Règlement (UE) 2024/2847 · Chapitre VIII
Article 71 : en vigueur depuis 2024, le règlement s'applique en trois temps
En vigueur depuis le 10 décembre 2024, le CRA s'applique en trois temps : 11 juin 2026, 11 septembre 2026, 11 décembre 2027. Ce qui vous vise déjà.
Ce que dit l’article
Le règlement est entré en vigueur le 10 décembre 2024, mais ses obligations s'appliquent plus tard.
Cet article du Cyber Resilience Act (CRA) sépare ces deux moments. L'entrée en vigueur fait exister le texte ; l'application rend ses obligations exigibles.
Prenez un éditeur qui vend en 2026 un logiciel installé chez ses clients. Les exigences de sécurité du règlement ne s'imposent pas encore à lui. Il doit en revanche déjà signaler une faille exploitée dans ce logiciel.
- entrée en vigueur
- la notification des organismes d'évaluation
- le signalement des failles
- le reste du règlement
Une seule de ces exceptions vise les fabricants : le signalement. Depuis le 11 septembre 2026 s'applique le signalement des failles exploitées et des incidents graves. Il commence par une alerte en 24 heures, sur la plateforme européenne de signalement.
Depuis le 11 juin 2026 s'applique la notification des organismes d'évaluation de la conformité. Ces règles s'adressent aux États et aux organismes, pas à vous. Elles permettent que des organismes notifiés existent avant décembre 2027.
Le 11 décembre 2027 s'appliquera le reste du règlement.
Rien d'autre n'est avancé : ni les exigences essentielles, ni les amendes. La documentation technique, le marquage CE et les obligations des importateurs et des distributeurs attendent aussi le 11 décembre 2027.
Le texte en détail : articles 35 et 71, et considérant 126
Le paragraphe 1 fait entrer le règlement en vigueur le vingtième jour suivant sa publication au Journal officiel. Publié le 20 novembre 2024, il est entré en vigueur le 10 décembre 2024.
Le paragraphe 2 le rend applicable à partir du 11 décembre 2027. Seuls l'article 14 et le chapitre IV, articles 35 à 51, s'appliquent plus tôt.
Le chapitre IV organise la notification des organismes d'évaluation de la conformité. L'article 35, paragraphe 2 demande aux États de s'efforcer d'en avoir assez au plus tard le 11 décembre 2026. La section « Depuis quand » y revient.
Le considérant 126 en donne la raison : accorder aux opérateurs économiques un délai suffisant pour s'adapter aux exigences du règlement.
La notice du règlement à l'Office des publications enregistre les mêmes dates : 10 décembre 2024, 11 juin 2026, 11 septembre 2026 et 11 décembre 2027.
À qui il s’applique
Cet article fixe le calendrier de tous les acteurs du règlement.
Chacun a sa date.
Fabricant
Il signale depuis le 11 septembre 2026. Le reste l'attend le 11 décembre 2027 : exigences essentielles, documentation technique, marquage CE.
Importateur et distributeur
Leurs obligations propres s'appliquent le 11 décembre 2027. Aucune n'est avancée.
Intendant de logiciels ouverts
Ses obligations, y compris sa part de signalement, s'appliquent le 11 décembre 2027.
États et organismes notifiés
Les règles de notification des organismes d'évaluation s'appliquent depuis le 11 juin 2026.
Vous revendez des caméras connectées fabriquées par d'autres ? Aucune obligation du règlement ne vous vise avant le 11 décembre 2027. Sauf si vous êtes en réalité fabricant : voyez les quatre rôles.
Le texte en détail : articles 19, 20, 24 et 71
Les articles 19 et 20, propres aux importateurs et aux distributeurs, ne figurent pas parmi les dispositions avancées par l'article 71, paragraphe 2. Ils s'appliquent le 11 décembre 2027.
L'article 24, paragraphe 3 soumet certains intendants de logiciels ouverts à une partie de l'article 14. Il s'applique lui aussi le 11 décembre 2027, comme le rappellent la Commission et l'Agence de l'Union européenne pour la cybersécurité (ENISA).
Depuis quand
Ce calendrier vaut depuis le 10 décembre 2024, et aucun texte ne l'a modifié à ce jour.
Aucun rectificatif ne touche cet article, et le seul acte modificatif du règlement porte sur d'autres articles.
Le texte fixe des dates, sans condition. Elles ne dépendent ni de la parution des normes harmonisées, ni du nombre d'organismes notifiés.
D'autres dates du règlement ne sont pas des dates d'application. Au plus tard le 11 décembre 2026, les États doivent s'efforcer d'avoir assez d'organismes notifiés. Certaines attestations délivrées au titre d'autres textes restent valables jusqu'au 11 juin 2028.
