Ce qui a changé le 11 septembre 2026
- L'ENISA a mis en service la capacité opérationnelle initiale de la plateforme unique de signalement (communiqué du 11 septembre 2026). Adresse :
portal.cra-srp.enisa.europa.eu. - Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours (faille) ou un mois (incident grave) — article 14 du règlement (UE) 2024/2847.
- Le dépôt suppose un compte EU Login avec authentification multifacteur ; aucun autre mécanisme d'authentification de la personne morale n'est utilisé à ce stade.
- Pas d'API à l'ouverture : la saisie est manuelle dans l'interface. Plateforme en anglais uniquement.
- Le signalement volontaire de l'article 15 n'est pas encore ouvert ; les obligations des « stewards » de logiciels libres s'appliqueront le 11 décembre 2027.
- En France, le CSIRT coordinateur est le CERT-FR ; la surveillance du marché revient à l'ANFR.
La plateforme existe : une adresse, un compte EU Login, deux rôles
Le communiqué de l'ENISA du 11 septembre parle d'une « capacité opérationnelle initiale » : la formule n'est pas décorative, elle décrit un outil volontairement réduit à ce que la loi exige ce jour-là. Seules les notifications obligatoires de l'article 14 peuvent être déposées — vulnérabilités activement exploitées et incidents graves affectant la sécurité d'un produit. Les signalements volontaires prévus par l'article 15, ceux qu'un chercheur, un client ou un intégrateur pourraient déposer, arriveront dans une phase ultérieure ; d'ici là, la FAQ de l'agence précise qu'un dépôt émanant d'une personne qui n'est pas fabricant « pourrait être marqué comme invalide ». L'accès passe par un compte EU Login — le système d'identification de la Commission européenne, dont la page d'authentification nous a répondu par une redirection 302 lors du même relevé — avec authentification multifacteur obligatoire. Les comptes sont nominatifs : ce n'est pas l'entreprise qui se connecte, c'est une personne physique, désignée sous le nom de Assigned Representative. L'ENISA distingue un représentant principal, unique par fabricant, qui crée la fiche de l'entreprise et choisit le CSIRT coordinateur, et jusqu'à vingt représentants secondaires qu'il invite ensuite par courriel — invitation qui expire au bout de sept jours. Le représentant principal voit toutes les notifications du fabricant ; un représentant secondaire ne voit que les siennes. Un point mérite d'être lu deux fois par toute PME qui redoute de se retrouver bloquée un samedi soir : la validation par le CSIRT du lien entre le représentant et l'entreprise n'est pas un préalable au dépôt. Elle se déroule en parallèle, et un représentant non encore vérifié peut déposer jusqu'à vingt notifications avant que la vérification devienne obligatoire. L'ENISA conseille d'ailleurs de ne s'inscrire qu'au moment où l'on a effectivement quelque chose à signaler, pour ne pas saturer les CSIRT — mais elle indique aussi que l'inscription prend « quelques minutes » à condition de disposer déjà d'un compte EU Login actif. C'est cette condition qui vaut d'être traitée aujourd'hui plutôt que le jour de l'incident : créer un compte EU Login et y activer l'authentification multifacteur n'est pas une opération que l'on improvise pendant une crise.Le compteur des 72 heures affiche l'échéance vingt-quatre heures trop tôt
La FAQ de l'ENISA, mise à jour le 11 septembre, comporte une question 26 consacrée aux compteurs que la plateforme affiche pour aider les déclarants à suivre leurs échéances. On y lit que, « dans la version actuelle », le compteur des 72 heures affiche une date et une heure limites situées 48 heures après le dépôt de l'alerte précoce, et que « en conséquence, dans certains cas, une notification peut être affichée comme en retard avant que 72 heures ne se soient écoulées depuis que le fabricant a eu connaissance de l'événement ». L'agence annonce que cette logique sera corrigée dans une version ultérieure, pour calculer l'échéance à partir du champ « date et heure à laquelle vous avez eu connaissance de l'incident ou de la vulnérabilité activement exploitée ».Pourquoi l'écart n'est pas anodin
Le règlement fait courir les deux délais depuis le même point de départ : le moment où le fabricant a connaissance de l'événement. 24 heures pour l'alerte précoce, 72 heures pour la notification. La marge réelle entre les deux dépôts est donc de 48 heures seulement si l'alerte a été déposée à la dernière minute de la 24e heure.
