CRA en octobre 2026 : les notifications à l'ENISA sont désormais obligatoires

Le Règlement (UE) 2024/2847, connu sous le nom de CRA, a cessé d'être une norme future pour devenir une réalité opérationnelle. Après son entrée en vigueur en novembre 2024, le calendrier d'application a atteint son premier jalon critique : l'activation des obligations de notification. Pour les professionnels de la cybersécurité, cela marque la fin de la période de préparation théorique et le début de la responsabilité juridique directe concernant la gestion des vulnérabilités.

Contrairement aux réglementations antérieures qui se concentraient sur des secteurs spécifiques, le CRA a une portée horizontale sans précédent. Il couvre tout, des routeurs domestiques aux systèmes industriels critiques, exigeant que la sécurité soit intégrée dès la conception. Cette approche vise à résoudre le problème des produits arrivant sur le marché avec des vulnérabilités généralisées et sans garanties de support à long terme.

Depuis le 11 septembre 2026, les fabricants de produits à éléments numériques sont tenus de notifier simultanément le CSIRT national désigné comme coordinateur et l'ENISA. Cette obligation est déclenchée par deux scénarios concrets : la détection d'une vulnérabilité activement exploitée et la survenue d'un incident grave affectant la sécurité du produit.

Cette notification n'est pas optionnelle et ne peut pas être déléguée à des tiers sans supervision. Le règlement établit que la réception de ces notifications est une obligation juridique inéluctable pour le fabricant, qu'il s'agisse de matériel, de logiciel ou d'une combinaison des deux. Le non-respect peut entraîner des sanctions significatives, car il s'agit de l'une des premières règles contraignantes du cadre européen de cybersécurité des produits.

Bien que les notifications soient déjà obligatoires, la conformité intégrale au CRA n'arrive pas avant le 11 décembre 2027. Entre ces deux dates, les fabricants doivent préparer le reste de leurs processus de cycle de vie. Cela inclut la génération de SBOM (Software Bill of Materials), la signature des mises à jour et l'évaluation de conformité pour les produits à haute criticité.

Un jalon intermédiaire pertinent est le 11 juin 2026, date à partir de laquelle le régime pour les organismes d'évaluation de la conformité est applicable. Cela signifie que les entreprises fabriquant des produits de la classe de risque la plus élevée doivent déjà interagir avec les organismes notifiés pour obtenir le marquage CE de cybersécurité, un préalable à la commercialisation dans l'UE.

Pour les PME, le CRA représente un défi de ressources. L'orientation de la Commission européenne, approuvée en juillet 2026, vise à faciliter la conformité pour ces entreprises, mais la charge administrative reste considérable. Il est recommandé aux petites organisations de prioriser la gestion des vulnérabilités et la documentation de leur chaîne d'approvisionnement logicielle, car ce sont les points de risque de non-conformité immédiate les plus élevés.

Les solutions SaaS pures restent généralement hors du champ d'application direct du CRA, sauf si elles sont considérées comme des solutions de traitement des données à distance connectées à un produit physique. Cette distinction est cruciale pour les entreprises logicielles qui doivent déterminer si leur produit est considéré comme un 'produit à éléments numériques' ou un service logiciel standard.

Il est fondamental de ne pas confondre le CRA avec le RGPD ou le Règlement sur l'IA. Le RGPD protège les données personnelles des utilisateurs, tandis que le CRA protège l'intégrité et la sécurité du produit numérique lui-même. Une entreprise peut se conformer au RGPD et tout de même enfreindre le CRA si son produit présente des vulnérabilités non corrigées ou ne notifie pas les incidents de sécurité.

La Loi sur l'IA réglemente le développement et l'utilisation des systèmes d'intelligence artificielle, tandis que le CRA s'applique à tout produit numérique, avec ou sans IA. L'intersection entre les deux réglementations croît, en particulier dans la gestion des vulnérabilités générées par les modèles d'IA, mais les cadres de conformité sont distincts et nécessitent des audits séparés.

La Commission européenne a publié son orientation officielle sur l'application du CRA, un document d'environ 80 pages qui clarifie les doutes les plus fréquents des fabricants. Bien qu'il ne soit pas contraignant, les autorités de surveillance du marché l'utilisent comme référence pour une lecture cohérente. Les fabricants doivent lire ce document avec le texte contraignant du Règlement pour assurer leur conformité.

L'ENISA a également publié des guides sur la cybersécurité à l'ère de l'IA de frontière, offrant des perspectives sur la manière dont l'IA influence la définition des vulnérabilités exploitables. Ces ressources sont essentielles pour les entreprises cherchant à aligner leurs stratégies de cybersécurité sur les attentes réglementaires européennes.