Règlement (UE) 2024/2847 · Chapitre VIII
Article 69 : vos produits déjà vendus échappent aux exigences, pas au signalement
Un produit mis sur le marché avant le 11 décembre 2027 échappe aux exigences du CRA, sauf modification substantielle, mais pas au signalement.
Ce que dit l’article
Un exemplaire mis sur le marché avant le 11 décembre 2027 n'a pas à respecter les exigences du règlement.
Cet article du Cyber Resilience Act (CRA) dit ce que deviennent les produits, et les attestations, qui existent avant cette date.
Les produits déjà sur le marché
Ils restent hors des exigences du règlement, tant qu'ils ne font pas l'objet d'une modification substantielle.
Le signalement des failles
Il vise tous les produits du champ, y compris ceux mis sur le marché avant le 11 décembre 2027.
Les attestations d'examen UE de type
Avec les décisions d'approbation délivrées pour la cybersécurité au titre d'un autre texte, elles restent valables jusqu'au 11 juin 2028.
Le règlement raisonne exemplaire par exemplaire, pas modèle par modèle. Vous fabriquez une caméra connectée depuis 2023 ? Les caméras livrées à vos revendeurs ou à vos clients avant le 11 décembre 2027 restent hors de ses exigences. Celles que vous mettez sur le marché à partir de cette date doivent être conformes, même identiques aux premières.
Un exemplaire resté dans votre entrepôt n'a encore été fourni à personne : il n'est pas mis sur le marché.
Une mise à jour de sécurité ne fait pas entrer un produit ancien dans le règlement. Une modification substantielle, si. Elle touche la conformité du produit aux exigences de sécurité, ou change l'usage pour lequel il a été évalué.
Une nouvelle langue ou une retouche visuelle n'en est pas une, en règle générale. Ouvrir une interface réseau que l'analyse de risque du fabricant n'avait pas prévue est, en principe, une modification substantielle. Le détail des cas est sur la page des quatre rôles.
Le signalement des failles exploitées, lui, vise tous vos produits, même anciens. Il s'applique depuis le 11 septembre 2026 : voyez le signalement en 24 heures.
Les attestations d'examen UE de type et les décisions d'approbation déjà délivrées restent valables jusqu'au 11 juin 2028. Il s'agit de celles délivrées pour la cybersécurité au titre d'un autre texte européen, par exemple pour les équipements radio. Elles peuvent expirer plus tôt, ou cet autre texte peut en disposer autrement.
Une déclaration de conformité établie par le fabricant lui-même n'en est pas une. C'est le cas de la déclaration établie au titre de la directive sur les équipements radio (RED), en appliquant l'EN 18031. Le cas des objets radio est sur la page des objets radio connectés.
Le texte en détail : article 69, article 3, points 21, 22 et 30, et considérants 38 et 39
Le paragraphe 2 soustrait aux exigences du règlement les produits mis sur le marché avant le 11 décembre 2027. Seule une modification substantielle à compter de cette date les y soumet.
La mise sur le marché est la première mise à disposition sur le marché de l'Union (article 3, point 21). La mise à disposition est la fourniture du produit dans le cadre d'une activité commerciale (point 22).
Le Guide bleu de la Commission (2022, section 2.3) le confirme pour le stock. Un produit encore dans les lieux de stockage du fabricant ou de l'importateur, et pas encore fourni, n'est pas mis sur le marché.
Le même Guide précise que la mise sur le marché exige une offre ou un accord de transfert du produit, et non sa remise physique.
Le considérant 38 applique les exigences à chaque produit lors de sa mise sur le marché, qu'il soit fabriqué à l'unité ou en série.
La Commission retient la même lecture à la question 7.2 de sa FAQ. Seuls les exemplaires mis sur le marché avant le 11 décembre 2027 échappent aux exigences.
La modification substantielle est définie à l'article 3, point 30. Le considérant 39 en exclut la mise à jour de sécurité qui ne change pas l'usage prévu du produit.
Le même considérant range parmi les modifications substantielles la mise à jour qui change les fonctions prévues et accroît le risque. Elle doit aussi ne pas avoir été prévue dans l'évaluation initiale des risques.
Ouvrir une interface réseau imprévue : article 3, point 30, et considérants 38 et 39. Selon le considérant 39, l'ajout de nouvelles caractéristiques « accroît généralement la surface d'attaque ». Les lignes directrices de la Commission, pas encore formellement adoptées, citent l'ajout d'interfaces joignables de l'extérieur (points 109 et 110).