Une entreprise diligente qui déclare son alerte au bout de deux heures disposerait, en droit, de 70 heures pour la notification complète. La plateforme lui affichera une échéance à 50 heures et pourra la signaler « en retard » vingt heures trop tôt. L'ENISA écrit d'ailleurs que ces compteurs « ne remplacent pas la responsabilité » du fabricant de respecter les délais de l'article 14 : autrement dit, la référence juridique reste la date de connaissance, pas l'affichage de l'outil.
Relevé : les 27 pays ont un CSIRT coordinateur, mais la France renvoie vers un formulaire qui ne parle pas du CRA
L'ENISA publie la liste des CSIRT désignés comme coordinateurs, mise à jour le 10 septembre 2026, sous la forme d'un tableau de liens de contact. Premier constat : les vingt-sept États membres y figurent. Il n'y a pas de trou dans la carte, ce qui n'était pas acquis. Second constat, obtenu en lisant nous-mêmes ces pages le 13 septembre : elles ne préparent pas du tout au même exercice selon le pays. Nous avons interrogé les vingt-sept adresses depuis notre infrastructure, puis cherché dans le texte servi les expressions « Cyber Resilience Act », « CRA » et « 2024/2847 ». Vingt-et-une pages nous ont répondu ; six sont restées inaccessibles depuis notre point de sortie réseau (cinq erreurs 403, une erreur de négociation TLS pour le Portugal) et ne sont donc pas comptées — une page inaccessible depuis notre serveur n'est pas une page absente. Sur les vingt-et-une lues, sept mentionnent le CRA : Allemagne, Autriche, Finlande, Irlande, Pays-Bas, Slovaquie, Suède. L'Irlande va le plus loin, avec une page dont l'adresse même est dédiée au règlement (ncsc.gov.ie/cra/).
| Résultat du relevé | Nombre | Pays |
|---|---|---|
| Page lue (HTTP 200) mentionnant le CRA | 7 | Allemagne, Autriche, Finlande, Irlande, Pays-Bas, Slovaquie, Suède |
| Page lue (HTTP 200) sans mention du CRA | 14 | Bulgarie, Chypre, Croatie, Danemark, Espagne, France, Grèce, Hongrie, Italie, Lettonie, Luxembourg, Pologne, Slovénie, Tchéquie |
| Inaccessible depuis notre point de sortie (403 ou erreur TLS) — non conclusif | 6 | Belgique, Estonie, Lituanie, Malte, Portugal, Roumanie |
Total des deux premières lignes : 21 pages effectivement lues sur les 27 adresses listées. Méthode : requête HTTP GET avec un agent utilisateur de navigateur, puis recherche insensible à la casse des chaînes « cyber resilience act », « CRA » et « 2024/2847 » dans le contenu servi. Une mention du CRA dans la page n'est pas un indicateur de la capacité opérationnelle du CSIRT : elle mesure seulement ce qu'un fabricant trouve en arrivant par le lien de l'ENISA.
