PAGE DE VEILLE · ÉTAT VÉRIFIÉ ET DATÉ
Le CRA au 20 octobre 2026 : aucune norme citée, aucun organisme notifié
Au 20 octobre 2026, aucune norme harmonisée CRA n'est citée et aucun organisme notifié n'est enregistré. Actes attendus et autorités françaises.
Sur cette page
- Le point, sujet par sujet
- Aucune norme harmonisée n'est citée à ce jour
- Aucun organisme notifié n'est enregistré à ce jour
- Pour la classe I, l'organisme notifié devient la voie par défaut
- En France, l'ANSSI est désignée, la loi sur la surveillance du marché attend
- Trois textes d'application manquent encore
- Les lignes directrices de la Commission éclairent l'intention du texte
- Quatre rectificatifs corrigent le règlement
- Chaque ligne porte la date de sa dernière vérification
Le Cyber Resilience Act (CRA) est en vigueur, mais tout ce qui doit le rendre praticable n'est pas encore en place.
Chaque point ci-dessous est daté, et constaté dans une source primaire.
Normes, actes et autorités
Le point, sujet par sujet
| Sujet | État | Vérifié le |
|---|---|---|
| Normes harmonisées CRA | Aucune citée au Journal officiel de l'Union | 20 octobre 2026 |
| Mandat de normalisation M/606 | Accepté, travaux en cours, livrables en enquête publique | 17 octobre 2026 |
| Organismes notifiés | Aucun enregistré | 20 octobre 2026 |
| Désignation des autorités en France | ANSSI autorité notifiante par décret du 9 octobre 2026 ; la loi qui désigne l'ANFR n'est pas adoptée | 17 octobre 2026 |
| Acte délégué article 8(1), produits critiques | Non adopté, aucun projet publié | 17 octobre 2026 |
| Acte délégué article 27(9), schémas de certification | Non adopté ; un premier acte, sur le schéma EUCC, est prévu au premier trimestre 2027 | 17 octobre 2026 |
| Acte d'exécution article 33(5), documentation simplifiée | Non adopté | 20 octobre 2026 |
| Lignes directrices C(2026) 5252 | Publiées le 27 juillet 2026, pas encore formellement adoptées | 17 octobre 2026 |
| Rectificatifs au règlement | Quatre publiés, à lire avec le texte authentique ; la version consolidée n'a pas de valeur juridique | 17 octobre 2026 |
| Acte modificatif (UE) 2025/327 | Modifie les articles 13, 31 et 32 pour les dossiers médicaux électroniques, à partir du 26 mars 2027 | 17 octobre 2026 |
Article 27
Aucune norme harmonisée n'est citée à ce jour
Aucune norme harmonisée n'est citée au Journal officiel de l'Union à ce jour.
Une norme harmonisée est une norme européenne qui, une fois citée, ouvre la présomption de conformité. Cette présomption n'est donc ouverte pour aucun produit.
Le mandat de normalisation M/606 porte sur environ 41 normes. Il a été accepté par le CEN, le CENELEC et l'ETSI le 3 avril 2025. Plusieurs livrables sont en enquête publique.
- environ 41 normes
- Le mandat de normalisation M/606
- 3 avril 2025
- accepté par le CEN, le CENELEC et l'ETSI le
Les livraisons s'échelonnent de fin 2026 à fin 2027, selon le type de norme. Une norme en enquête publique n'ouvre aucune présomption, seule sa citation au Journal officiel le fait.
Le texte en détail : article 27 et mandat M/606
La présomption de conformité est celle de l'article 27 du règlement (UE) 2024/2847. Elle n'est ouverte pour aucune catégorie de produit à ce jour. Une norme en enquête publique n'ouvre aucune présomption de conformité : seule la citation au Journal officiel de l'Union le fait.
Une date fausse sur un calendrier industriel coûte plus cher qu'une absence de date : c'est pourquoi nous ne donnons pas d'échéance de livraison plus précise.
Le mandat de normalisation M/606 est le document C(2025)618.
Article 35
Aucun organisme notifié n'est enregistré à ce jour
Aucun organisme notifié n'est enregistré à ce jour, même si les règles qui les encadrent s'appliquent déjà.
Un organisme notifié est un organisme extérieur habilité à évaluer certains produits. Les règles de notification du règlement s'appliquent pourtant depuis le 11 juin 2026. Le règlement fixe l'objectif d'une capacité d'évaluation suffisante au 11 décembre 2026.
- Les règles de notification du règlement s'appliquent
- l'objectif d'une capacité d'évaluation suffisante
Le texte en détail : article 35, paragraphe 2
L'article 35, paragraphe 2 fixe l'objectif d'une capacité d'évaluation suffisante au 11 décembre 2026.
Produits importants de classe I
Pour la classe I, l'organisme notifié devient la voie par défaut
Pour un produit important de classe I, l'auto-évaluation est en pratique fermée à droit constant.
Le règlement l'autorise à une condition : appliquer intégralement des normes harmonisées, ou un schéma de certification européen.
Or aucune norme harmonisée n'est citée, et aucun schéma n'est désigné. L'intervention d'un organisme notifié devient donc le régime par défaut. Et au même moment, aucun organisme notifié n'est enregistré.
