# Article 71 : en vigueur depuis 2024, le règlement s'applique en trois temps

_Vérifié le 25 octobre 2026._

> EN BREF
> Le règlement est en vigueur depuis le 10 décembre 2024, mais ses obligations arrivent plus tard.
> Il s'applique le 11 décembre 2027, avec deux exceptions dont la date est déjà passée.
> Pour les fabricants, seul le signalement est avancé, ni les exigences essentielles ni les amendes.
> La vue d'ensemble de votre espace DATIVO montre, produit par produit, l'échéance de signalement la plus proche.

## Ce que dit l’article

**Le règlement est entré en vigueur le 10 décembre 2024, mais ses obligations s'appliquent plus tard.** Cet article du Cyber Resilience Act (CRA) sépare ces deux moments. L'entrée en vigueur fait exister le texte ; l'application rend ses obligations exigibles.

Prenez un éditeur qui vend en 2026 un logiciel installé chez ses clients. Les exigences de sécurité du règlement ne s'imposent pas encore à lui. Il doit en revanche déjà signaler une faille exploitée dans ce logiciel.

**Le règlement s'applique le 11 décembre 2027, avec deux exceptions déjà passées.**

> FRISE
> 10 décembre 2024 | entrée en vigueur | passe
> 11 juin 2026 | la notification des organismes d'évaluation | passe
> 11 septembre 2026 | le signalement des failles | passe
> 11 décembre 2027 | le reste du règlement | futur

**Une seule de ces exceptions vise les fabricants : le signalement.** Depuis le 11 septembre 2026 s'applique le signalement des failles exploitées et des incidents graves. Il commence par [une alerte en 24 heures](/signalement-24-heures/), sur la plateforme européenne de signalement.

Depuis le 11 juin 2026 s'applique la notification des organismes d'évaluation de la conformité. Ces règles s'adressent aux États et aux organismes, pas à vous. Elles permettent que des organismes notifiés existent avant décembre 2027.

Le 11 décembre 2027 s'appliquera le reste du règlement.

**Rien d'autre n'est avancé : ni les exigences essentielles, ni les amendes.** La documentation technique, le marquage CE et les obligations des importateurs et des distributeurs attendent aussi le 11 décembre 2027.

> DETAIL: Le texte en détail : articles 35 et 71, et considérant 126
> Le paragraphe 1 fait entrer le règlement en vigueur le vingtième jour suivant sa publication au Journal officiel. Publié le 20 novembre 2024, il est entré en vigueur le 10 décembre 2024.
>
> Le paragraphe 2 le rend applicable à partir du 11 décembre 2027. Seuls l'article 14 et le chapitre IV, articles 35 à 51, s'appliquent plus tôt.
>
> Le chapitre IV organise la notification des organismes d'évaluation de la conformité. L'article 35, paragraphe 2 demande aux États de s'efforcer d'en avoir assez au plus tard le 11 décembre 2026. La section « Depuis quand » y revient.
>
> Le considérant 126 en donne la raison : accorder aux opérateurs économiques un délai suffisant pour s'adapter aux exigences du règlement.
>
> La notice du règlement à l'Office des publications enregistre les mêmes dates : 10 décembre 2024, 11 juin 2026, 11 septembre 2026 et 11 décembre 2027.

## À qui il s’applique

**Cet article fixe le calendrier de tous les acteurs du règlement.** Chacun a sa date.

> CARTES
> Fabricant | Il signale depuis le 11 septembre 2026. Le reste l'attend le 11 décembre 2027 : exigences essentielles, documentation technique, marquage CE.
> Importateur et distributeur | Leurs obligations propres s'appliquent le 11 décembre 2027. Aucune n'est avancée.
> Intendant de logiciels ouverts | Ses obligations, y compris sa part de signalement, s'appliquent le 11 décembre 2027.
> États et organismes notifiés | Les règles de notification des organismes d'évaluation s'appliquent depuis le 11 juin 2026.

Vous revendez des caméras connectées fabriquées par d'autres ? Aucune obligation du règlement ne vous vise avant le 11 décembre 2027. Sauf si vous êtes en réalité fabricant : voyez [les quatre rôles](/les-quatre-roles/).

> DETAIL: Le texte en détail : articles 19, 20, 24 et 71
> Les articles 19 et 20, propres aux importateurs et aux distributeurs, ne figurent pas parmi les dispositions avancées par l'article 71, paragraphe 2. Ils s'appliquent le 11 décembre 2027.
>
> L'article 24, paragraphe 3 soumet certains intendants de logiciels ouverts à une partie de l'article 14. Il s'applique lui aussi le 11 décembre 2027, comme le rappellent la Commission et l'Agence de l'Union européenne pour la cybersécurité (ENISA).

