CRA : calendrier 2026–2027 et échéances applicables

Au 28 septembre 2026, les obligations de signalement du CRA applicables aux fabricants ont déjà commencé. La date du 11 décembre 2027 reste centrale pour les autres exigences, mais elle ne permet pas de différer la préparation des notifications de vulnérabilités activement exploitées et d’incidents graves.

Le calendrier doit être lu par obligation et par acteur. Un fabricant, un importateur et un intendant de logiciels ouverts ne sont pas soumis indistinctement aux mêmes dispositions à la même date.

Les dates prévues par le règlement

L’Art. 71 du règlement (UE) 2024/2847 distingue l’entrée en vigueur de l’application des obligations :

Le jalon de juin 2026 ne signifie pas que toutes les dispositions de surveillance du marché de l’Art. 52 sont entrées en application à cette date. De même, la notification d’un organisme d’évaluation ne doit pas être confondue avec le signalement d’un incident.

Construire trois calendriers qui répondent à des questions différentes

Le premier calendrier contient les dates d’application du règlement. Il indique quelle disposition devient applicable à quel acteur. Le deuxième décrit vos produits : mise sur le marché, versions, évolutions prévues et période d’assistance. Le troisième suit les événements qui déclenchent un délai court, notamment une vulnérabilité activement exploitée ou un incident grave. Les regrouper sous une seule date « conformité CRA » fait perdre des informations nécessaires à la décision.

Pour chaque ligne du planning, précisez le fondement, le périmètre, la personne responsable et la preuve attendue. Une tâche de préparation peut être achevée alors que l’obligation restera à exécuter lors d’un événement futur. À l’inverse, l’ouverture d’un compte de signalement ne démontre pas que l’équipe sait qualifier l’événement ou réunir les informations nécessaires.

Distinguez aussi les échéances légales des objectifs de votre projet. Vous pouvez fixer une date interne pour terminer l’inventaire, mais elle ne doit pas être présentée comme une nouvelle date imposée à tous les fabricants. Les délais choisis doivent laisser le temps de traiter les dépendances encore inconnues : composants, fournisseurs, procédure d’évaluation et documentation.

Septembre 2026 : vérifier immédiatement le dispositif de signalement

L’ENISA a annoncé le lancement de la plateforme unique de signalement le 11 septembre 2026. Le fabricant transmet les informations au CSIRT coordinateur compétent et simultanément à l’ENISA via ce dispositif. L’Art. 14(7) détermine le point de notification à utiliser ; il ne suffit pas de choisir une autorité au hasard.

Préparez dès maintenant l’accès, les suppléants, la qualification des événements et la conservation des preuves d’envoi. Notre guide du signalement CRA distingue les délais de l’alerte, de la notification et du rapport final.

Les obligations des intendants de logiciels ouverts au titre de l’Art. 24(3) relèvent de l’application du 11 décembre 2027. La qualification de l’acteur est donc déterminante : l’étiquette « open source » ne suffit pas à décider de son régime.

Programmer les horloges de l’article 14

Pour une vulnérabilité activement exploitée, l’Art. 14(2) prévoit notamment une alerte précoce sous 24 heures et une notification sous 72 heures à compter de la connaissance, sans retard injustifié. Le rapport final intervient au plus tard quatorze jours après la mise à disposition d’une mesure de correction ou d’atténuation. Pour un incident grave, le rapport final de l’Art. 14(4)(c) est prévu dans le mois suivant la notification d’incident du paragraphe 4(b). Les points de départ ne sont donc pas interchangeables. Source : CRA, Art. 14(2) et (4).

Voici un exemple de calcul entièrement fictif, exprimé dans un même fuseau UTC. Si la connaissance d’une vulnérabilité activement exploitée intervient le 28 septembre 2026 à 10 h, les plafonds de 24 et 72 heures conduisent respectivement au 29 septembre à 10 h et au 1er octobre à 10 h. Ils n’autorisent pas à attendre si les informations peuvent être communiquées plus tôt. Si une mesure de correction est mise à disposition le 4 octobre, le plafond du rapport final se calcule à partir de cette date, soit le 18 octobre.

Cette chronologie ne décrit aucun signalement effectivement réalisé. Elle montre pourquoi il faut enregistrer séparément connaissance, transmission et disponibilité d’une mesure. Le déploiement de celle-ci chez tous les utilisateurs ne constitue pas le point de départ prévu pour ce rapport final. Une procédure interne doit aussi organiser l’information des utilisateurs prévue à l’Art. 14(8), sans la confondre avec le dépôt sur la plateforme.

