INTERCALAIRE III · DÉJÀ APPLICABLE
Deux obligations s'appliquent déjà. Êtes-vous en retard ?
Signalement des failles exploitées depuis le 11 septembre 2026, cybersécurité RED des objets radio depuis le 1er août 2025 : ce qui s'applique déjà.
Sur cette page
- Trois dates sont passées, deux vous concernent
- Depuis le 11 septembre 2026, vous alertez en 24 heures
- Vos produits déjà en vente sont couverts
- Depuis le 1er août 2025, vos objets radio connectés ont des exigences de cybersécurité
- Le 11 juin 2026 vise les organismes d'évaluation, pas vous
- Quatre pièces à préparer dès maintenant, sans budget
- En deux minutes, vous savez si ces obligations vous visent
Tout le monde regarde le 11 décembre 2027, et c'est ce qui fait manquer deux obligations déjà applicables.
Vous vendez un objet connecté en Wi-Fi ? Deux textes peuvent déjà le viser : le signalement du Cyber Resilience Act (CRA), et les exigences de cybersécurité des objets radio.
Article 71, paragraphe 2
Trois dates sont passées, deux vous concernent
Le CRA s'applique le 11 décembre 2027, avec deux exceptions déjà applicables.
Le signalement des failles, depuis le 11 septembre 2026. Les règles sur les organismes d'évaluation, depuis le 11 juin 2026.
Une troisième date vient de la directive sur les équipements radio, dite RED.
- la directive sur les équipements radio, dite RED
- Les règles sur les organismes d'évaluation
- Le signalement des failles
- Le CRA s'applique
Des deux exceptions du CRA, seul le signalement vise les fabricants. Pour ces deux obligations, vérifiez d'abord si vous êtes déjà en retard, puis rattrapez-le.
Le texte en détail : article 71, paragraphe 2
Le règlement (UE) 2024/2847 est applicable à partir du 11 décembre 2027, avec deux exceptions inscrites à l'article 71, paragraphe 2 : l'article 14 depuis le 11 septembre 2026, et le chapitre IV, articles 35 à 51, depuis le 11 juin 2026.
Articles 14 et 64
Depuis le 11 septembre 2026, vous alertez en 24 heures
Une faille exploitée dans un produit déjà en vente déclenche l'obligation dès aujourd'hui, sans attendre 2027.
Seuls deux événements la déclenchent.
Une faille activement exploitée
Un attaquant s'en est servi, preuves fiables à l'appui. Une faille connue mais non exploitée n'en est pas une.
Un incident grave
Il menace des données ou fonctions sensibles du produit, ou il peut y introduire un code malveillant.
Vous alertez dans les 24 heures, vous notifiez dans les 72 heures. Le rapport final suit : 14 jours après le correctif pour une faille, un mois après la notification pour un incident. À 24 heures, on attend une alerte courte, et le détail vient ensuite.
Vous prévenez aussi vos clients touchés, sinon les autorités peuvent le faire à votre place.
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
À partir du 11 décembre 2027, une micro ou petite entreprise ne pourra pas recevoir d'amende administrative pour une alerte tardive. Elle doit pourtant toujours alerter.
Le texte en détail : articles 3, 14, 64 et 71
La vulnérabilité activement exploitée est celle pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire (article 3, point 42).
L'incident est grave lorsqu'il entache ou est susceptible d'entacher la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou lorsqu'il a conduit ou est susceptible de conduire à l'introduction ou à l'exécution d'un code malveillant dans le produit, ou dans le réseau et les systèmes d'information d'un utilisateur du produit (article 14, paragraphe 5).
Le fabricant qui prend connaissance d'une vulnérabilité activement exploitée contenue dans son produit doit la notifier simultanément au CSIRT désigné comme coordinateur et à l'ENISA, par l'intermédiaire de la plateforme unique de signalement établie en vertu de l'article 16 (article 14, paragraphe 1).
La même obligation vaut pour tout incident grave ayant des répercussions sur la sécurité du produit (article 14, paragraphe 3).