## Depuis quand

**Ce calendrier vaut depuis le 10 décembre 2024, et aucun texte ne l'a modifié à ce jour.** Aucun rectificatif ne touche cet article, et le seul acte modificatif du règlement porte sur d'autres articles.

Le texte fixe des dates, sans condition. Elles ne dépendent ni de la parution des normes harmonisées, ni du nombre d'organismes notifiés.

**D'autres dates du règlement ne sont pas des dates d'application.** Au plus tard le 11 décembre 2026, les États doivent s'efforcer d'avoir assez d'organismes notifiés. Certaines attestations délivrées au titre d'autres textes restent valables jusqu'au 11 juin 2028.

> DETAIL: Le texte en détail : articles 35, 69 et 71, et actes modificatifs
> Aucun des quatre rectificatifs publiés en français ne porte sur l'article 71, au 17 octobre 2026.
>
> Le seul acte modificatif adopté, le règlement (UE) 2025/327, modifie les articles 13, 31 et 32, à compter du 26 mars 2027.
>
> Les États membres s'efforcent d'assurer un nombre suffisant d'organismes notifiés au plus tard le 11 décembre 2026 (article 35, paragraphe 2). C'est ce qui permet des organismes notifiés avant décembre 2027, comme le dit la section « Ce que dit l’article ».
>
> Les attestations d'examen UE de type et les décisions d'approbation visées à l'article 69, paragraphe 1 restent valables jusqu'au 11 juin 2028, sauf expiration antérieure.

## Ce que vous devez faire

**Regardez d'abord ce qui s'applique déjà, puis préparez le 11 décembre 2027.**

> CONTROLE
> Dès aujourd'hui | Préparez le signalement de vos failles exploitées : il s'applique déjà, à tous vos produits.
> Avant le 11 décembre 2027 | Mettez en conformité chaque modèle que vous vendrez encore après cette date.
> Pour vos produits déjà vendus | Ceux mis sur le marché avant le 11 décembre 2027 échappent aux exigences, sauf modification substantielle. Le signalement, lui, les vise.

La vue d'ensemble de votre espace DATIVO suit ces dates pour vous.

Dans l’outil : Produit par produit, l'avancement du dossier et l'échéance de signalement la plus proche. (Capture d’écran « Vue d'ensemble », sur le compte de démonstration.)

Le diagnostic vous dit si le règlement vous concerne, et ce qui s'applique déjà à vos produits. Il est sans frais et sans compte : [commencer le diagnostic](/diagnostic/).

Pour un produit que vous vendrez après le 11 décembre 2027, [le dossier](/le-dossier/) part de votre produit tel qu'il est. Il en tire le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité.

## Questions fréquentes

### Le CRA est-il déjà en vigueur ?
Oui, depuis le 10 décembre 2024 (art. 71, paragraphe 1). Mais en vigueur ne veut pas dire applicable. Seuls le signalement, depuis le 11 septembre 2026, et la notification des organismes d'évaluation, depuis le 11 juin 2026, s'appliquent déjà (art. 71, paragraphe 2).

### Les amendes peuvent-elles déjà tomber ?
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.

### La plateforme de signalement existe-t-elle, alors que son article s'applique en 2027 ?
Oui. L'article 16, qui prévoit la plateforme, relève du 11 décembre 2027. L'ENISA l'a pourtant mise en service le 11 septembre 2026, le jour où le signalement est devenu applicable.

### La date du 11 décembre 2027 peut-elle bouger ?
Au 17 octobre 2026, aucun texte ne modifie l'article 71. Une proposition de la Commission du 9 septembre 2026, COM(2026) 590, sur les marchés publics, vise bien le règlement. Non adoptée à ce jour, elle supprimerait son article 5, sur les achats publics, sans toucher aux dates. Le seul acte modificatif adopté, le règlement (UE) 2025/327, porte sur d'autres articles.

## Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847
- Règlement (UE) 2024/2847, notice EUR-Lex (dates et actes liés) : https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:32024R2847
- Règlement (UE) 2025/327, article 104, modification du règlement (UE) 2024/2847 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202500327
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, questions 6.4 et 7.1 (en anglais) : https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act-implementation-frequently-asked-questions
- ENISA, mise en service de la plateforme unique de signalement : https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
- Commission européenne, proposition COM(2026) 590 du 9 septembre 2026, règlement sur les marchés publics, qui supprimerait l'article 5 du règlement (UE) 2024/2847 (en anglais) : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52026PC0590


## Le texte officiel

### Article 71 : Entrée en vigueur et application

1\. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2\. Le présent règlement est applicable à partir du 11 décembre 2027.

Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.

Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R2847#art_71