CRA ou NIS2 : quel signalement d’incident s’applique à vous ?
Les deux textes demandent une alerte précoce en 24 heures et une notification en 72 heures, alors on les confond facilement. Ils ne visent pas la même chose, ne vont pas au même endroit, et peuvent s’appliquer tous les deux à la même entreprise. Voici comment les distinguer.
Le Cyber Resilience Act : votre produit
- Qui : les fabricants de produits comportant des éléments numériques vendus dans l’UE.
- Quoi : une vulnérabilité activement exploitée dans le produit, ou un incident grave qui touche sa sécurité.
- Où : un seul dépôt sur la plateforme unique de signalement de l’ENISA, qui parvient au CSIRT coordinateur et à l’ENISA.
- Quand : alerte précoce en 24 heures, notification en 72 heures, rapport final 14 jours après la mise à disposition d’un correctif (un mois après la notification pour un incident).
- Depuis : le 11 septembre 2026, pour tous les produits sur le marché, y compris ceux mis sur le marché avant.
NIS2 : le service que vous assurez
- Qui : les entités essentielles et importantes des secteurs listés par la directive NIS2, surtout des moyennes et grandes organisations, et certaines quelle que soit leur taille.
- Quoi : un incident important qui touche les services que vous fournissez.
- Où : votre CSIRT national ou votre autorité compétente.
- Quand : alerte précoce en 24 heures, notification en 72 heures, rapport final au plus tard un mois après la notification (article 23).
Quand les deux s’appliquent
Un éditeur qui assure aussi un service couvert par NIS2, par exemple un service géré ou un service cloud, peut être concerné par les deux à la fois : la faille exploitée est dans son produit (CRA) et elle perturbe son propre service (NIS2). Les deux signalements sont distincts, sur des canaux distincts, même s’ils décrivent le même événement. Un logiciel vendu uniquement en tant que service sort du champ du CRA, sauf si le traitement à distance fait partie d’un produit.
Si des données personnelles sont touchées, le RGPD ajoute une troisième horloge : 72 heures pour notifier l’autorité de protection des données.
Un test simple
Posez deux questions pour chaque événement. Le problème est-il dans quelque chose que nous vendons ? Alors regardez le CRA. Perturbe-t-il un service que nous assurons en tant qu’entité NIS2 ? Alors regardez NIS2. Notez les deux réponses, et le moment où vous les avez données : les délais partent de la prise de connaissance.
Côté CRA, Clearlane CRA fait tourner les trois délais de l’article 14 sur le ticket Jira et prépare chaque champ de l’ENISA. Voir aussi comment signaler une vulnérabilité activement exploitée.
Sources : règlement (UE) 2024/2847, articles 14 et 69 ; directive (UE) 2022/2555, article 23. Vérifié le 16 octobre 2026. Ce guide donne une information générale, pas un conseil juridique.