- aucune norme harmonisée
- n'est citée
- aucun organisme notifié
- n'est enregistré
C'est un argument de calendrier, et une raison de commencer tôt. Quelle que soit la voie, la préparation est la même : l'analyse de risque, les preuves sur les exigences de sécurité, la documentation technique. Menez-la dès aujourd'hui, pour vous positionner tôt quand les blocages se lèveront. Établissez d'abord la classe de votre produit.
Le dossier prépare justement ces trois pièces, produit par produit, quelle que soit la voie qui s'ouvrira.
Le texte en détail : la condition de l'auto-évaluation
Pour un produit important de classe I, le règlement ouvre l'auto-évaluation à condition que le fabricant applique intégralement des normes harmonisées, ou un schéma de certification européen d'un niveau au moins substantiel.
Aucune norme harmonisée n'est citée, et aucun schéma n'est désigné par acte délégué. La classe du produit est donc la première chose à établir, avant toute décision de calendrier. À droit constant, la voie de l'auto-évaluation est donc en pratique fermée pour un produit important de classe I, et l'intervention d'un organisme notifié devient le régime par défaut.
ANFR et ANSSI
En France, l'ANSSI est désignée, la loi sur la surveillance du marché attend
En France, l'ANSSI est l'autorité notifiante depuis un décret du 9 octobre 2026.
Elle notifie les organismes chargés d'évaluer certains produits, et les contrôle. La loi qui ferait de l'ANFR, l'Agence nationale des fréquences, l'autorité de surveillance du marché n'est pas adoptée.
Le projet de loi a été adopté par le Sénat le 18 février 2026, et attend son examen à l'Assemblée nationale. Le Sénat l'a votée le 18 février 2026, l'Assemblée nationale ne l'a pas encore examinée.
- adopté par le Sénat
- déposé à l'Assemblée nationale
- l'ANSSI est l'autorité notifiante
Le texte en détail : le décret et le projet de loi
Le décret n° 2026-944 du 9 octobre 2026 fait de l'ANSSI l'autorité notifiante (article 36, paragraphe 1, du règlement). Il lui confie aussi le contrôle des organismes notifiés (article 36, paragraphe 2). Il est paru au Journal officiel du 11 octobre 2026.
Pour l'ANFR, le véhicule est le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne. Son article 32 insère un I quinquies à l'article L. 43 du code des postes et des communications électroniques. L'ANFR y assure le contrôle du respect du règlement (UE) 2024/2847.
Le texte a été adopté par le Sénat le 18 février 2026, et déposé à l'Assemblée nationale le 20 février sous le numéro 2518. Sa commission saisie au fond n'a publié ni rapport ni texte, et aucune séance publique n'est constatée à ce jour.
Pour la France, le CSIRT coordinateur, l'équipe de réponse aux incidents, est le CERT-FR de l'ANSSI. Il reçoit vos signalements et coordonne la diffusion de l'information (source : ANSSI).
Articles 8, 27 et 33
Trois textes d'application manquent encore
Trois textes manquent, et chacun bloque une partie du dispositif.
Aucun des trois n'est adopté à ce jour. Quand l'un d'eux paraît, la veille vous dit si votre produit est touché.
La certification obligatoire des produits critiques
Ce texte doit rendre obligatoire la certification de certains produits critiques. Il n'est pas adopté, et aucun projet n'est publié.
Les schémas de certification européens
Ce texte doit désigner les schémas qui, au niveau « substantiel », dispensent de l'organisme notifié. La Commission annonce un premier acte, sur le schéma EUCC, pour le premier trimestre 2027. Il n'est pas adopté à ce jour.
La documentation simplifiée des petites entreprises
Ce texte doit définir le format simplifié de documentation technique des micro et petites entreprises. Les organismes notifiés devront l'accepter. L'allègement, lui, est déjà dans le règlement : c'est son formulaire qui manque.
Le texte en détail : articles 8, 27 et 33
La certification obligatoire de certains produits critiques relève de l'acte délégué de l'article 8, paragraphe 1.
L'acte délégué de l'article 27, paragraphe 9 désigne des schémas européens de certification. Au niveau d'assurance au moins « substantiel », leurs certificats dispensent de l'évaluation par un tiers (article 32, paragraphes 2 et 3).
La présomption de conformité, elle, ne l'attend pas. Elle joue à partir du 11 décembre 2027. Un certificat délivré dans un schéma adopté au titre du règlement (UE) 2019/881 la donne alors, pour les exigences qu'il couvre (article 27, paragraphe 8). Au 20 octobre 2026, le seul schéma adopté est l'EUCC.
Le 15 octobre 2026, la Commission a inscrit sur son portail « Donnez votre avis » un acte délégué sur le schéma EUCC. Il désignerait ce schéma au titre de l'article 27, paragraphe 9. Son adoption est prévue au premier trimestre 2027.
Le format simplifié de documentation technique que les organismes notifiés devront accepter des micro et petites entreprises relève de l'acte d'exécution de l'article 33, paragraphe 5.