Le texte en détail : articles 35, 69 et 71, et actes modificatifs
Aucun des quatre rectificatifs publiés en français ne porte sur l'article 71, au 17 octobre 2026.
Le seul acte modificatif adopté, le règlement (UE) 2025/327, modifie les articles 13, 31 et 32, à compter du 26 mars 2027.
Les États membres s'efforcent d'assurer un nombre suffisant d'organismes notifiés au plus tard le 11 décembre 2026 (article 35, paragraphe 2). C'est ce qui permet des organismes notifiés avant décembre 2027, comme le dit la section « Ce que dit l’article ».
Les attestations d'examen UE de type et les décisions d'approbation visées à l'article 69, paragraphe 1 restent valables jusqu'au 11 juin 2028, sauf expiration antérieure.
Ce que vous devez faire
Regardez d'abord ce qui s'applique déjà, puis préparez le 11 décembre 2027.
- Dès aujourd'hui Préparez le signalement de vos failles exploitées : il s'applique déjà, à tous vos produits.
- Avant le 11 décembre 2027 Mettez en conformité chaque modèle que vous vendrez encore après cette date.
- Pour vos produits déjà vendus Ceux mis sur le marché avant le 11 décembre 2027 échappent aux exigences, sauf modification substantielle. Le signalement, lui, les vise.
La vue d'ensemble de votre espace DATIVO suit ces dates pour vous.
Le diagnostic vous dit si le règlement vous concerne, et ce qui s'applique déjà à vos produits. Il est sans frais et sans compte : commencer le diagnostic.
Pour un produit que vous vendrez après le 11 décembre 2027, le dossier part de votre produit tel qu'il est. Il en tire le rapport d'écarts, la documentation technique et le projet de déclaration UE de conformité.
Le texte officiel
Texte officiel de l’article 71
Article 71
Entrée en vigueur et application
1. Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
2. Le présent règlement est applicable à partir du 11 décembre 2027.
Toutefois, l’article 14 est applicable à partir du 11 septembre 2026 et le chapitre IV (articles 35 à 51) à partir du 11 juin 2026.
Source : règlement (UE) 2024/2847 du 23 octobre 2024, Journal officiel de l’Union européenne, série L, 20 novembre 2024, version française publiée sur EUR-Lex. Seule la publication au Journal officiel fait foi. Le texte sur EUR-Lex.
Questions fréquentes
Le CRA est-il déjà en vigueur ?
Oui, depuis le 10 décembre 2024 (art. 71, paragraphe 1). Mais en vigueur ne veut pas dire applicable. Seuls le signalement, depuis le 11 septembre 2026, et la notification des organismes d'évaluation, depuis le 11 juin 2026, s'appliquent déjà (art. 71, paragraphe 2).
Les amendes peuvent-elles déjà tomber ?
Les amendes du règlement ne s'appliquent qu'à partir du 11 décembre 2027. La sanction d'un manquement au signalement commis avant cette date n'est pas tranchée à ce jour. L'obligation de signaler, elle, court depuis le 11 septembre 2026.
La plateforme de signalement existe-t-elle, alors que son article s'applique en 2027 ?
Oui. L'article 16, qui prévoit la plateforme, relève du 11 décembre 2027. L'ENISA l'a pourtant mise en service le 11 septembre 2026, le jour où le signalement est devenu applicable.
La date du 11 décembre 2027 peut-elle bouger ?
Au 17 octobre 2026, aucun texte ne modifie l'article 71. Une proposition de la Commission du 9 septembre 2026, COM(2026) 590, sur les marchés publics, vise bien le règlement. Non adoptée à ce jour, elle supprimerait son article 5, sur les achats publics, sans toucher aux dates. Le seul acte modificatif adopté, le règlement (UE) 2025/327, porte sur d'autres articles.
Sources
- Règlement (UE) 2024/2847, texte authentique au Journal officiel
- Règlement (UE) 2024/2847, notice EUR-Lex (dates et actes liés)
- Règlement (UE) 2025/327, article 104, modification du règlement (UE) 2024/2847
- Commission européenne, FAQ sur la mise en œuvre du CRA, version 1.4 du 4 septembre 2026, questions 6.4 et 7.1 (en anglais)
- ENISA, mise en service de la plateforme unique de signalement
- Commission européenne, proposition COM(2026) 590 du 9 septembre 2026, règlement sur les marchés publics, qui supprimerait l'article 5 du règlement (UE) 2024/2847 (en anglais)
Savoir si le règlement vous concerne
Treize questions pour savoir si le règlement vous concerne, à quel titre, et ce qui s’applique déjà à vous. Sans frais, sans compte.