Une nouvelle obligation applicable depuis le 11 septembre
Depuis le 11 septembre 2026, les fabricants doivent utiliser la plateforme unique administrée par l’ENISA pour déclarer les vulnérabilités activement exploitées affectant leurs produits et les incidents ayant un impact grave sur leur sécurité. En France, les signalements sont transmis au CERT-FR de l’ANSSI, qui intervient comme coordinateur national.
Quelles entreprises sont concernées ?
Le règlement couvre un champ étendu de matériels et logiciels comportant une composante numérique : logiciels, systèmes d’exploitation, équipements informatiques ou de télécommunication, objets connectés, équipements industriels, produits domotiques et certains jouets connectés. Les fabricants sont directement concernés, tandis que les importateurs et distributeurs ont aussi leurs propres obligations. Des exclusions existent pour plusieurs produits déjà soumis à des réglementations sectorielles spécifiques, notamment dans les domaines automobile, médical, aéronautique ou maritime.
Quels sont les délais de signalement ?
Le processus commence lorsque le fabricant prend connaissance de la vulnérabilité activement exploitée ou de l’incident grave. Une première alerte doit être transmise sans retard injustifié et au plus tard dans les 24 heures, puis une notification plus complète dans les 72 heures. Pour une vulnérabilité activement exploitée, le rapport final doit être remis au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation. Pour un incident grave, il doit être transmis dans le mois suivant la notification des 72 heures. L’accès à la plateforme nécessite un compte EU Login avec authentification multifacteur.
Une application progressive jusqu’en décembre 2027
L’entrée en application du CRA est échelonnée. Les obligations de signalement constituent une première étape. L’application complète des exigences relatives à la conception, à la gestion des vulnérabilités, à la conformité et au marquage est prévue en décembre 2027. Le règlement impose notamment d’intégrer la cybersécurité dès la conception, de gérer les vulnérabilités pendant le cycle de vie, de fournir des mises à jour de sécurité et d’informer les utilisateurs. Les mesures peuvent aller jusqu’à la restriction ou au retrait d’un produit, avec des sanctions pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial selon le manquement.
Quel lien avec les contrats d’assurance ?
Le fait réglementaire : une assurance ne remplace aucune obligation de prévention, de suivi, de notification ou de conformité imposée par le CRA. Notre analyse assurantielle : selon l’activité et les garanties souscrites, il peut être utile de vérifier l’assurance cyber, la responsabilité civile du fabricant ou du négociant, les garanties de retrait ou rappel de produits, la responsabilité des dirigeants et la protection juridique. Leur intervention dépend toujours des définitions, exclusions, plafonds, franchises et conditions de déclaration. Les amendes et sanctions administratives ne doivent pas être considérées comme automatiquement assurables.
Les vérifications pratiques à engager
L’entreprise peut recenser ses matériels et logiciels comportant des éléments numériques, identifier son rôle pour chaque produit, désigner les personnes chargées d’évaluer et de signaler les événements, préparer l’accès à la plateforme et organiser la conservation des informations techniques. Elle doit aussi coordonner les équipes concernées, vérifier les délais de déclaration prévus par ses contrats et relire ses garanties cyber, responsabilité civile produits, retrait-rappel et pertes d’exploitation. Le signalement réglementaire et la déclaration à l’assureur restent deux démarches distinctes, avec leurs propres délais.
Ce qu’il faut retenir
La plateforme européenne est opérationnelle depuis le 11 septembre 2026. Les fabricants doivent signaler certaines vulnérabilités activement exploitées et certains incidents graves, avec une première alerte au plus tard dans les 24 heures. La mise en œuvre complète du CRA se poursuivra jusqu’en décembre 2027. Cette évolution peut aussi concerner des industriels, importateurs et négociants commercialisant des équipements intégrant un logiciel ou une fonction connectée. Une revue conjointe des procédures internes et des contrats d’assurance permet d’identifier les responsabilités, les délais et les éventuelles zones insuffisamment couvertes.