Article 14 du CRA : ce que vous devez signaler, et dans quel délai
Depuis le 11 septembre 2026, un fabricant qui prend connaissance d'une vulnérabilité activement exploitée dans son produit, ou d'un incident grave ayant des répercussions sur sa sécurité, dispose de 24 heures pour l'alerte précoce et de 72 heures pour la notification, un rapport final devant suivre. Cette page expose l'obligation telle que la formulent le règlement, les orientations de la Commission et la plateforme de l'ENISA, avec la source de chaque point.
- Acte juridique
- Règlement (UE) 2024/2847 (Cyber Resilience Act), article 14
- S'applique depuis
- 11 septembre 2026 (Art. 71(2))
- Orientations
- Orientations de la Commission C(2026) 5252 sur les obligations de signalement
- Où déposer
- ENISA Single Reporting Platform · portal.cra-srp.enisa.europa.eu
- Dernière relecture
- 2026-10-21 · Journal réglementaire
Qui doit signaler
L'article 14 s'adresse aux fabricants et couvre deux événements : une vulnérabilité activement exploitée dans votre produit (Art. 14(1)) et un incident grave ayant des répercussions sur sa sécurité (Art. 14(3)).
Trois questions. Si la réponse est oui aux trois, l'article 14 s'applique à vous.
- ✓Vous mettez sur le marché de l'UE, sous votre propre nom ou votre propre marque, du matériel ou du logiciel comportant un élément numérique.
- ✓Il n'est pas déjà couvert par des règles sectorielles qui écartent le CRA, comme les dispositifs médicaux, l'aviation civile ou les véhicules réceptionnés par type.
- ✓Vous le maintenez encore après le 11 septembre 2026. Les produits vendus il y a des années comptent aussi (Art. 69(3)).
Article 69, paragraphe 3 : les obligations de signalement s'appliquent aussi aux produits mis sur le marché avant le 11 décembre 2027 ; un produit que vous maintenez encore relève donc du champ d'application, quel que soit son âge. Être établi hors de l'UE ne supprime pas l'obligation ; cela change seulement quel CSIRT désigné comme coordinateur reçoit la notification.
Les trois échéances
| Étape | Vulnérabilité activement exploitée (Art. 14(2)) | Incident grave (Art. 14(4)) |
|---|---|---|
| Alerte précoce | 24 heures après la prise de connaissance · Art. 14(2)(a) | 24 heures après la prise de connaissance · Art. 14(4)(a) |
| Notification | 72 heures après la prise de connaissance · Art. 14(2)(b) | 72 heures après la prise de connaissance · Art. 14(4)(b) |
| Rapport final | 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation · Art. 14(2)(c) | Un mois après la notification à 72 heures · Art. 14(4)(c) |
- Alerte précoce. Art. 14(2)(a) et 14(4)(a). Indique que l'événement s'est produit, dans quels États membres le produit est disponible, et si des actes illicites ou malveillants sont soupçonnés.
- Notification. Art. 14(2)(b) et 14(4)(b). La nature de l'exploitation ou de l'incident, les mesures que vous avez prises, celles que vos utilisateurs peuvent prendre, et une appréciation de la sensibilité.
- Rapport final. Art. 14(2)(c) : dans les 14 jours suivant la mise à disposition d'une mesure corrective ou d'atténuation. Pour les incidents graves : dans le mois suivant la notification à 72 heures.
Destinataires : le CSIRT désigné comme coordinateur dans votre État membre, et l'ENISA.
La prise de connaissance, pas la publication du CVE
Les trois échéances dépendent d'un seul instant : celui où vous prenez connaissance des faits. Ni la détection, ni le jour de publication du CVE, ni le jour de livraison du correctif.
Orientations de la Commission C(2026) 5252 §213 : vous avez connaissance des faits lorsque, après une première évaluation, vous disposez d'un degré raisonnable de certitude que la vulnérabilité est activement exploitée ou qu'un incident grave est survenu. Le §214 exige que cette évaluation soit rapide.
Une inscription sur CISA KEV ou sur la liste des vulnérabilités exploitées de l'ENISA EUVD déclenche généralement cette évaluation ; elle ne la clôt pas, car il vous reste à confirmer que le code vulnérable est présent et atteignable dans votre produit.