Alerte précoce au plus tard 24 heures après en avoir eu connaissance, notification au plus tard 72 heures. Rapport final 14 jours après la mise à disposition d'une mesure de correction ou d'atténuation pour une vulnérabilité (article 14, paragraphe 2, point c)), un mois après la notification pour un incident grave (article 14, paragraphe 4, point c)).
Le fabricant informe les utilisateurs touchés, s'il y a lieu dans un format structuré et lisible par machine (article 14, paragraphe 8). S'il ne le fait pas en temps utile, les CSIRT coordinateurs peuvent le faire à sa place lorsqu'ils le jugent proportionné et nécessaire.
L'article 64, qui fixe les amendes, s'applique à partir du 11 décembre 2027 (article 71, paragraphe 2). Le règlement ne dit pas comment serait sanctionné un manquement à l'article 14 commis avant cette date.
Dès cette date, une micro ou petite entreprise ne pourra pas recevoir d'amende administrative pour une alerte précoce tardive (article 64, paragraphe 10, point a).
Article 69, paragraphe 3
Vos produits déjà en vente sont couverts
Votre catalogue actuel est concerné, même si vous n'avez encore rien engagé pour 2027.
L'obligation couvre le cas des produits mis sur le marché avant le 11 décembre 2027.
- avant le 11 décembre 2027
- des produits mis sur le marché
Le texte en détail : articles 21, 69 et 71
La lecture correcte de l'article 69, paragraphe 3, retenue après le rectificatif du 2 juillet 2025, est celle des produits mis sur le marché avant le 11 décembre 2027.
Celui qui fait fabriquer un produit et le vend sous sa marque est fabricant par définition (article 3, point 13) : le signalement le vise depuis le 11 septembre 2026.
L'article 21, qui requalifie en fabricant l'importateur ou le distributeur qui vend sous son nom ou sa marque, relève du 11 décembre 2027 et non des dispositions avancées par l'article 71, paragraphe 2.
Directive 2014/53/UE
Depuis le 1er août 2025, vos objets radio connectés ont des exigences de cybersécurité
Ces exigences ne viennent pas du CRA, et elles le précèdent de plus de deux ans.
Depuis le 1er août 2025, vos objets radio connectés à internet doivent répondre à des exigences de cybersécurité.
Votre produit émet ou reçoit des ondes radio, en Wi-Fi, Bluetooth, 4G, 5G, LoRa ou Zigbee, et il se connecte à internet ? Regardez-le de près, car ce test dit s'il faut regarder sans trancher à lui seul.
À la différence du CRA, des normes existent : les trois normes harmonisées EN 18031. Elles sont citées au Journal officiel depuis le 30 janvier 2025, avec des restrictions sur certaines clauses.
Le 10 décembre 2027 est le dernier jour du volet cybersécurité du RED. Puis le CRA prend le relais le 11 décembre 2027, sans trou ni chevauchement.
- des exigences de cybersécurité
- le dernier jour du volet cybersécurité du RED
- le CRA prend le relais
Le travail fait pour le RED n'est pas perdu, car votre analyse de risque EN 18031 nourrit celle du CRA. Les preuves se recoupent, sans valoir l'une pour l'autre en droit. Tout le détail du RED et des EN 18031.
Le texte en détail : acte délégué (UE) 2022/30, directive 2014/53/UE et décision (UE) 2025/138
L'acte délégué (UE) 2022/30 rend applicables, à certaines catégories d'équipements radioélectriques, les exigences de cybersécurité de l'article 3, paragraphe 3, points d), e) et f) de la directive 2014/53/UE. Ces exigences figuraient dans la directive depuis son adoption, mais aucun produit n'y était soumis tant qu'un acte délégué ne les avait pas activées.
Le périmètre exact tient aux catégories d'équipements énumérées dans l'acte délégué, avec leurs exclusions. La date du 1er août 2025 est rappelée au considérant 5 du règlement délégué (UE) 2026/339.
Les normes EN 18031-1, EN 18031-2 et EN 18031-3 ont été citées au Journal officiel de l'Union le 30 janvier 2025 par la décision d'exécution (UE) 2025/138. La citation est assortie de restrictions sur certaines clauses : la présomption de conformité ne joue pas partout.
