Cyber Resilience Act : êtes-vous concerné par l’écheance du 11 septembre 2026 ?

Le règlement européen Cyber Resilience Act (CRA) vise à renforcer la cybersécurité des produits comportant des éléments numériques en établissant un cadre juridique uniforme et impose des obligations de cybersécurité aux fabricants, importateurs et distributeurs, dès la conception et tout au long du cycle de vie des produits.

Dès le 11 septembre 2026, le CRA obligera les fabricants à signaler sur la Plateforme Unique de Signalement (ou Single Reporting Platform) gérée par l'ENISA, les vulnérabilités activement exploitées affectant les produits ayant des éléments numériques mis sur le marché intérieur de l’UE ainsi que les incidents graves ayant un impact sur la sécurité du produit. La notification sera ensuite simultanément transmise au CERT-FR de l’ANSSI et à l’ENISA. La SRP pourra également être utilisée par toute personne physique ou morale pour effectuer une déclaration volontaire.

Compte tenu de l’échéance rapprochée, les fabricants de produits numériques et autres éditeurs de logiciels doivent mettre en place sans tarder un procédé de remontée d’incident conforme au CRA, leur permettant de respecter les délais imposés par le texte, à savoir :

• Une première alerte précoce dans les 24 heures suivant la prise de connaissance de la vulnérabilité ou de l’incident
• Une notification de la vulnérabilité dans les 72 heures suivant la prise de connaissance avec des informations générales et une première évaluation
• Un rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective pour les vulnérabilités, et au plus tard un mois à compter de la notification initiale pour les incidents graves. 

Vous développez des logiciels / objets connectés, ou souhaitez les commercialiser ? Prenez rendez-vous avez ALTIJ Avocats afin d’évaluer votre conformité au CRA.