Les produits anciens ne sont pas tous hors du dispositif

L’Art. 69(2)–(3), corrigé par le rectificatif du 2 juillet 2025, distingue deux situations. Les produits mis sur le marché avant le 11 décembre 2027 ne relèvent des autres exigences qu’en cas de modification substantielle à compter de cette date ; les obligations de signalement de l’Art. 14 s’appliquent aussi aux produits antérieurement mis sur le marché qui entrent dans le champ du CRA.

Ne réduisez pas l’inventaire aux prochains lancements. Pour chaque famille, documentez la date de mise sur le marché, les versions, les modifications et le rôle de votre entreprise. Le guide CRA : qui est concerné ? aide à qualifier ce périmètre.

L’Art. 69(1) prévoit également une règle particulière pour certaines attestations et décisions relevant d’autres législations d’harmonisation. Ce n’est pas une prolongation générale de conformité jusqu’en juin 2028 pour tous les produits.

Documenter l’antériorité au niveau du produit concerné

L’Art. 3(21) définit la mise sur le marché par la première mise à disposition sur le marché de l’Union. La date d’annonce d’une gamme ou celle d’une réunion de lancement ne suffit donc pas à établir la situation de tous les produits qui seront fournis par la suite. Rapprochez les éléments commerciaux, les livraisons, les versions et la qualification du produit étudié. Source : CRA, Art. 3(21)-(22).

Dans l’inventaire, évitez une colonne unique « produit ancien : oui ». Indiquez la référence examinée, les pièces qui étayent la date retenue, les modifications envisagées et les obligations analysées. Une conclusion sur la transition des exigences produit ne dispense pas d’examiner séparément le signalement applicable depuis septembre 2026.

La modification substantielle demande elle-même une analyse. L’Art. 3(30) vise une modification après mise sur le marché qui affecte la conformité aux exigences essentielles de l’annexe I, partie I, ou modifie l’utilisation prévue pour laquelle le produit a été évalué. Une nouvelle dénomination commerciale ne tranche pas cette question ; un changement technique ne doit pas non plus être écarté parce que le nom du produit reste identique.

Construire le planning vers décembre 2027

La grille suivante est une proposition d’organisation, à adapter aux cycles de vos produits :

Anticipez la procédure d’évaluation de conformité applicable au produit. Une réservation auprès d’un prestataire ou un marquage déjà utilisé au titre d’un autre texte ne démontre pas la conformité au CRA.

La documentation technique doit refléter les choix réellement mis en œuvre. Préparez son maintien après lancement, pas seulement sa rédaction initiale.

Fermer un chantier sur un résultat utilisable

Pour piloter la préparation à décembre 2027, remplacez les intitulés vagues par des critères de réception. « Documentation commencée » et « dossier correspondant à la version commercialisée » décrivent deux états différents. Les propositions ci-dessous servent à organiser le projet, sans créer de formalité réglementaire supplémentaire.

Une échéance interne dépassée appelle un arbitrage explicite : action, responsable, dépendance et effet sur le lancement. Modifier la couleur du planning ne modifie aucune obligation. La direction doit pouvoir distinguer un retard de rédaction d’un écart produit qui nécessite encore une décision technique ou contractuelle.

Coordonner les calendriers sans fusionner les obligations

Un même organisme peut avoir des responsabilités au titre du CRA, du RGPD et de NIS2. Chacun conserve son champ, ses événements déclencheurs et ses délais. L’articulation CRA–NIS2 doit donc être organisée dans les procédures, sans présumer qu’une notification vaut automatiquement pour tous les régimes.

Dans le planning de direction, séparez les échéances légales des dates internes de préparation. Indiquez pour chaque tâche son responsable, sa preuve de réalisation et le risque de retard.

Ce qu’il faut retenir

• Le signalement des fabricants concernés est applicable depuis le 11 septembre 2026.
• Le 11 décembre 2027 concerne l’application générale, avec des transitions à examiner.
• Les produits antérieurs doivent aussi être intégrés à l’analyse du signalement.
• Un planning utile attribue une preuve et un responsable à chaque obligation.

FAQ

Peut-on attendre décembre 2027 pour préparer les notifications ?

Non, si vous êtes un fabricant concerné par l’Art. 14. Ces obligations sont déjà applicables depuis septembre 2026.

Le chapitre IV impose-t-il le marquage CE dès juin 2026 ?

Il concerne le dispositif de notification des organismes d’évaluation. Ce jalon ne rend pas indistinctement applicables toutes les exigences produit du CRA.

Un ancien produit est-il automatiquement exempté ?

Non. Examinez séparément le signalement, les modifications substantielles et les règles transitoires pertinentes pour ce produit.

Recevez nos analyses sur les échéances de conformité numérique.

Thiébaut Devergranne, docteur en droit et praticien du droit des technologies depuis plus de vingt ans.