C(2026) 5252
Les lignes directrices de la Commission éclairent l'intention du texte
Les lignes directrices C(2026) 5252 ont été publiées le 27 juillet 2026.
Elles ne sont pas encore formellement adoptées. Leur adoption attend que toutes les versions linguistiques soient disponibles.
- 27 juillet 2026
- Les lignes directrices C(2026) 5252 ont été publiées le
Leur version française officielle n'est pas confirmée à ce jour. Nous ne les citons ni comme source française officielle, ni comme texte contraignant. Elles aident à comprendre l'intention du règlement, sans valeur pour trancher un cas.
Cinq actes au Journal officiel
Quatre rectificatifs corrigent le règlement
Quatre rectificatifs au règlement (UE) 2024/2847 ont été publiés, les 2 juillet 2025, 3 octobre 2025, 17 octobre 2025 et 25 mars 2026.
Un rectificatif est un acte distinct qui corrige un texte déjà publié. Le texte qui fait foi est le texte authentique complété des quatre rectificatifs. Une version consolidée existe au registre de l'Office des publications (02024R2847-20241120) : elle n'a pas de valeur juridique.
Un acte modifie aussi le règlement : le règlement (UE) 2025/327 du 11 février 2025, sur l'espace européen des données de santé. Son article 104 change les articles 13, 31 et 32 à partir du 26 mars 2027.
- les produits déjà mis sur le marché
- produits corrigeables par mises à jour de sécurité
- les actions représentatives
- la liste des produits de classe I
Le rectificatif du 2 juillet 2025 a le plus d'effet pratique. La lecture correcte est « avant le 11 décembre 2027 ». L'obligation de signalement couvre donc les produits déjà mis sur le marché, pas seulement ceux qui le seront à partir de cette date.
Le rectificatif du 25 mars 2026 corrige la liste des produits de classe I. « Systèmes de gestion de la qualité » n'avait pas de sens parmi des produits de sécurité. La lecture correcte est « systèmes de gestion de réseau ».
Le texte en détail : les quatre rectificatifs et l'acte modificatif
Le rectificatif du 2 juillet 2025 corrige l'article 69, paragraphe 3. La lecture correcte est « avant le 11 décembre 2027 ».
Annexe III, classe I, point 6 : la publication initiale française du règlement écrivait « systèmes de gestion de la qualité ». Le rectificatif du 25 mars 2026 fait lire « systèmes de gestion de réseau ».
La version anglaise et la description technique du règlement d'exécution (UE) 2025/2392 visent les systèmes de gestion de réseau. L'intitulé français de ce règlement d'exécution reprend pourtant l'erreur, et aucun rectificatif n'est publié à ce jour. Nous retenons le sens « gestion de réseau ». Constat du 20 octobre 2026.
Le rectificatif du 3 octobre 2025 porte sur l'annexe I, partie I, point 2 c), la propriété qui impose des produits corrigeables par mises à jour de sécurité. La formulation retenue est « être conçus de façon à ce que leurs vulnérabilités puissent être corrigées ».
Le rectificatif du 17 octobre 2025 porte sur l'article 67, qui ajoute le règlement (UE) 2024/2847 à l'annexe I de la directive (UE) 2020/1828 sur les actions représentatives, sous le point 72.
Nous ne disons rien de plus de la portée de ces deux derniers : chaque rectificatif indique le passage qu'il modifie, pas ce qu'il corrige par rapport à la publication initiale.
L'article 104 du règlement (UE) 2025/327 s'applique le 26 mars 2027. Il remplace l'article 13, paragraphe 4, et l'article 31, paragraphe 3. Il insère un paragraphe 5 bis à l'article 32. Le fabricant d'un système de dossier médical électronique y démontre sa conformité aux exigences essentielles par la procédure du règlement 2025/327.
Ne citez jamais la publication initiale du Journal officiel seule : elle contient des erreurs corrigées depuis. L'explication du règlement sur ce site part du texte authentique complété de ses rectificatifs.
La méthode
Chaque ligne porte la date de sa dernière vérification
La date de chaque ligne du tableau est celle de sa dernière vérification, et non de la dernière retouche.
Votre dossier dépend de ces textes. Quand l'un d'eux paraît, la veille du dossier vous dit si votre produit est touché, et ce qu'il faut revoir. 3 mois de veille sont inclus avec chaque dossier.
Vous ne savez pas encore si le CRA vous concerne ? Faites le diagnostic, sans frais et sans compte.
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Règlement d'exécution (UE) 2025/2392, catégories de produits
- Commission, évaluation de la conformité
- Commission, normalisation
- Commission, suivi de la mise en oeuvre
- Commission, lignes directrices du 27 juillet 2026
- Assemblée nationale, dossier DDADUE
- Décret n° 2026-944 du 9 octobre 2026, Légifrance
- Commission, acte délégué sur le schéma EUCC
- Règlement (UE) 2025/327, article 104
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.
Vous savez déjà que le règlement vous concerne ?
Déclarez vos produits dans votre espace. Le signalement des fabricants s’applique depuis le 11 septembre 2026 : l’espace calcule les échéances de chaque incident. L’accès est sans frais.