.png&w=3840&q=75&dpl=dpl_4WWtFHEr9P8wkcdWCGky2WYKjEiM)
À partir de quand le Cyber Resilience Act s'applique-t-il ?
Réponse directe
Le Règlement sur la cyberrésilience est déjà en vigueur. L'obligation de signalement — alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous 14 jours à l'ENISA — s'applique à partir du 11 septembre 2026.
L'ensemble des exigences essentielles, la gestion des vulnérabilités, le SBOM, l'évaluation de conformité et le marquage CE s'appliquent à partir du 11 décembre 2027.
Points clés
- En vigueur depuis le 10 décembre 2024 (art. 71).
- 11 septembre 2026 : début des obligations de signalement — alerte précoce sous 24 h, notification sous 72 h, rapport final sous 14 jours (art. 14).
- 11 décembre 2027 : application de toutes les exigences essentielles, du SBOM, de l'évaluation de conformité et du marquage CE.
- Piège du parc existant : l'obligation de signalement de septembre 2026 s'applique à TOUS les produits actuellement en usage dans l'UE, y compris ceux mis sur le marché avant le RCR.
- Pas de nouvelle évaluation de conformité pour les produits antérieurs à 2027 sauf en cas de modification substantielle.
La réponse complète
Le RCR est entré en vigueur le 10 décembre 2024 : il est donc déjà applicable. Ce qui évolue au cours des deux prochaines années, ce sont les obligations qui deviennent actives (art. 71) :
11 septembre 2026 — première échéance contraignante. À partir de cette date, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de signalement de l'ENISA. Cette obligation a une portée rétroactive : elle s'applique à tous les produits actuellement disponibles sur le marché de l'UE, y compris ceux mis en circulation avant l'adoption du RCR. C'est le « piège du parc existant ».
11 décembre 2027 — date principale de mise en œuvre. Toutes les exigences essentielles de l'annexe I s'appliquent : sécurité dès la conception, SBOM, mises à jour pendant la période de support, documentation technique, évaluation de conformité et marquage CE.
Produits déjà sur le marché. Un produit mis en circulation avant le 11 décembre 2027 ne nécessite pas une évaluation de conformité complète au RCR, sauf en cas de modification substantielle. L'obligation de signalement de septembre 2026 s'applique néanmoins aux produits existants.
Comment Acuna GRC s’en charge
- Solution
RCR
Suivez chaque vulnérabilité jusqu’à sa correction, gardez la documentation technique RCR, tracez les failles exploitées et réutilisez votre travail NIS2.
- Module
Gestion des vulnérabilités
Les éléments vulnérables remontés par vos scanners, regroupés en un constat par vulnérabilité, avec un responsable et une échéance.
- Espace de travail
Comply
Les référentiels que vous choisissez, les périmètres et étiquettes qui segmentent votre organisation, la bibliothèque de mesures communes et leur correspondance entre référentiels.
Sources
Cette page explique les règles en termes généraux et ne constitue pas un conseil juridique.
Découvrez comment Acuna GRC le pilote.
Dites-nous vos référentiels et votre équipe. Nous vous montrons comment Acuna GRC pilote le programme.
Hébergé en Suisse, dans l'UE ou aux États-Unis