CRA : les signalements de vulnérabilités et d'incidents sont obligatoires

Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de l'ENISA (Single Reporting Platform), mise en service le même jour. Les délais : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d'un correctif (vulnérabilités) ou sous un mois (incidents).

Ce que ça change : l'obligation couvre aussi les produits déjà mis sur le marché avant décembre 2027. Les éditeurs de logiciels doivent disposer d'une veille sur les vulnérabilités, d'une capacité de qualification rapide et d'un circuit de notification. Les autres exigences du CRA s'appliqueront le 11 décembre 2027.

Source : Commission européenne, ENISA. Lire sur la veille réglementaire Cyberbits · Réserver un appel gratuit de 30 min