Le paragraphe 3 maintient l'article 14 pour les produits antérieurs. Le paragraphe 1 vise les attestations d'examen UE de type et les décisions d'approbation délivrées au titre d'autres législations d'harmonisation.
La Commission cite le règlement délégué (UE) 2022/30, sur les équipements radio, comme exemple d'une telle législation (FAQ, question 7.1).
À qui il s’applique
Cet article concerne tous ceux qui ont des produits sur le marché avant le 11 décembre 2027.
Fabricant
Vos exemplaires mis sur le marché avant le 11 décembre 2027 restent hors des exigences. Vous signalez quand même leurs failles exploitées.
Importateur et distributeur
Le stock déjà mis sur le marché se vend après cette date sans mise en conformité. Une modification substantielle le ferait entrer dans le règlement.
Titulaire d'une attestation
Une attestation d'examen UE de type ou une décision d'approbation, délivrée pour la cybersécurité au titre d'un autre texte, reste valable jusqu'au 11 juin 2028.
Le texte en détail : FAQ de la Commission, questions 7.2 et 7.5
Un distributeur n'a pas à mettre en conformité un produit mis sur le marché avant le 11 décembre 2027 (question 7.5). Seule une modification substantielle de sa part changerait la donne.
Un fabricant ne peut pas mettre sur le marché, à partir de cette date, de nouveaux exemplaires d'un type non conforme (question 7.2).
Depuis quand
La frontière tombe le 11 décembre 2027.
Avant cette date, un exemplaire mis sur le marché reste hors des exigences. À partir de ce jour, chaque nouvel exemplaire doit y répondre.
Le signalement, lui, s'applique depuis le 11 septembre 2026, aux produits anciens comme aux nouveaux. Une exploitation apprise depuis cette date se signale, quel que soit l'âge du produit.
La version française a été corrigée en 2025. Elle disait « mis sur le marché le 11 décembre 2027 » : prise à la lettre, elle ne visait qu'une journée. Le rectificatif du 2 juillet 2025 fait lire « avant le 11 décembre 2027 ». La note placée sous le texte officiel, plus bas, le montre.
Le texte en détail : articles 69 et 71, et rectificatif du 2 juillet 2025
L'article 69 ne figure pas parmi les dispositions avancées par l'article 71, paragraphe 2. Ses paragraphes 1 et 2 jouent donc à partir du 11 décembre 2027.
Le paragraphe 3 maintient l'article 14 pour les produits antérieurs. La Commission applique ce signalement dès le 11 septembre 2026, à la question 5.3 de sa FAQ.
Le Journal officiel du 20 novembre 2024 portait, en français, « mis sur le marché le 11 décembre 2027 ». Le rectificatif du 2 juillet 2025, publié en vingt-quatre langues, fait lire « avant ».
Ce que vous devez faire
Datez vos mises sur le marché, et qualifiez vos mises à jour.
- Vos dates de mise sur le marché Pour chaque lot, gardez la preuve de la première livraison : bon de livraison, facture.
- Vos modèles vendus après le 11 décembre 2027 Chaque exemplaire livré à partir de cette date doit être conforme. Planifiez-le modèle par modèle.
- Vos mises à jour après cette date Pour chacune, notez pourquoi elle n'est pas une modification substantielle, ou traitez-la comme telle.
- Votre procédure de signalement Elle couvre déjà tous vos produits, même anciens.
Pour vos produits anciens comme pour les nouveaux, votre espace DATIVO calcule les échéances de chaque incident, sans frais.
Le diagnostic vous dit si le règlement vous concerne, et ce qui s'applique déjà à vos produits. Il est sans frais et sans compte : commencer le diagnostic.
Pour un modèle que vous vendrez encore après le 11 décembre 2027, le dossier établit son rapport d'écarts avec les exigences. Il produit ensuite sa documentation technique et le projet de déclaration UE de conformité.
Le texte officiel
Notes sur le texte français
Rectificatif du 2 juillet 2025 (JO L, 2025/90555), vingt-quatre langues, dont le français
Paragraphe 3. Au lieu de « 3. Par dérogation au paragraphe 2 du présent article, les obligations prévues à l’article 14 s’appliquent à tous les produits comportant des éléments numériques relevant du champ d’application du présent règlement qui ont été mis sur le marché le 11 décembre 2027. », lire « 3. Par dérogation au paragraphe 2 du présent article, les obligations prévues à l’article 14 s’appliquent à tous les produits comportant des éléments numériques relevant du champ d’application du présent règlement qui ont été mis sur le marché avant le 11 décembre 2027. ».