Le règlement délégué (UE) 2026/339 dispose à son article premier : « Le règlement délégué (UE) 2022/30 est abrogé avec effet au 11 décembre 2027. » Le volet cybersécurité du RED s'applique donc jusqu'au 10 décembre 2027 inclus.
L'analyse de risque conduite au titre des EN 18031 alimente celle que l'article 13, paragraphe 2 du CRA demande au fabricant. C'est un recoupement de travail et de preuves, pas une équivalence juridique.
Chapitre IV, articles 35 à 51
Le 11 juin 2026 vise les organismes d'évaluation, pas vous
Cette date ne vous crée aucune obligation, mais elle pèse sur votre calendrier.
Depuis le 11 juin 2026, les règles sur les organismes d'évaluation, dits notifiés, s'appliquent. Elles s'adressent à ces organismes et aux autorités.
Les États membres doivent s'efforcer d'en avoir assez au plus tard le 11 décembre 2026. Aucun n'est enregistré à ce jour. Pour un produit de classe I ou II, c'est un point de calendrier.
Le texte en détail : chapitre IV et article 35
Le chapitre IV, articles 35 à 51, porte la notification des organismes d'évaluation de la conformité. Les États membres doivent s'efforcer d'en assurer un nombre suffisant au plus tard le 11 décembre 2026 (article 35, paragraphe 2).
En pratique
Quatre pièces à préparer dès maintenant, sans budget
Aucune de ces quatre pièces ne demande de budget, et toutes se préparent à froid.
- Une adresse de contact publique pour signaler une faille, qui est aussi une exigence de sécurité du règlement.
- Une politique de divulgation coordonnée, écrite : comment vous recevez un signalement extérieur, et ce que vous en faites.
- Une procédure interne d'une page qui dit qui qualifie, qui décide, qui rédige et qui envoie.
- Un accès à la plateforme unique de signalement, créé et testé par deux personnes au moins.
Une procédure écrite et testée, c'est aussi une réponse prête quand un client vous la demande.
Dans votre espace, le registre de signalement suit vos délais, produit par produit, et l'accès est sans frais. Votre dossier reprend ensuite ces exigences point par point, avec un rappel avant chaque échéance de signalement.
Le texte en détail : annexe I, partie II
L'adresse de contact pour le signalement des vulnérabilités et la politique de divulgation coordonnée figurent à l'annexe I, partie II, points 6 et 5.
Le diagnostic
En deux minutes, vous savez si ces obligations vous visent
Le diagnostic établit si vous êtes fabricant au sens du règlement, et si vos produits relèvent du volet radio.
Il tient en treize questions au plus, deux minutes, sans frais et sans compte : commencer le diagnostic.
L'état de chaque texte cité ici se suit sur la page où en est le droit.
Les fiches de cet intercalaire
- Une faille exploitée dans votre produit : 24 heures pour donner l'alerteLes deux événements à signaler, les délais, le destinataire en France, et l'information de vos clients. Pour écrire votre procédure avant d'en avoir besoin.
- Objets radio connectés : la cybersécurité est obligatoire depuis le 1er août 2025Les équipements visés, ce que couvrent les EN 18031 et leurs restrictions, le passage au CRA le 11 décembre 2027. Pour qui vend un objet connecté par radio sans avoir rien engagé depuis le 1er août 2025.
- Coût d'une évaluation EN 18031Ce qui fait le prix d'une évaluation, et ce que votre dossier technique fait déjà.
- Amendes du CRA : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondialLes plafonds, les critères du montant, l'allègement des petites entreprises et le calendrier. Pour mesurer le risque avant le 11 décembre 2027.
Le règlement commenté
- Article 14 : une faille exploitée se signale depuis le 11 septembre 2026
- Article 69 : vos produits déjà vendus échappent aux exigences, pas au signalement
- Article 71 : en vigueur depuis 2024, le règlement s'applique en trois temps
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Règlement délégué (UE) 2026/339, abrogation de l'acte délégué RED
- Décision d'exécution (UE) 2025/138, citation des EN 18031
- Commission européenne, obligations de signalement
- ENISA, plateforme unique de signalement
- ENISA, mise en service de la plateforme
- ANFR, Cyber Resilience Act
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.