Signalements au titre de l’article 14 du CRA : déclencheurs, étapes et délais

Les affirmations juridiques ci-dessous ont été vérifiées le 21 octobre 2026 à partir du texte du règlement (UE) 2024/2847 publié au Journal officiel et de ses rectificatifs. Cette page est fournie à titre d’information et ne constitue pas un conseil juridique. Elle ne détermine pas si un cas précis doit être signalé.

Un signalement commence par une décision sur ce qui s’est passé. Un calculateur de délais ne peut pas prendre cette décision à votre place.

Commencez par le fait déclencheur

L’article 14 impose l’obligation de signalement aux fabricants de produits comportant des éléments numériques qui relèvent du champ d’application du CRA (article 14, paragraphes 1 et 3 ; champ d’application : article 2). Cette obligation couvre deux cas. Le premier est une vulnérabilité activement exploitée contenue dans le produit. Le second est un incident grave ayant des répercussions sur la sécurité du produit (article 14, paragraphes 1 et 3).

L’article 14 s’applique à compter du 11 septembre 2026 (article 71, paragraphe 2). Il s’applique à tous les produits relevant de son champ d’application, y compris ceux mis sur le marché avant le 11 décembre 2027 (article 69, paragraphe 3).

Une vulnérabilité activement exploitée est « une vulnérabilité pour laquelle il existe des preuves fiables qu’elle a été exploitée par un acteur malveillant dans un système sans l’autorisation du propriétaire du système » (article 3, point 42)). Un résultat de scanner ou une entrée dans une base de données ne suffit pas nécessairement à établir ces faits. C’est une interprétation, pas une autre définition du règlement. Consignez séparément les preuves et votre appréciation de ce qu’elles établissent.

Un incident est grave s’il entache ou est susceptible d’entacher la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes (article 14, paragraphe 5, point a)). Il est également grave s’il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant dans le produit ou dans les réseaux et systèmes d’information d’un utilisateur du produit (article 14, paragraphe 5, point b)). Utilisez le texte intégral de la disposition pour l’évaluation. Un libellé court dans un dossier ne peut pas le remplacer.

La prise de connaissance déclenche les deux premiers délais

Pour établir votre chronologie, la première question est de savoir quand le fabricant a eu connaissance des faits. Les délais de 24 et 72 heures courent tous deux à partir du moment où le fabricant a eu connaissance de la vulnérabilité activement exploitée ou de l’incident grave ayant des répercussions sur la sécurité du produit (article 14, paragraphe 2, points a) et b), et paragraphe 4, points a) et b)).

La transmission de l’alerte précoce ne fait pas courir un nouveau délai de 72 heures. Les deux étapes exigent aussi d’agir « sans retard injustifié ». Les délais en heures sont des limites maximales, pas une autorisation d’attendre.

Consignez dans le dossier ce qui a été porté à votre connaissance, à quel moment, ainsi que les preuves. Nommez la personne responsable de la décision. Distinguez le moment où le fabricant a effectivement eu connaissance des faits de celui où l’entrée a été créée. L’interprétation retenue ici est qu’une saisie ultérieure ne déplace pas le moment de la prise de connaissance.

Pour le rapport final, le point de départ est un autre événement.

Pour une vulnérabilité, le délai de 14 jours court à compter de la mise à disposition d’une mesure de correction ou d’atténuation, et non de la prise de connaissance (article 14, paragraphe 2, point c)). Pour un incident, le délai d’un mois court à compter de la présentation de la notification d’incident, et non de la prise de connaissance (article 14, paragraphe 4, point c)). Consignez ces événements dans des champs distincts.

Préparez le signalement de vulnérabilité par étapes

L’alerte précoce indique, le cas échéant, les États membres sur le territoire desquels le fabricant a connaissance que le produit a été mis à disposition (article 14, paragraphe 2, point a)).

Dans la notification de vulnérabilité, fournissez les informations générales disponibles sur le produit concerné ainsi que sur la nature générale de l’exploitation et de la vulnérabilité. Indiquez toute mesure corrective ou d’atténuation prise et les mesures correctives ou d’atténuation que les utilisateurs peuvent prendre. Précisez aussi, s’il y a lieu, le degré de sensibilité que le fabricant attribue aux informations notifiées (article 14, paragraphe 2, point b)).

Le rapport final comprend au moins : une description de la vulnérabilité, y compris sa gravité et ses répercussions ; le cas échéant, des informations concernant tout acteur malveillant ayant exploité ou exploitant la vulnérabilité ; et des précisions concernant la mise à jour de sécurité ou les autres mesures correctives mises en place pour remédier à la vulnérabilité (article 14, paragraphe 2, point c), sous-points i) à iii)).

Dans le rapport final, distinguez les constats confirmés des questions ouvertes. Conservez les preuves à l’appui de chaque conclusion. Si l’identité de l’attaquant est une hypothèse, dites-le.

Préparez le signalement d’un incident grave

L’alerte précoce indique au moins si l’on soupçonne que l’incident a été causé par des actes illicites ou malveillants. Le cas échéant, elle indique aussi les États membres sur le territoire desquels le fabricant a connaissance que le produit a été mis à disposition (article 14, paragraphe 4, point a)).

Pour la notification d’incident, fournissez les informations générales disponibles sur la nature de l’incident et une première évaluation de celui-ci. Incluez toute mesure de correction ou d’atténuation prise, les mesures de correction ou d’atténuation que les utilisateurs peuvent prendre et, le cas échéant, le degré de sensibilité que le fabricant attribue aux informations notifiées (article 14, paragraphe 4, point b)).

Le rapport final comprend au moins : une description détaillée de l’incident, y compris sa gravité et ses répercussions ; le type de menace ou la cause profonde ayant probablement déclenché l’incident ; et les mesures d’atténuation appliquées et en cours (article 14, paragraphe 4, point c), sous-points i) à iii)).