1 036 entreprises des Hauts-de-France dans le champ, dont 839 y ont leur siège
Combien d'entreprises régionales fabriquent ou éditent un produit comportant des éléments numériques ? Le règlement ne raisonne pas par code d'activité, mais par produit : logiciels et matériels, y compris les composants mis sur le marché séparément, avec quatre catégories de criticité décrites par l'ANSSI — la catégorie par défaut, les produits importants de classe I (dix-neuf types, dont les systèmes d'exploitation, les routeurs, les gestionnaires de mots de passe, la domotique et les jouets), la classe II (hyperviseurs, pare-feu, microprocesseurs) et les produits critiques (modules matériels de sécurité, cartes à puce, passerelles de compteurs intelligents). Pour approcher ce périmètre par les données publiques, nous avons interrogé l'API Recherche d'entreprises de l'Annuaire des entreprises (base Sirene), le 13 septembre, sur onze codes d'activité qui correspondent à des fabricants et éditeurs : l'édition de logiciels (58.29A, 58.29B, 58.29C), la fabrication de composants et de cartes électroniques (26.11Z, 26.12Z), d'ordinateurs et périphériques (26.20Z), d'équipements de communication (26.30Z), de produits électroniques grand public (26.40Z), d'instrumentation scientifique et technique (26.51B), d'autres matériels électriques (27.90Z) et de jeux et jouets (32.40Z). Les résultats ont été dédoublonnés par numéro SIREN, une même entreprise pouvant être présente dans plusieurs départements.| Département | Entreprises (siège) | Part régionale |
|---|---|---|
| Nord (59) | 516 | 61,5 % |
| Oise (60) | 113 | 13,5 % |
| Pas-de-Calais (62) | 110 | 13,1 % |
| Aisne (02) | 51 | 6,1 % |
| Somme (80) | 49 | 5,8 % |
| Total siège en Hauts-de-France | 839 | 100 % |
| Avec les entreprises dont le siège est ailleurs mais qui exploitent au moins un établissement dans la région : 1 036 entreprises. | ||
Lecture : 1 036 entreprises actives dont l'activité principale relève de l'un des onze codes retenus exploitent au moins un établissement dans les cinq départements de la région ; 839 d'entre elles y ont leur siège. Ce décompte est une approche par activité déclarée, pas un recensement des produits dans le champ du CRA : une entreprise de ces codes peut n'y être pas soumise, et une entreprise d'un autre code (machinisme, santé connectée, automobile hors exclusion) peut l'être.
L'exonération des micro et petites entreprises renvoie à des paragraphes qui ne sanctionnent pas l'article 14
Puisque le tissu régional concerné est très majoritairement composé de petites structures, une disposition de l'article 64 du règlement devient centrale. Son paragraphe 10 prévoit que, « par dérogation aux paragraphes 3 à 9 », les amendes administratives visées par ces paragraphes ne s'appliquent pas « aux fabricants qui relèvent de la catégorie des microentreprises ou des petites entreprises pour tout manquement au respect du délai visé à l'article 14, paragraphe 2, point a), ou à l'article 14, paragraphe 4, point a) ». Ces deux renvois désignent exactement l'alerte précoce des vingt-quatre heures, pour une vulnérabilité exploitée comme pour un incident grave.Par dérogation aux paragraphes 3 à 9, les amendes administratives visées dans ces paragraphes ne s'appliquent pas aux éléments suivants : a) les fabricants qui relèvent de la catégorie des microentreprises ou des petites entreprises en ce qui concerne tout manquement au respect du délai visé à l'article 14, paragraphe 2, point a), ou à l'article 14, paragraphe 4, point a).Le problème est de simple lecture. Les amendes qui frappent un manquement à l'article 14 ne sont pas dans les paragraphes 3 à 9 : elles sont au paragraphe 2, qui place le non-respect des exigences essentielles de l'annexe I et des obligations des articles 13 et 14 dans la tranche la plus élevée du règlement, jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Le paragraphe 3 énumère d'autres articles — 18 à 23, 28, 30, 31, 32, 33, 39, 41, 47, 49 et 53 — et l'article 14 n'y figure pas. Les paragraphes 5 à 9, eux, ne fixent pas de montants : ils décrivent des critères de modulation et des règles de procédure. Une dérogation qui exclut l'application d'amendes « visées aux paragraphes 3 à 9 » pour un manquement sanctionné au paragraphe 2 se lit donc de deux façons opposées. Soit l'intention du législateur était bien d'exonérer les micro et petites entreprises de l'amende sur le délai de vingt-quatre heures — c'est l'interprétation que retiennent les commentaires professionnels du texte — soit le renvoi est à prendre au pied de la lettre, et la dérogation ne couvre pas la tranche dans laquelle l'article 14 est placé. Nous n'avons pas pu lire la version française officielle du règlement pour vérifier si les numéros de paragraphes y sont identiques : EUR-Lex a répondu à nos requêtes par un code HTTP 202 de vérification automatisée, sur la page comme sur le PDF. La citation ci-dessus est notre traduction d'une reproduction du texte final anglais, et nous la donnons comme telle. Dans l'attente d'une clarification, la conduite prudente ne change pas : l'exonération éventuelle ne porte que sur l'amende liée au délai, jamais sur l'obligation de signaler. La notification des 72 heures et le rapport final restent dus par tout le monde, et une microentreprise qui ne signale pas du tout reste en infraction. L'exonération, si elle s'applique, protège celui qui a signalé tard — pas celui qui n'a pas signalé.
