Le Cyber Resilience Act au 13 septembre 2026 : où en est le droit

Le règlement (UE) 2024/2847 est en vigueur, mais l'appareil qui doit le rendre praticable ne l'est pas encore entièrement. Cette page dit ce qui est publié, ce qui ne l'est pas, et à quelle date chaque point a été vérifié. Elle ne dit rien de ce qui n'est pas constaté dans une source primaire.

Les normes harmonisées et le mandat M/606

Aucune norme harmonisée n'est citée au Journal officiel de l'Union à ce jour. La présomption de conformité de l'article 27 n'est ouverte pour aucune catégorie de produit.

Les travaux existent et avancent. Le mandat de normalisation M/606, document C(2025)618, porte sur environ 41 normes et a été accepté par le CEN, le CENELEC et l'ETSI le 3 avril 2025. Plusieurs livrables sont en enquête publique. Les échéances de livraison s'échelonnent de fin 2026 à fin 2027 selon le type de norme, et nous ne donnons pas de date plus précise ici : les sources publiques divergent sur ce point, et une date fausse sur un calendrier industriel coûte plus cher qu'une absence de date.

Ce qu'il faut en retenir sur le fond : une norme en enquête publique n'ouvre aucune présomption de conformité. Seule la citation au Journal officiel de l'Union le fait.

La conséquence pratique, et elle est rarement écrite

Le croisement des deux points précédents change le régime réel d'un produit important de classe I. Pour cette classe, le règlement ouvre l'auto-évaluation à condition que le fabricant applique intégralement des normes harmonisées ou un schéma de certification européen d'un niveau au moins substantiel.

Or aucune norme harmonisée n'est citée et aucun schéma n'est désigné par acte délégué. À droit constant, la voie de l'auto-évaluation est donc en pratique fermée pour un produit important de classe I, et l'intervention d'un organisme notifié devient le régime par défaut. Au même moment, aucun organisme notifié n'est enregistré.

C'est un argument de calendrier, pas une raison d'attendre. Le travail qui prépare une évaluation, quelle qu'en soit la voie, est le même : l'analyse de risque, les preuves sur les exigences de l'annexe I, et la documentation technique. Il se mène aujourd'hui, et il conditionne la capacité à se positionner tôt le jour où les deux blocages se lèveront. La classe de votre produit est donc la première chose à établir, avant toute décision de calendrier.

Les actes délégués et d'exécution attendus

Trois textes manquent, et chacun bloque une partie du dispositif. Aucun des trois n'est adopté à ce jour.

L'acte délégué de l'article 8, paragraphe 1, qui doit rendre obligatoire la certification de certains produits critiques, n'est pas adopté et aucun projet n'est publié.

L'acte délégué de l'article 27, paragraphe 9, qui doit désigner les schémas de certification européens ouvrant la présomption de conformité, est annoncé par la Commission pour le quatrième trimestre 2026. Il n'est pas adopté à ce jour.

L'acte d'exécution de l'article 33, paragraphe 5, qui doit définir le format simplifié de documentation technique que les organismes notifiés devront accepter des micro et petites entreprises, n'est pas adopté à ce jour. L'allègement, lui, est déjà dans le règlement : c'est son formulaire qui manque.

Les rectificatifs publiés, et ce qu'ils corrigent

Quatre rectificatifs au règlement (UE) 2024/2847 ont été publiés, les 2 juillet 2025, 3 octobre 2025, 17 octobre 2025 et 25 mars 2026. Chacun paraît au Journal officiel comme un acte distinct. Le texte qui fait foi est le texte authentique du règlement complété de ces quatre rectificatifs : il n'existe pas de version consolidée.

Deux d'entre eux changent la lecture d'un point souvent commenté de travers.

Le rectificatif du 25 mars 2026 corrige l'annexe III, classe I, point 6. La publication initiale écrivait « systèmes de gestion de la qualité », ce qui n'avait pas de sens dans une liste de produits de sécurité. La lecture correcte est « systèmes de gestion de réseau », conforme à la version anglaise et au règlement d'exécution (UE) 2025/2392.

Le rectificatif du 2 juillet 2025 corrige l'article 69, paragraphe 3. La lecture correcte est « avant le 11 décembre 2027 ». L'obligation de signalement couvre donc les produits déjà mis sur le marché, et pas seulement ceux qui le seront à partir de cette date. C'est la correction qui a le plus d'effet pratique de toute la liste.

Les deux autres portent sur des points plus étroits, et se lisent chacun dans son propre acte de rectificatif au Journal officiel.

Le rectificatif du 3 octobre 2025 porte sur l'annexe I, partie I, point 2 c), la propriété qui impose des produits corrigeables par mises à jour de sécurité. La formulation retenue est « être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ». Le rectificatif du 17 octobre 2025 porte sur l'article 67, qui ajoute le règlement (UE) 2024/2847 à l'annexe I de la directive (UE) 2020/1828 sur les actions représentatives, sous le point 72.

Nous ne disons rien de plus de leur portée : chaque rectificatif indique le passage qu'il modifie, pas ce qu'il corrige par rapport à la publication initiale.

Une conséquence de méthode, valable pour toute citation du règlement : ne jamais citer la publication initiale au Journal officiel seule, car elle contient des erreurs corrigées depuis. Le texte expliqué en clair sur ce site est établi sur le texte authentique complété de ses rectificatifs.