normakte / Obligation de signalement CRA

Obligation de signalement CRA : délais de l'article 14

L'obligation de signalement du CRA s'applique depuis le 11 septembre 2026. Deux voies de signalement, quatre délais, et une obligation envers les utilisateurs qui court séparément.

Nouveau : les signalements passent par la plateforme CRA de l'ENISA →

Le CRA pour tous les produits comportant des éléments numériques : vue d'ensemble →

Toutes les obligations du CRA pour les fabricants de machines

11.09.2026les obligations de signalement s'appliquent

24 h / 72 hdès la connaissance

14 jours / 1 moisrapport final

Étape 1

Que s'est-il produit ?

Ne sont pas à signaler les vulnérabilités trouvées de bonne foi, sans intention malveillante, à des fins de test, d'enquête, de correction ou de divulgation (considérant 68). Le signalement volontaire est prévu par l'art. 15 – vérifiez sur le site de l'ENISA si la plateforme les accepte déjà.

Étape 3

Votre échéancier

Et séparément : informer les utilisateurs

Dès la connaissance, le fabricant informe les utilisateurs concernés et, le cas échéant, tous les utilisateurs de la vulnérabilité ou de l'incident ainsi que des mesures d'atténuation et de correction qu'ils peuvent prendre — le cas échéant dans un format structuré et lisible par machine.

Ce n’est pas une partie de l'obligation de signalement aux autorités, mais une obligation propre avec son propre destinataire. Si le fabricant n'informe pas à temps, les CSIRT désignés peuvent informer eux-mêmes les utilisateurs.

Art. 14 § 8

Où va le signalement

Simultanément au CSIRT désigné comme coordinateur et à l'ENISA, via la plateforme unique de signalement de l'art. 16 — à savoir la CRA Single Reporting Platform de l'ENISA, en service depuis le 11 septembre 2026. Vous y choisissez le CSIRT coordinateur de l'État membre de votre établissement principal dans l'Union ; l'ENISA reçoit la notification en même temps. Inscrivez-vous à l'avance, pas pendant un incident.

L'établissement principal est l'État membre où les décisions relatives à la cybersécurité de vos produits sont principalement prises ; à défaut, l'État membre comptant le plus de salariés dans l'Union. Sans établissement dans l'Union, cet ordre s'applique :

État membre du mandataire ayant le plus de produits
État membre de l'importateur ayant le plus de produits
État membre du distributeur ayant le plus de produits
État membre comptant le plus d'utilisateurs

Le CSIRT premier destinataire peut en outre demander un rapport intermédiaire (art. 14 § 6).

Note pour le dossier

Pour votre documentation technique. Les délais sont déjà calculés, les contenus sont les mentions minimales de l'article.

Si quelque chose change, vous le saurez

La Commission précise les obligations de signalement par des actes délégués, et la liste des CSIRT désignés comme coordinateurs est tenue à jour. Nous vous écrivons si cela change.

Questions fréquentes sur l'obligation de signalement CRA

Qu'est-ce que l'obligation de signalement CRA ?

Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification sous 72 heures, puis un rapport final.

Qui doit signaler ?

Le fabricant, y compris pour les produits mis sur le marché avant le 11 décembre 2027. L'obligation couvre donc déjà les produits présents aujourd'hui sur le marché.

Où signaler ?

Via la CRA Single Reporting Platform de l'ENISA : le fabricant y choisit le CSIRT coordinateur de l'État membre de son établissement principal dans l'Union, et l'ENISA reçoit la notification en même temps.

Faut-il signaler chaque vulnérabilité ?

Non. Seules les vulnérabilités activement exploitées doivent être signalées. Les autres sont corrigées dans le cadre de la gestion des vulnérabilités ; l'art. 15 prévoit des signalements volontaires.

Le dossier CRA de votre produit

Registre, classification, SBOM, signalements avec délais et page cible pour les utilisateurs : un dossier d'essai gratuit jusqu'au 20.01.2027.

Créer un dossier d'essai Vérifier la classification

Obligation de signalement CRA : délais de l'article 14

Étape 1

Vulnérabilité activement exploitée

Incident grave

Étape 2

Étape 3

Et séparément : informer les utilisateurs

Où va le signalement

Note pour le dossier

Si quelque chose change, vous le saurez

Questions fréquentes sur l'obligation de signalement CRA

Le dossier CRA de votre produit