Quels sont les délais de signalement au titre du Cyber Resilience Act ?

Le Règlement sur la cyberrésilience impose aux fabricants de produits comportant des éléments numériques un délai de signalement en trois étapes. L'obligation prend effet le 11 septembre 2026 et constitue la première des principales obligations du RCR à entrer en vigueur (art. 71). Dès qu'un fabricant a connaissance d'une vulnérabilité exploitée activement ou d'un incident grave affectant la sécurité d'un produit, il dispose de **24 heures** pour transmettre une alerte précoce et de **72 heures** pour soumettre une notification plus complète, incluant les mesures correctives ou d'atténuation prises (art. 14). Le rapport final est dû dans les **14 jours** suivant la mise à disposition d'une mesure corrective pour une vulnérabilité, ou dans le **mois** suivant la notification de 72 heures pour un incident grave. Les signalements sont adressés à l'ENISA et au CSIRT national compétent via la plateforme unique de signalement instituée à l'article 16. Le délai de 24 heures pour l'alerte précoce démarre au moment où le fabricant en a connaissance et ne s'interrompt pas les week-ends ni les jours fériés. Les équipes habituées à DORA doivent noter la différence : le règlement délégué (UE) 2025/301 autorise certaines entités financières à reporter au jour ouvrable suivant les notifications initiales tombant un week-end ; aucun report équivalent n'existe au titre du RCR. L'obligation est absolue dès la prise de connaissance.