Calendrier du Cyber Resilience Act : toutes les dates

On résume souvent le Cyber Resilience Act à une date, le 11 décembre 2027. Elle compte, mais deux autres sont déjà passées : les règles sur les organismes d’évaluation de la conformité s’appliquent depuis le 11 juin 2026, et l’obligation de signaler les vulnérabilités exploitées et les incidents graves depuis le 11 septembre 2026. Voici tout le calendrier, avec ce que chaque date signifie pour un éditeur de logiciels ou un fabricant d’appareils.

Le calendrier en un coup d’œil

Date	Ce qui se passe
15 septembre 2022	La Commission européenne propose le règlement.
30 novembre 2023	Parlement et Conseil trouvent un accord politique.
12 mars 2024	Le Parlement européen adopte le texte.
10 octobre 2024	Le Conseil l’adopte.
20 novembre 2024	Le règlement (UE) 2024/2847 paraît au Journal officiel.
10 décembre 2024	Entrée en vigueur. Les périodes de transition commencent.
3 avril 2025	Le CEN, le CENELEC et l’ETSI acceptent la demande de normes harmonisées de la Commission (M/606).
1er décembre 2025	Publication des descriptions techniques des produits importants et critiques (règlement d’exécution (UE) 2025/2392, en vigueur le 21 décembre 2025).
11 juin 2026	Application des règles de notification des organismes d’évaluation de la conformité (chapitre IV).
27 juillet 2026	La Commission publie ses orientations sur l’application du CRA (article 26).
11 septembre 2026	Application des obligations de signalement (article 14). Ouverture de la plateforme unique de signalement de l’ENISA.
Fin 2026 et 2027	Remise des normes harmonisées, puis publication de leurs références au Journal officiel.
11 décembre 2027	Application complète du règlement.
11 juin 2028	Fin de validité des certificats délivrés au titre d’autres législations de l’UE pour les exigences de cybersécurité.

10 décembre 2024 : entrée en vigueur

Le CRA est devenu loi vingt jours après sa publication. Rien n’était exigé des fabricants ce jour-là : l’article 71 leur laisse 21 mois pour se préparer aux signalements et 36 mois pour tout le reste.

11 juin 2026 : les organismes notifiés

Les produits importants de classe II et les produits critiques doivent faire évaluer leur conformité par un tiers, et certains produits de classe I aussi. Depuis juin 2026, les États membres peuvent désigner et notifier ces organismes d’évaluation de la conformité, pour qu’ils soient prêts avant décembre 2027. Si votre produit en a besoin, c’est le moment de le trouver : les places seront rares.

11 septembre 2026 : les signalements commencent

C’est la date que l’on oublie le plus. Depuis le 11 septembre 2026, tout fabricant doit signaler aux autorités, par la plateforme unique de signalement de l’ENISA :

les vulnérabilités activement exploitées de ses produits, et
les incidents graves qui touchent leur sécurité,

avec une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final ensuite. L’obligation couvre tous les produits du champ déjà sur le marché de l’UE, pas seulement ceux mis sur le marché après 2027 (article 69, paragraphe 3). Notre guide sur l’horloge de 24 h, 72 h et 14 jours détaille chaque étape.

Deux nuances : d’après les orientations de la Commission, une exploitation dont vous aviez connaissance avant le 11 septembre 2026 n’a pas à être signalée après coup (si vous ne l’apprenez qu’après cette date, l’horloge démarre à ce moment) ; et les microentreprises et petites entreprises ne peuvent pas être sanctionnées d’une amende pour le seul dépassement du délai de 24 heures de l’alerte précoce (article 64, paragraphe 10). Les autres délais s’appliquent à elles comme aux autres.

