : vulnérabilités activement exploitées et incidents graves, via la plateforme unique de signalement de l’ENISA. Il couvre tous les produits sur le marché, y compris ceux mis sur le marché avant.
- 11 décembre 2027 : tout le reste s’applique : les exigences essentielles de l’annexe I, la documentation technique, l’évaluation de la conformité, la déclaration UE de conformité et le marquage CE.
Les produits déjà sur le marché
Un produit mis sur le marché avant le 11 décembre 2027 ne doit respecter toutes les exigences que s’il fait l’objet d’une modification substantielle après cette date (article 69). Le signalement, lui, est différent : l’article 14 s’applique déjà.
Ce qu’il faut avoir prêt
- Dès maintenant : une façon de qualifier un événement, de noter quand vous en avez pris connaissance et d’envoyer l’alerte précoce en 24 heures, avec des personnes inscrites sur la plateforme de l’ENISA. Notre guide pour signaler une vulnérabilité activement exploitée détaille chaque étape.
- Avant décembre 2027 : un SBOM pour chaque version, une période de support décidée et annoncée pour chaque produit, une politique de divulgation coordonnée des vulnérabilités, et la documentation technique.
Les amendes pour manquement aux exigences essentielles et aux obligations des articles 13 et 14 peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Les micro et petites entreprises ne sont pas sanctionnées pour le seul retard de l’alerte précoce en 24 heures (considérant 120).
Clearlane CRA couvre le signalement dès aujourd’hui, et garde produits, versions, périodes de support et SBOM dans Jira pour 2027.
Source : règlement (UE) 2024/2847, articles 14, 64, 69 et 71. Vérifié le 16 octobre 2026.