11 septembre 2026 : la première échéance du Cyber Resilience Act, déjà là

On parle beaucoup du 11 décembre 2027 comme échéance du Cyber Resilience Act (CRA). Il y en a une autre, plus proche, et déjà en vigueur : le 11 septembre 2026.

Si vous éditez un logiciel concerné par le CRA, cette date vous concerne déjà — même si vous n'avez pas encore terminé votre mise en conformité complète.

Ce qui devient obligatoire à cette date

À partir du 11 septembre 2026, l'article 14 du règlement (UE) 2024/2847 impose aux fabricants de signaler :

• toute vulnérabilité activement exploitée dans leur produit
• tout incident grave ayant des répercussions sur la sécurité du produit

Ce n'est pas encore l'obligation de conformité complète (documentation technique, déclaration UE, marquage CE) — celle-là reste due pour le 11 décembre 2027. Le 11 septembre 2026 porte sur un point plus étroit, mais bien réel : que faire si une faille de votre produit est exploitée par un attaquant.

Les délais à respecter

Deux types de signalement, chacun avec trois étapes :

Vulnérabilité activement exploitée

• Alerte précoce : sous 24 heures
• Notification détaillée : sous 72 heures
• Rapport final : dans les 14 jours suivant la mise à disposition d'un correctif

Incident grave

• Alerte précoce : sous 24 heures
• Notification détaillée : sous 72 heures
• Rapport final : dans le mois qui suit

À qui signaler

Un seul canal : la plateforme unique de signalement, mise en place par l'ENISA (l'agence européenne de cybersécurité). Le signalement part vers le CSIRT désigné comme coordinateur de l'État membre où vous avez votre établissement principal dans l'UE, et est simultanément mis à la disposition de l'ENISA.

Pourquoi cette date compte, même sans être encore « conforme »

Point important, souvent mal compris : cette obligation de signalement s'applique indépendamment de l'avancement de votre mise en conformité générale.

Vous pouvez être en plein travail sur votre documentation technique, votre évaluation des risques, ou votre déclaration de conformité — si une faille de votre produit est exploitée activement à partir du 11 septembre 2026, l'obligation de la signaler existe déjà, que le reste de votre dossier soit terminé ou non.

Ce qu'il faut avoir en place, concrètement

Pas besoin d'un dispositif lourd pour cette échéance précise — mais il faut au minimum :

• un moyen de détecter qu'une vulnérabilité de votre produit est exploitée (veille, remontées utilisateurs, monitoring)
• savoir qui contacter : identifier le CSIRT coordinateur de votre État membre avant d'en avoir besoin, pas le jour où ça arrive
• un processus interne, même minimal, pour documenter rapidement ce qui s'est passé

Et le reste de votre mise en conformité ?

Le 11 septembre 2026 est une échéance ponctuelle et ciblée. Le travail de fond — savoir précisément si vous êtes concerné, quelles exigences s'appliquent à votre produit, et comment vous y conformer avant décembre 2027 — reste entier.

Le diagnostic gratuit CRA Kit vous situe en 10 minutes, sur votre cas réel.

Cet article est fourni à titre informatif et ne constitue pas un avis juridique.