Sept réflexes à mettre en place cette semaine
- Trancher la question de l'assujettissement, par écrit. Vend-on, sous sa marque, un produit logiciel ou matériel sur le marché de l'Union ? Un « non » motivé et daté vaut mieux qu'une absence de réponse : c'est ce document que l'on produira si l'ANFR pose la question.
- Créer un compte EU Login et y activer l'authentification multifacteur pour deux personnes au moins. C'est le seul préalable technique au dépôt, et il ne s'improvise pas pendant un incident. L'inscription sur la plateforme, elle, peut attendre le premier signalement — l'ENISA le recommande.
- Identifier son CSIRT coordinateur et le noter dans la procédure. Pour un fabricant dont les décisions de cybersécurité produit sont prises en France, c'est le CERT-FR. Le règlement retient le lieu d'établissement principal, défini comme celui où ces décisions sont « majoritairement » prises — pas le siège social par défaut. Se tromper de CSIRT invalide la notification, qui doit alors être redéposée.
- Horodater la prise de connaissance en dehors de la plateforme. Le compteur affiché est faux dans la version actuelle ; c'est la date de connaissance, consignée dans le ticket ou le journal, qui fait courir les 24, 72 heures et le rapport final.
- Ouvrir un canal de réception des signalements et le surveiller. On ne peut respecter un délai qui court depuis la prise de connaissance que si l'on a un endroit où cette connaissance arrive : adresse de sécurité publiée, fichier
security.txt, veille sur les identifiants CVE et EUVD de ses composants. - Préparer la question des composants tiers. Une faille exploitée dans une bibliothèque intégrée peut déclencher une obligation chez l'intégrateur : l'ENISA renvoie sur ce point à la FAQ de la Commission et au paragraphe 218 de ses lignes directrices du 27 juillet 2026. Un inventaire logiciel à jour est le prérequis.
- Prévoir la saisie manuelle. Aucune API n'est disponible à l'ouverture, et la plateforme est en anglais uniquement : la personne d'astreinte doit pouvoir remplir, en anglais, un formulaire dont les champs sont documentés dans le glossaire de l'ENISA. Une répétition à blanc coûte une heure.
Ce que nous n'avons pas pu vérifier
- Le nombre de signalements déjà déposés. La plateforme n'expose aucun compteur public, et rien n'oblige l'ENISA à en publier un : le premier rapport de tendances de l'agence est attendu dans un délai de vingt-quatre mois après l'entrée en application des obligations. Nous n'avons donc aucune base pour dire si des fabricants français ont signalé depuis vendredi.
- La procédure française de validation des représentants. L'ENISA indique qu'elle varie d'un CSIRT à l'autre ; nous n'avons pas trouvé de document du CERT-FR la décrivant, ni de délai annoncé. Nous n'avons pas sollicité l'ANSSI avant publication.