Le compteur de 72 heures du portail et le délai légal
FAQ ENISA Q26 : le compteur de 72 heures de la plateforme affiche une échéance 48 heures après l'envoi de votre alerte précoce. Envoyez l'alerte précoce sans tarder et le portail vous signalera en retard avant l'expiration des 72 heures légales. Depuis le 21 octobre 2026, le formulaire de vulnérabilité comporte un champ obligatoire pour la prise de connaissance (glossaire v1.6), et l'ENISA a indiqué qu'une version ultérieure comptera à partir de la prise de connaissance.
Vous prenez connaissance des faits lundi à 09:00 et envoyez l'alerte précoce lundi à 17:00 : le portail signale la notification comme en retard dès mercredi 17:00, alors que l'Art. 14(2)(b) vous laisse jusqu'à jeudi 09:00.
Travaillez sur le délai légal et traitez le compteur du portail comme un rappel ; indiquez en toutes lettres le moment de la prise de connaissance dans votre résumé, et gardez-en votre propre trace datée. Contrôle des délais: saisissez vos deux instants et voyez les deux échéances.
Déposer sur la Single Reporting Platform sans API
"No Application Programming Interface (API) will be provided at the initial release of the SRP, so notifications must be submitted through the platform interface." — En français : aucune interface de programmation (API) ne sera fournie à la première version de la SRP ; les notifications doivent donc être soumises via l'interface de la plateforme.
En pratique, votre Assigned Representative se connecte avec EU Login et une authentification multifacteur, puis remplit le formulaire. Chaque fabricant enregistre un Primary Assigned Representative et jusqu'à 20 Secondary Assigned Representatives. Vous pouvez déposer jusqu'à 20 notifications avant la validation de votre Assigned Representative : s'enregistrer aujourd'hui ne retarde donc rien.
Un courriel à un CSIRT est une solution de repli en cas de panne de la plateforme, pas une notification formelle (NCSC Irlande, lignes directrices nationales CRA, août 2026). Chaque champ demandé par la plateforme, avec sa limite et son statut à chaque étape, figure dans la Référence des champs SRP.
Informer vos utilisateurs
Art. 14(8) : après avoir pris connaissance des faits, vous informez, s'il y a lieu, les utilisateurs touchés sans retard injustifié de la vulnérabilité ou de l'incident et, si nécessaire, des mesures correctives et d'atténuation des risques qu'ils peuvent prendre. Cela se déroule en parallèle des notifications et n'attend pas le dépôt à 72 heures.
Orientations de la Commission C(2026) 5252 §§219–221 : ce que vous dites aux utilisateurs, et comment, est fondé sur le risque et proportionné. Un avis CSAF 2.0 accompagné d'une note lisible par un humain est la forme courante ; le règlement n'impose ni l'un ni l'autre et ne fixe aucune heure.
Sanctions et exemption pour les petites entreprises
Art. 64(2) range les obligations des articles 13 et 14, signalement compris, dans la tranche allant jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires annuel mondial. 10 M€ ou 2 % (Art. 64(3)) s'appliquent aux autres obligations des opérateurs économiques. Les micro et petites entreprises sont exemptées d'amende pour une alerte précoce de 24 heures manquée (Art. 64(10)) ; l'obligation elle-même demeure.
Ce que vous saviez déjà avant le 11 septembre
Une exploitation dont vous aviez déjà connaissance avant le 11 septembre n'a pas à être signalée rétroactivement (orientations de la Commission C(2026) 5252 §217). Tout ce que vous apprenez à partir de maintenant, si.
La ligne de partage est la connaissance de l'exploitation, pas l'âge de la vulnérabilité : apprendre après le 11 septembre 2026 qu'une vulnérabilité connue de longue date est désormais activement exploitée, c'est une nouvelle prise de connaissance.
Sources officielles
- Règlement (UE) 2024/2847 sur EUR-Lex : English · Deutsch
- Orientations de la Commission C(2026) 5252 sur les obligations de signalement
- ENISA Single Reporting Platform : questions fréquentes
- ENISA Single Reporting Platform : le portail
Cette page ne constitue pas un conseil juridique. Elle suit le règlement et les orientations de la Commission et cite la source de chaque règle ; le relevé daté des modifications se trouve dans le Journal réglementaire. Vos dépôts restent vos déclarations juridiques, et il vous appartient de les faire relire.