Publié le 1 septembre 2026 · L'équipe mitza.es
Le règlement (UE) 2024/2847, connu sous le nom de Cyber Resilience Act ou règlement sur la cyberrésilience, est entré en vigueur le 10 décembre 2024, avec une période transitoire de 36 mois avant que la majorité de ses obligations ne deviennent pleinement applicables. Cette période transitoire ne signifie pas qu'il ne se passe rien jusqu'à son terme : elle active des obligations concrètes par phases, et la prochaine phase tombe le 11 septembre 2026, avec l'entrée en vigueur de la notification obligatoire des vulnérabilités et des incidents de sécurité.
Ce qui se passe exactement le 11 septembre 2026
À partir de cette date, les fabricants de produits comportant des éléments numériques ont l'obligation de notifier aux autorités compétentes toute vulnérabilité activement exploitée et tout incident grave affectant leurs produits. Cette obligation ne concerne pas uniquement les produits lancés à partir de septembre : elle s'applique aussi aux produits déjà présents sur le marché. C'est la date qui confirme que le CRA n'est plus une norme "pour plus tard", mais une obligation opérationnelle bien réelle.
Il s'agit de la deuxième échéance importante du calendrier du règlement. La première, le 11 juin 2026, a activé les obligations pour les organismes d'évaluation de la conformité. La prochaine grande échéance, le 11 décembre 2027, correspondra à la mise en conformité totale : à partir de cette date, aucun produit comportant des éléments numériques ne pourra être commercialisé dans l'UE sans marquage CE conforme au CRA.
Qui est réellement concerné (et pourquoi ce n'est pas réservé aux "grands")
Le règlement vise les fabricants, importateurs et distributeurs de produits comportant des éléments numériques qui se connectent, directement ou indirectement, à un autre appareil ou à un réseau. Cela inclut les objets connectés (IoT), les applications et logiciels, ainsi que les systèmes industriels connectés. Il est facile de lire "fabricant" et de penser à une multinationale du matériel informatique, mais le champ d'application réel est bien plus large : toute entreprise qui développe ou distribue une application, un service SaaS, un appareil connecté ou un système comportant des composants logiciels entre dans le champ du règlement, y compris de nombreuses PME qui ne se sont jamais considérées comme des "fabricants de technologie".
Si votre entreprise développe un logiciel vendu ou distribué, ou fabrique ou commercialise du matériel connecté (d'une caméra IP à un système de gestion propre à un secteur), c'est le moment de vérifier où vous vous situez dans cette chaîne et quelles obligations correspondent à votre rôle.
Le délai de notification : 24 heures, puis 72 heures
Le CRA prévoit un dispositif de notification en deux temps, avec des délais très serrés :
- Notification initiale sous 24 heures à compter du moment où le fabricant a connaissance d'une vulnérabilité activement exploitée ou d'un incident grave affectant son produit.
- Notification complète sous 72 heures, comprenant une description détaillée de l'incident ou de la vulnérabilité, la méthode d'exploitation, les mesures correctives déjà mises en œuvre et les recommandations destinées aux utilisateurs affectés.
Respecter ces délais suppose de disposer, avant même la survenue de l'incident, d'un processus interne de détection et d'escalade déjà en place. Improviser un protocole de notification pendant les 24 premières heures d'une vulnérabilité active est le pire moment pour commencer à le définir.
Les obligations de fond du CRA, au-delà de septembre
La notification des incidents n'est qu'un élément parmi d'autres. Le règlement impose, de manière continue tout au long du cycle de vie du produit :
- La sécurité dès la conception ("security by design"), de la phase de développement jusqu'au retrait du produit.
- La gestion des vulnérabilités tout au long du cycle de vie du produit, pas seulement au lancement.
- La documentation de l'évaluation des risques, conservée pendant au moins 10 ans.
- Le déploiement de mises à jour de sécurité en cas de vulnérabilité détectée.
- Le respect des délais de notification de 24 et 72 heures décrits ci-dessus.
CRA et NIS2 : des règlements complémentaires, pas identiques
Il est facile de confondre le CRA avec NIS2, mais ces deux textes régissent des aspects différents et complémentaires. NIS2 impose aux organisations de gérer le risque de cybersécurité de leurs propres systèmes et processus : analyse des risques, gestion des incidents, continuité d'activité. Le CRA, lui, encadre la sécurité du produit en tant que tel : le logiciel ou l'appareil fabriqué, vendu ou distribué doit répondre à des exigences minimales de sécurité, et son fabricant doit gérer les vulnérabilités qui apparaissent après la vente. Une entreprise peut être soumise aux deux à la fois : en tant qu'organisation (NIS2) et en tant que fabricant ou distributeur d'un produit connecté (CRA).
Comme pour NIS2, le CRA est un règlement européen d'application directe : il n'a pas besoin d'une loi espagnole spécifique le transposant pour que les obligations existent et deviennent applicables aux dates fixées par le texte lui-même.
Par où commencer si vous ne savez pas si vous êtes concerné
- Identifiez si votre entreprise développe, fabrique, importe ou distribue un produit connecté : logiciel, application, service SaaS, objet IoT ou système connecté.
- Vérifiez si vous disposez déjà d'un canal et d'un processus interne pour détecter et faire remonter les vulnérabilités de vos produits.
- Évaluez si vous seriez capable de respecter le délai de notification initiale de 24 heures si une vulnérabilité active était détectée aujourd'hui.
- Commencez à documenter l'évaluation des risques de vos produits, en gardant à l'esprit l'obligation de la conserver 10 ans.
- Si vous gérez également des données et des processus internes soumis à NIS2, examinez les deux cadres ensemble : ils partagent une grande partie de la même logique de gestion des risques.
Réduire le risque pendant que vous vous mettez à niveau
Se mettre en conformité avec le CRA n'est pas qu'un exercice administratif : cela exige de vrais processus de détection et de réponse, qui vous protègent aussi contre des incidents comme le ransomware, de plus en plus fréquent contre des entreprises de toutes tailles en Espagne. Si vous souhaitez en plus couvrir l'impact financier d'un incident pendant que vous finalisez l'adaptation de vos processus, il peut être utile de vérifier combien coûte aujourd'hui une cyberassurance pour PME. Et si vous ne savez pas par où commencer pour évaluer vos produits et vos processus, un audit sur mesure vous donne un point de départ clair avant que les délais de notification ne deviennent un vrai problème.
Retrouvez toutes les échéances dans notre calendrier des obligations numériques pour les PME.