Cyber Resilience Act de l'UE · Article 14
La notification commence le 11 September 2026
À partir de cette date, une vulnérabilité activement exploitée dans un produit que vous avez mis sur le marché de l'UE doit atteindre l'ENISA et votre CSIRT national sous 24 heures. Voici le minimum honnête.
À quoi ressemble vraiment l'horloge
Trois obligations, toutes comptées à partir du moment où vous prenez connaissance. L'horodatage de prise de connaissance est le point où les équipes se trompent le plus souvent.
- 24 heures
Alerte précoce
ENISA + CSIRT national
Dès le moment où vous prenez connaissance qu'une vulnérabilité dans un produit que vous avez mis sur le marché est activement exploitée. Cela peut être court : ce que vous savez, et que vous enquêtez.
In alloy-it: La prise de connaissance est horodatée lorsque vous enregistrez l'exploitation, et le payload 24 h est rédigé à partir de vos données produit et versions.
- 72 heures
Notification de vulnérabilité
ENISA + CSIRT national
Le tableau plus complet : produits et versions concernés, sévérité et impact, et toute mesure corrective ou d'atténuation disponible pour les utilisateurs.
In alloy-it: Les versions concernées viennent de votre inventaire et de vos décisions de triage : délimiter le périmètre n'est plus un exercice d'archéologie manuelle.
- 14 jours
Rapport final
ENISA + CSIRT national
Après qu'une mesure corrective est disponible : la nature de la vulnérabilité, le correctif, et ce que vous avez fait.
In alloy-it: Le dossier de preuves rassemble le SBOM, les constats, l'historique de triage et la chronologie de prise de connaissance pour la version concernée.
Ce qu'il faut avoir en place avant la date
Cinq choses. Aucune n'exige un programme SBOM terminé, et la plupart sont des informations que vous avez déjà.
- 1
Une liste des produits que vous avez mis sur le marché
Un après-midiNom, période de support et classe de risque pour chacun. C'est l'unité dont le CRA vous tient responsable.
- 2
Les versions qui sont sorties
Un après-midiVersion par version. Lorsqu'une autorité demande ce qui est concerné, c'est la liste contre laquelle vous délimitez le périmètre.
- 3
Votre identité de déclarant
30 minutesCoordonnées de l'entreprise, identifiant fabricant, CSIRT national désigné, et un contact nommé. Remplir cela pendant un incident, c'est ainsi que les dépôts tournent mal.
- 4
Un canal pour entendre parler d'exploitation
Vous en avez déjà unUn client, un partenaire, un bulletin CERT, ou votre propre télémétrie. L'enregistrer manuellement suffit pour démarrer l'horloge correctement.
- 5
Quelqu'un qui porte l'horloge de 24 heures
Une décisionNommé, avec un suppléant. L'obligation est bornée dans le temps et ne s'arrête pas pour les congés.
Ce qui n'est pas encore exigé
La plupart des équipes bloquent sur des obligations qui ne s'appliquent qu'en décembre 2027. Les écarter est en général ce qui débloque septembre.
Un programme SBOM complet
La notification article 14 n'exige pas de SBOM. Cela vous aide à découvrir plus vite, mais vous pouvez notifier sans.
Marquage CE ou organisme notifié
L'évaluation de la conformité et le marquage CE s'appliquent à partir du 11 décembre 2027, pas maintenant.
Envoyer des e-mails à vos clients
Septembre 2026, c'est un signalement aux autorités. Informer les utilisateurs relève du traitement des vulnérabilités, en vue de l'application complète en décembre 2027.
Une fonction PSIRT terminée
Un responsable nommé et un moyen d'enregistrer la prise de connaissance, c'est le minimum. Le reste peut mûrir après la date.
À quoi cela ressemble quand l'horloge tourne
Prise de connaissance horodatée, échéances suivies par incident, versions concernées déjà délimitées depuis votre inventaire.
| ID exploit | CVE | Produit | Première prise de connaissance | Alerte précoce 24 h | Notification 72 h | Rapport final 14 j | Statut |
|---|---|---|---|---|---|---|---|
| EXP-2026-004 | CVE-2026-1337 | GW-4200 Gateway | il y a 68 h | envoyé | dans 4 h | dans 12 j | Notification |
| EXP-2026-003 | CVE-2026-0912 | TX-90 Sensor | il y a 3 j | envoyé | envoyé | dans 9 j | Correctif en cours |
| EXP-2026-002 | CVE-2025-8841 | GW-4200 Gateway | il y a 22 j | envoyé | envoyé | déposé | Clôturé |
- Horodatage de prise de connaissance par incident
- Payloads 24 h / 72 h / 14 j rédigés
- Versions concernées délimitées depuis le triage
Le minimum est encore atteignable
Ajoutez vos produits et versions, renseignez votre identité de déclarant, et vous pourrez déposer correctement dès le premier jour. Commencez gratuitement, ou parcourez-le avec nous.
Cette page fournit des informations générales sur le Cyber Resilience Act de l'UE et ne constitue pas un conseil juridique. Le règlement et ses normes harmonisées évoluent encore : consultez les sources officielles de l'UE, de l'ENISA et du BSI ainsi qu'un conseil qualifié pour votre produit. alloy-it aide pour l'inventaire produit, la surveillance SBOM, le triage, les preuves article 14 et le chemin de reconstruction ; ce n'est ni un logiciel de marquage CE, ni un organisme notifié, et cela ne soumet pas de rapports à l'ENISA ni aux CSIRT nationaux.