Texte officiel de l’article 69
Article 69
Dispositions transitoires
1. Les attestations d’examen UE de type et les décisions d’approbation délivrées en ce qui concerne les exigences de cybersécurité applicables aux produits comportant des éléments numériques qui sont soumis à d’autres législations d’harmonisation de l’Union restent valables jusqu’au 11 juin 2028, à moins qu’elles n’expirent avant cette date, ou sauf disposition contraire dans toute autre législation d’harmonisation de l’Union, auquel cas elles restent valables conformément à cette législation.
2. Les produits comportant des éléments numériques qui ont été mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences énoncées dans le présent règlement que si, à compter de cette date, ces produits font l’objet d’une modification substantielle.
3. Par dérogation au paragraphe 2 du présent article, les obligations prévues à l’article 14 s’appliquent à tous les produits comportant des éléments numériques relevant du champ d’application du présent règlement qui ont été mis sur le marché le 11 décembre 2027. voir la note 1
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Les pages du site qui en traitent
Questions fréquentes
Puis-je vendre mon stock après le 11 décembre 2027 ?
Oui pour les exemplaires déjà mis sur le marché avant cette date : ils restent hors des exigences (art. 69, paragraphe 2). Non pour ceux que vous mettez sur le marché ensuite, même identiques (FAQ de la Commission, question 7.2). Un exemplaire encore dans votre entrepôt n'est pas mis sur le marché (art. 3, points 21 et 22). Le Guide bleu de la Commission le confirme (section 2.3).
Une mise à jour de sécurité fait-elle entrer un produit ancien dans le règlement ?
Non, si elle réduit le risque sans changer l'usage prévu (considérant 39). Une mise à jour mineure, comme une nouvelle langue ou une retouche visuelle, n'est pas non plus en règle générale une modification substantielle. Une nouvelle fonction qui change l'usage prévu et accroît le risque peut l'être.
Dois-je signaler une faille exploitée dans un produit vendu il y a dix ans ?
Oui, si le produit relève du règlement (art. 69, paragraphe 3). L'obligation part du jour où vous apprenez l'exploitation, à partir du 11 septembre 2026. Une nouvelle preuve d'exploitation apprise depuis cette date se signale, même pour une faille connue avant. Le texte ne fixe aucune limite d'âge. Pour un tel produit, la Commission précise que vous signalez sans être tenu aux autres obligations (FAQ, question 5.3).
Pour un logiciel téléchargé, qu'est-ce qu'un exemplaire ?
Les textes ne le précisent pas à ce jour. Ce qui compte est la mise sur le marché de chaque produit, lors de sa première mise à disposition dans l'Union. En cas d'enjeu, faites valider votre situation.
Pourquoi lit-on parfois « mis sur le marché le 11 décembre 2027 » ?
C'est le texte français publié au Journal officiel le 20 novembre 2024. Le rectificatif du 2 juillet 2025 le corrige, et il faut lire « avant le 11 décembre 2027 ». Le texte authentique affiché sur EUR-Lex reste celui du Journal officiel : la correction figure dans un acte séparé.
Mon attestation obtenue pour un équipement radio reste-t-elle valable ?
Une attestation d'examen UE de type ou une décision d'approbation reste valable jusqu'au 11 juin 2028 (art. 69, paragraphe 1). Elle doit avoir été délivrée pour la cybersécurité, au titre d'un autre texte. La Commission cite les équipements radio comme exemple (FAQ, question 7.1). Elle peut expirer plus tôt, ou cet autre texte en disposer autrement. Une déclaration de conformité que vous avez établie vous-même, en appliquant l'EN 18031, n'est pas une attestation au sens de cet article.
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Rectificatif du 2 juillet 2025 au règlement (UE) 2024/2847, articles 64 et 69
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, questions 1.4, 5.3, 7.1, 7.2 et 7.5 (en anglais)
- Règlement délégué (UE) 2022/30, cybersécurité des équipements radioélectriques
- Commission européenne, « Guide bleu » relatif à la mise en œuvre de la réglementation de l'UE sur les produits 2022, section 2.3
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.