Ce qui est déjà applicable, et ne peut plus attendre

L'attention se porte sur le 11 décembre 2027, et c'est ce qui fait manquer deux obligations de cybersécurité déjà en vigueur. Le signalement de l'article 14 du Cyber Resilience Act (CRA) est applicable depuis le 11 septembre 2026, et il couvre les produits déjà en vente. Les exigences de cybersécurité applicables aux équipements radioélectriques connectés le sont depuis le 1er août 2025, donc depuis plus d'un an.

Le signalement de l'article 14, depuis le 11 septembre 2026

Depuis cette date, un fabricant qui prend connaissance d'une vulnérabilité activement exploitée contenue dans son produit doit la notifier simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par l'intermédiaire de la plateforme unique de signalement établie en vertu de l'article 16 (art. 14, paragraphe 1). La même obligation vaut pour tout incident grave ayant des répercussions sur la sécurité du produit (art. 14, paragraphe 3).

Deux événements déclenchent le signalement, et deux seulement. La vulnérabilité activement exploitée est celle pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire (art. 3, point 42) : une faille connue mais non exploitée n'entre pas dans cette définition. L'incident est grave lorsqu'il entache ou est susceptible d'entacher la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou lorsqu'il conduit ou est susceptible de conduire à l'exécution d'un code malveillant (art. 14, paragraphe 5).

Le calendrier a la même ossature pour les deux événements. Alerte précoce au plus tard 24 heures après en avoir eu connaissance, notification au plus tard 72 heures, puis rapport final. Seule la date de départ du rapport final change : 14 jours après la mise à disposition d'une mesure de correction ou d'atténuation pour une vulnérabilité (art. 14, paragraphe 2, point c)), un mois après la notification pour un incident grave (art. 14, paragraphe 4, point c)).

Les 24 heures ne demandent pas un dossier, elles demandent de dire vite qu'il se passe quelque chose.

Une obligation accompagne le signalement et se prépare aussi mal dans l'urgence : le fabricant informe les utilisateurs touchés de l'événement et, si nécessaire, des mesures qu'ils peuvent prendre, s'il y a lieu dans un format structuré et lisible par machine (art. 14, paragraphe 8). S'il ne le fait pas en temps utile, les CSIRT coordinateurs peuvent le faire à sa place lorsqu'ils le jugent proportionné et nécessaire. L'information sortira ; la seule question est de savoir d'où.

Un allègement existe pour les plus petites structures : les micro et petites entreprises ne peuvent pas être sanctionnées pour le dépassement du délai de 24 heures de l'alerte précoce (art. 64, paragraphe 10, point a). L'obligation reste, l'amende tombe.

Le RED et les EN 18031, depuis le 1er août 2025

Les exigences de cybersécurité applicables aux équipements radioélectriques connectés à internet sont en vigueur depuis le 1er août 2025. Elles ne viennent pas du CRA, elles le précèdent de plus de deux ans.

Le mécanisme tient en une phrase. L'acte délégué (UE) 2022/30 rend applicables, à certaines catégories d'équipements radioélectriques, les exigences de cybersécurité de l'article 3, paragraphe 3, points d), e) et f) de la directive 2014/53/UE. Ces exigences figuraient dans la directive depuis son adoption, mais aucun produit n'y était soumis tant qu'un acte délégué ne les avait pas activées. La date du 1er août 2025 est rappelée au considérant 5 du règlement délégué (UE) 2026/339.

La règle de lecture est simple : un produit qui émet ou reçoit des ondes radio et qui se connecte à internet. Wifi, Bluetooth, 4G, 5G, LoRa ou Zigbee relèvent de la même lecture. Elle sert à savoir s'il faut regarder, pas à conclure : le périmètre exact tient aux catégories d'équipements énumérées dans l'acte délégué, avec leurs exclusions.

Trois normes harmonisées ont été citées au Journal officiel de l'Union le 30 janvier 2025, EN 18031-1, EN 18031-2 et EN 18031-3, par la décision d'exécution (UE) 2025/138. C'est la différence la plus nette avec le CRA : ici, des normes sont citées, donc une voie documentée existe. La citation est assortie de restrictions sur certaines clauses : la présomption ne joue pas partout, et les points restants se documentent autrement.

Ce régime laisse la place au CRA sans trou ni recouvrement. Le règlement délégué (UE) 2026/339 dispose à son article premier : « Le règlement délégué (UE) 2022/30 est abrogé avec effet au 11 décembre 2027. » Le volet cybersécurité du RED s'applique donc jusqu'au 10 décembre 2027 inclus, et le CRA prend le relais le 11 décembre 2027.

Le travail fait pour le RED n'est pas perdu à cette date, il est repris : l'analyse de risque conduite au titre des EN 18031 alimente celle que l'article 13, paragraphe 2 du CRA demande au fabricant. C'est un recoupement de travail et de preuves, pas une équivalence juridique.

Ce qu'il faut avoir en place, et qui tient en quatre pièces

Aucune de ces quatre pièces ne demande de budget, et toutes se préparent à froid. Une adresse de contact publique pour le signalement des vulnérabilités, qui est par ailleurs une exigence de l'annexe I, partie II. Une politique de divulgation coordonnée, écrite. Une procédure interne d'une page nommant qui qualifie, qui décide, qui rédige et qui envoie. Un accès à la plateforme unique de signalement, créé et testé par deux personnes au moins.