CRA logiciel : votre checklist avant le 11 septembre 2026
Le 11 septembre 2026, une nouvelle obligation entre en vigueur pour les éditeurs de logiciels concernés par le Cyber Resilience Act. Voici ce qu'il faut avoir en place — sans détour, en checklist.
(Pour comprendre le détail de cette échéance, notre article complet sur le sujet va plus loin. Celui-ci reste volontairement court.)
Ce que cette date rend obligatoire
À partir du 11 septembre 2026, vous devez pouvoir signaler :
- toute vulnérabilité de votre logiciel activement exploitée
- tout incident grave touchant sa sécurité
Avec des délais fixes : 24h (alerte), 72h (notification détaillée), puis un rapport final au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation pour une vulnérabilité, ou sous un mois pour un incident grave.
Votre checklist, en 5 points
Vérifier que vous êtes concerné
Un logiciel connecté, distribué dans le cadre d'une activité professionnelle — même gratuit — l'est presque toujours. Diagnostic gratuit en 10 minutes →
Identifier votre CSIRT coordinateur
Le point de contact national qui reçoit les signalements. Cherchez le CSIRT désigné comme coordinateur de votre pays d'établissement principal dans l'UE — c'est lui qui reçoit vos alertes.
Avoir un moyen de savoir qu'une faille est exploitée
Pas besoin d'un dispositif lourd : une veille sur vos dépendances, un canal pour que vos utilisateurs vous signalent un problème, un monitoring basique de votre infrastructure.
Préparer un mini-protocole interne
Qui fait quoi si une alerte tombe ? Même trois lignes notées à l'avance valent mieux que rien le jour où cela arrive.
Noter les délais quelque part de visible
24h / 72h / 14 jours après la mesure corrective (un mois pour un incident grave). Le genre de chiffre qu'on oublie sous le coup du stress — autant l'avoir écrit d'avance.
Ce que cette échéance ne couvre pas (encore)
Le 11 septembre ne veut pas dire « conforme ». La documentation technique, l'évaluation des risques, la déclaration de conformité restent dues pour le 11 décembre 2027. Cette checklist ne couvre que l'obligation de signalement — la première d'une série.
Votre situation précise ?
Démarrer le diagnostic gratuit →Cet article est fourni à titre informatif et ne constitue pas un avis juridique.
Retour au guide