Normes harmonisées : fin 2026 à 2027

Les exigences essentielles de l’annexe I sont écrites en termes de résultats. Les normes harmonisées diront comment les atteindre, et suivre une norme dont la référence est publiée au Journal officiel donne une présomption de conformité. Les organismes de normalisation en rédigent environ 41 : des normes horizontales pour tous les produits (développement sécurisé, gestion des vulnérabilités, exigences générales) et des normes verticales pour les catégories de produits importants et critiques.

Les premières échéances de remise à la Commission (août et octobre 2026) ont glissé, et la Commission a proposé de nouvelles dates. Fin octobre 2026, aucune norme harmonisée du CRA n’avait encore été publiée au Journal officiel. Ne les attendez pas : les obligations s’appliquent à leurs dates, normes ou pas, et des projets avancés comme le prEN 40000-1-3 sur la gestion des vulnérabilités sont déjà un bon guide.

C’est surtout important pour les produits de classe I : sans norme harmonisée publiée (ou spécification commune, ou schéma de certification), l’auto-évaluation ne leur est pas ouverte et il faut un organisme notifié (article 32, paragraphe 2), sauf pour les produits libres et open source dont la documentation technique est publique (article 32, paragraphe 5).

11 décembre 2027 : application complète

À partir de cette date, un produit comportant des éléments numériques mis sur le marché de l’UE doit :

respecter les exigences essentielles de l’annexe I (sécurité dès la conception, et gestion des vulnérabilités, dont un SBOM) ;
être accompagné de sa documentation technique (annexe VII) et d’une déclaration UE de conformité ;
porter le marquage CE ;
recevoir des mises à jour de sécurité pendant sa période d’assistance, en principe au moins cinq ans.

Les importateurs et distributeurs prennent leurs propres vérifications en charge, les intendants de logiciels ouverts leurs obligations allégées, et les États membres appliquent leurs règles de sanctions. Les amendes vont jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial pour les manquements aux exigences essentielles et aux obligations du fabricant.

Les produits déjà sur le marché avant cette date n’ont pas à être mis en conformité, sauf s’ils sont substantiellement modifiés ensuite (article 69, paragraphe 2). La règle s’applique unité par unité : un modèle que vous continuez de vendre après le 11 décembre 2027 doit être conforme pour les unités mises sur le marché à partir de cette date.

11 juin 2028 : la dernière transition

Les certificats d’examen UE de type et les décisions d’approbation déjà délivrés pour des exigences de cybersécurité au titre d’autres législations de l’UE (par exemple la directive sur les équipements radioélectriques) restent valables jusqu’au 11 juin 2028, sauf s’ils expirent avant (article 69, paragraphe 1).

Que faire maintenant

Vérifiez si le CRA s’applique à chaque produit et dans quelle classe il tombe. Notre questionnaire gratuit prend cinq minutes.
Soyez prêt à signaler dès aujourd’hui : connaissez vos composants, surveillez leurs vulnérabilités exploitées, et répétez l’alerte précoce de 24 heures.
Réservez un organisme notifié si votre produit est de classe II ou critique, ou de classe I sans norme sur laquelle vous appuyer.
Constituez la documentation technique au fil de l’eau : SBOM de chaque version, analyse des risques, processus de gestion des vulnérabilités et politique de divulgation.

Ce que fait Provetry

Provetry surveille chaque composant de vos versions face aux vulnérabilités nouvelles et exploitées, lance l’horloge de signalement avec des brouillons pour l’ENISA, et garde les preuves et la documentation que demande le CRA, pour que chacune de ces dates vous trouve prêt.

Ce guide est une information générale, pas un conseil juridique.

Sources

Règlement (UE) 2024/2847, le Cyber Resilience Act, articles 14, 32, 64, 69 et 71
Règlement d’exécution (UE) 2025/2392 de la Commission sur la description technique des produits importants et critiques
Commission européenne : Cyber Resilience Act, mise en œuvre et orientations
ENISA : plateforme unique de signalement
Commission européenne : orientations sur l’application du CRA, C(2026) 5252
CEN-CENELEC : demande de normalisation du CRA acceptée