Le règlement (UE) 2024/2847, dit Cyber Resilience Act, s'applique pour l'essentiel le 11 décembre 2027. Une obligation arrive quinze mois plus tôt : à partir du 11 septembre 2026, l'article 14 impose aux fabricants de notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Les délais sont courts (24 heures pour la première alerte) et l'obligation vaut pour tous les produits du champ du règlement déjà sur le marché, pas seulement pour ceux mis sur le marché après cette date (article 69, paragraphe 3). Cet article décrit qui est concerné, ce qu'il faut notifier, dans quels délais et quel processus minimal une PME doit avoir en place. Le périmètre du CRA lui-même (produits couverts, exigences de conception, calendrier complet) est traité dans notre guide CRA pour les PME.
Qui est concerné, à partir de quand
L'obligation pèse sur les fabricants de « produits comportant des éléments numériques » mis sur le marché de l'Union : matériel connecté, mais aussi logiciels commercialisés, y compris ceux d'un éditeur SaaS lorsque le produit relève du champ du règlement. La qualité de PME ne change ni le principe ni les délais. Selon la page de la Commission consacrée aux obligations de notification, l'article 14 s'applique à compter du 11 septembre 2026, alors que les exigences essentielles de cybersécurité et le marquage CE attendront le 11 décembre 2027.
L'obligation vaut quelle que soit la classe du produit et indépendamment du régime d'évaluation de la conformité qui lui sera applicable en 2027. Un fabricant qui pourra s'auto-évaluer et un fabricant qui devra passer par un organisme notifié notifient dans les mêmes conditions et les mêmes délais. La question des classes de produits et des organismes notifiés est traitée dans le guide CRA pour les PME.
Ce qu'il faut notifier
Deux catégories d'événements déclenchent l'obligation. D'abord toute vulnérabilité activement exploitée contenue dans le produit : ce n'est pas la découverte d'une faille qui déclenche la notification, mais la connaissance de son exploitation. Ensuite tout incident grave ayant un impact sur la sécurité du produit ; l'article 14, paragraphe 5, vise notamment les incidents qui affectent, ou peuvent affecter, la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou de fonctions sensibles, et ceux qui conduisent à l'introduction ou à l'exécution de code malveillant.
Ces notifications s'ajoutent, sans s'y substituer, aux régimes existants : une même attaque peut relever de l'article 14 du CRA côté produit, de NIS2 côté entité et de l'article 33 du RGPD côté données personnelles, chacun avec ses propres délais et destinataires.
Les trois échéances
L'article 14 organise la notification en trois temps. Une alerte précoce sous 24 heures après la prise de connaissance, au contenu réduit (l'exploitation suspectée ou constatée, les États membres concernés le cas échéant). Une notification sous 72 heures, avec les informations générales disponibles sur le produit, la nature de l'exploitation ou de l'incident et les mesures correctives ou d'atténuation prises ou possibles. Un rapport final, au plus tard 14 jours après la disponibilité d'une mesure corrective pour une vulnérabilité exploitée, et au plus tard un mois après la notification pour un incident grave.
Les notifications passent par la plateforme unique de déclaration (Single Reporting Platform) mise en place par l'ENISA au titre de l'article 16, opérationnelle pour le 11 septembre 2026. Un dépôt unique transmet simultanément la notification à l'ENISA et au CSIRT désigné coordinateur dans l'État membre où le fabricant a son établissement principal ; pour la France, ce rôle revient au CERT-FR de l'ANSSI.
L'obligation ne s'arrête pas à l'autorité : le paragraphe 8 de l'article 14 impose d'informer les utilisateurs impactés, et le cas échéant l'ensemble des utilisateurs, de la vulnérabilité ou de l'incident et des mesures correctives ou d'atténuation qu'ils peuvent appliquer.
Pour les questions d'interprétation (qui est fabricant, quels produits entrent dans le champ, comment s'articulent les obligations), la Commission tient une FAQ technique sur la mise en œuvre du CRA, mise à jour en juillet 2026 à partir des questions récurrentes reçues depuis l'entrée en vigueur du règlement.
Le processus minimal à avoir en place
Tenir un délai de 24 heures ne s'improvise pas au moment de l'incident. Quatre éléments constituent le socle. Une capacité de détection et de qualification : savoir qu'une vulnérabilité est exploitée ou qu'un incident touche le produit suppose des canaux de remontée (supervision, signalements clients, divulgation coordonnée des vulnérabilités) et un critère écrit pour décider si l'événement entre dans les catégories de l'article 14. Une chaîne de décision nommée : qui qualifie, qui valide, qui dépose la notification, avec un suppléant par rôle, le délai courant aussi les week-ends. Des modèles préparés : les contenus des trois échéances sont connus à l'avance, les préparer hors crise réduit le travail sous pression à un remplissage. Enfin un compte et un accès vérifiés sur la plateforme de l'ENISA avant l'échéance, pas le jour du premier incident.
Rattacher l'obligation à la réponse à incident existante
Ces exigences rejoignent des pratiques que les référentiels généralistes décrivent déjà. Dans NIST CSF 2.0, la gestion des incidents relève de la fonction RESPOND : qualification et traitement dans RS.MA (gestion des incidents), communication vers les parties prenantes et déclarations obligatoires dans RS.CO. Une PME qui structure sa réponse à incident pour NIS2 ou pour ses clients couvre l'essentiel du processus ; l'article 14 y ajoute des délais précis, un canal (la plateforme ENISA) et des contenus de notification à préparer. Le scénario correspondant a sa place dans le registre des risques, avec l'obligation réglementaire en conséquence documentée.
L'évaluation Komplyo mesure la maturité de la fonction RESPOND, et la feuille de route générée positionne les écarts de gestion d'incident par priorité. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état de cette fonction.