- La version française officielle de l'article 64. EUR-Lex a répondu par un code 202 à toutes nos requêtes, y compris sur le PDF du Journal officiel. La numérotation des paragraphes citée plus haut provient d'une reproduction du texte final anglais.
- L'état des sites de la DREAL Hauts-de-France et de l'application OISO, que nous suivons depuis la cyberattaque du ministère de la Transition écologique du 2 septembre. Notre relevé du jour n'a pu aboutir : toutes les adresses en
developpement-durable.gouv.fr, y compris celles de régions restées en ligne la semaine dernière, sont injoignables depuis nos deux points de sortie réseau. C'est un problème de notre côté, pas un constat d'indisponibilité.
Questions fréquentes
Mon entreprise développe un logiciel métier vendu à des clients français : suis-je concernée depuis le 11 septembre ?
Si vous mettez ce logiciel sur le marché de l'Union sous votre nom ou votre marque, oui : l'ANSSI rappelle que le CRA vise les « produits logiciels ou matériels et leurs solutions de traitement de données à distance, y compris les composants mis sur le marché séparément ». L'obligation qui s'applique aujourd'hui est celle de signaler une vulnérabilité activement exploitée ou un incident grave, pas encore celle de démontrer la conformité du produit : les exigences essentielles et le marquage CE arrivent le 11 décembre 2027. La FAQ de l'ENISA précise que l'obligation de signalement vaut aussi pour les produits mis sur le marché avant cette date.
Que signale-t-on exactement ? Toute faille découverte dans mon produit ?
Non, et la nuance est décisive. Deux événements seulement sont à déclarer : une vulnérabilité activement exploitée, c'est-à-dire pour laquelle il existe une preuve fiable qu'un acteur malveillant l'a exploitée sans l'accord du propriétaire du système, et un incident grave affectant la sécurité du produit, selon les critères de l'article 14, paragraphe 5. Une faille découverte en interne, corrigée avant toute exploitation, ne relève pas de l'obligation. Le signalement volontaire des autres cas, prévu par l'article 15, n'est pas encore ouvert dans la plateforme.
Je suis une microentreprise : est-ce que le délai de vingt-quatre heures m'est vraiment opposable ?
L'obligation de signaler vous est opposable, sans réserve. Sur l'amende liée au seul dépassement du délai de vingt-quatre heures, l'article 64, paragraphe 10, prévoit une dérogation au bénéfice des microentreprises et des petites entreprises — mais en renvoyant aux « paragraphes 3 à 9 », alors que le manquement à l'article 14 est sanctionné au paragraphe 2. Les commentaires professionnels du texte lisent cette disposition comme une exonération effective ; la lettre du renvoi permet d'en douter. Dans tous les cas, la notification des 72 heures et le rapport final restent dus, et l'absence totale de signalement reste une infraction.
Et si la plateforme est en panne au moment où le délai court ?
La FAQ de l'ENISA est explicite : il faut attendre son rétablissement, puis déposer. Aucun canal de substitution ne vaut dépôt. Si une communication immédiate paraît nécessaire, le fabricant peut contacter directement son CSIRT désigné, mais la notification devra malgré tout être déposée dans la plateforme dès qu'elle est de nouveau disponible. Pour un fabricant établi en France, le contact publié par l'ENISA est le formulaire général du CERT-FR.
Qui contrôle, et combien peut coûter un manquement ?
En France, la surveillance du marché au titre du CRA revient à l'Agence nationale des fréquences (ANFR), qui peut aller jusqu'au retrait du produit du marché ; l'ANSSI lui apporte un appui technique et agit par ailleurs comme autorité notifiante des organismes d'évaluation de la conformité, sur la base d'une accréditation du Cofrac. Le règlement organise trois tranches d'amendes : jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial pour les exigences essentielles et les obligations des articles 13 et 14 ; jusqu'à 10 millions ou 2 % pour une série d'autres obligations ; jusqu'à 5 millions ou 1 % pour la fourniture d'informations inexactes ou trompeuses aux organismes notifiés et aux autorités de surveillance.
