Le Cyber Resilience Act ne commence pas en 2027.

Pour les fabricants de produits numériques, la première échéance opérationnelle tombe le 11 septembre 2026.

À cette date, l’article 14 du règlement imposera de notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité des produits avec éléments numériques.

Une alerte précoce devra être transmise dans les 24 heures, puis une notification complète dans les 72 heures.

Les lignes directrices publiées par la Commission le 27 juillet 2026 précisent notamment :

– les produits matériels, logiciels et composants concernés ;
– la qualification d’une modification substantielle ;
– la détermination de la période de support ;
– l’évaluation des risques de cybersécurité ;
– l’organisation des notifications réglementaires.

À faire dès maintenant :

– Cartographier les produits mis à disposition sur le marché européen.
– Identifier, pour chaque produit, l’entité juridiquement qualifiée de fabricant.
– Définir les critères internes de qualification des vulnérabilités et incidents déclarables.
– Mettre en place une procédure d’escalade Sécurité–Produit–Juridique compatible avec les délais de 24 et 72 heures.
– Documenter les périodes de support et les processus de traitement des vulnérabilités.
– Vérifier si les évolutions apportées aux produits peuvent constituer une modification substantielle.

Attendre l’application générale du règlement, le 11 décembre 2027, exposerait l’entreprise à construire son dispositif de notification après l’entrée en vigueur de sa première obligation.

Références officielles :
Règlement (UE) 2024/2847, disponible sur https://lnkd.in/eeRhFds2
Commission européenne, C(2026) 5252, lignes directrices sur l’application du Cyber Resilience Act, disponible sur https://lnkd.in/ex6t-pCT