Si nécessaire, le CSIRT désigné comme coordinateur qui a reçu la notification en premier peut demander un rapport intermédiaire sur les mises à jour pertinentes de la situation (article 14, paragraphe 6). Le travail ne s’arrête pas à la première transmission. Désignez une personne responsable des mises à jour.

Destinataires des signalements et information des utilisateurs

Notifiez simultanément le CSIRT désigné comme coordinateur et l’ENISA, par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16 (article 14, paragraphes 1 et 3).

La notification passe par le point final de notification électronique du CSIRT désigné comme coordinateur de l’État membre où le fabricant a son établissement principal dans l’Union (article 14, paragraphe 7).

L’établissement principal se situe là où sont principalement prises les décisions liées à la cybersécurité des produits. Si cela ne peut pas être déterminé, il s’agit de l’établissement qui compte le plus grand nombre de salariés dans l’Union. Les fabricants sans établissement principal dans l’Union suivent l’ordre établi à l’article 14, paragraphe 7. Consultez le guide de la plateforme avant de préparer le circuit de transmission.

Signaler aux autorités ne remplace pas l’information des utilisateurs. Après avoir eu connaissance des faits, le fabricant doit informer les utilisateurs touchés et, le cas échéant, tous les utilisateurs, de la vulnérabilité ou de l’incident et, si nécessaire, des mesures d’atténuation des risques et des mesures correctives qu’ils peuvent appliquer (article 14, paragraphe 8). Le cas échéant, ces informations sont fournies dans un format structuré, lisible par machine et facilement exploitable par traitement automatique (article 14, paragraphe 8). Dites aux utilisateurs ce qu’ils peuvent faire. Précisez quelle mesure est disponible et laquelle est encore en préparation.

Exemple de calcul : deux dates distinctes pour les rapports finaux

Il s’agit d’un exemple fictif, pas de l’évaluation d’un cas réel. Toutes les heures ci-dessous sont en UTC.

La séquence est la suivante : signal → prise de connaissance → alerte précoce sous 24 heures → notification de vulnérabilité sous 72 heures → rapport final au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation (article 14, paragraphe 2, points a) à c)). Les deux premiers délais courent à partir de la prise de connaissance et exigent tous deux d’agir sans retard injustifié (article 14, paragraphe 2, points a) et b)). Évaluez ce que le signal établit avant de retenir un moment de prise de connaissance. L’exemple commence après cette évaluation ; il ne décide pas à quel moment un signal réel signifie que le fabricant a eu connaissance des faits.

Supposons que le fabricant ait eu connaissance d’une vulnérabilité activement exploitée le lundi 2 novembre 2026 à 10:00. Comptez les heures écoulées à partir de ce moment. Les limites maximales sont le 3 novembre à 10:00 pour l’alerte précoce et le 5 novembre à 10:00 pour la notification de vulnérabilité. Utilisez ces limites pour la planification.

Supposons maintenant qu’une mesure d’atténuation soit disponible le vendredi 6 novembre. Le rapport final doit alors être transmis au plus tard à la fin du vendredi 20 novembre, même si une correction permanente arrive plus tard.

Supposons maintenant un incident grave distinct ayant des répercussions sur la sécurité du produit, dont le fabricant ait eu connaissance au même moment. Ses deux premières limites maximales sont les mêmes. Si la notification d’incident est transmise le 4 novembre dans cet exemple, le rapport final doit être transmis au plus tard à la fin du 4 décembre. Utilisez la date réelle de transmission, pas la dernière heure autorisée pour la notification (article 14, paragraphe 4, point c)).

Les dates ci-dessus suivent les règles de calcul de l’article 3 du règlement (CEE, Euratom) n° 1182/71 : le jour de l’événement n’est pas compté, et un mois se termine à la même date du mois suivant. Le CRA ne renvoie pas lui-même à ce règlement. En vertu de l’article 3, paragraphe 4, du règlement n° 1182/71, un délai exprimé en jours ou en mois qui se termine un samedi, un dimanche ou un jour férié est prolongé jusqu’à la fin du jour ouvrable suivant ; les délais exprimés en heures ne sont pas prolongés. Vérifiez les jours fériés et les fuseaux horaires avant de considérer le calcul comme juridiquement applicable.

Ce que l’article 14 n’exige pas

L’article 14 ne rend pas obligatoire le signalement de chaque constat de vulnérabilité. L’obligation concerne les vulnérabilités activement exploitées (article 14, paragraphe 1 ; article 3, point 42). Il ne considère pas non plus chaque incident comme grave (article 14, paragraphes 3 et 5). Le signalement volontaire repose sur une base distincte, à l’article 15.

L’alerte précoce n’exige pas une enquête achevée sur la cause profonde ; la cause profonde probable doit figurer dans le rapport final sur l’incident (article 14, paragraphe 4, point c), sous-point ii)). N’attendez pas une correction permanente si une mesure d’atténuation a déjà fait courir le délai du rapport final sur la vulnérabilité (article 14, paragraphe 2, point c)). Enregistrer le projet ne le transmet pas. Consignez la transmission séparément.

Examinez l’obligation de signalement séparément de la question des amendes administratives. L’article 64, paragraphe 10, point a), tel que rectifié par le JO L 2025/90555, exclut les amendes administratives pour les fabricants qui ont la qualité de microentreprise ou de petite entreprise et qui ne respectent pas le délai de 24 heures applicable à l’alerte précoce. Il ne supprime pas l’obligation de signalement elle-même.

Sources

• Règlement (UE) 2024/2847 (s’ouvre dans un nouvel onglet), texte du Journal officiel (Office des publications) : article 2, paragraphe 1, article 3, point 42), article 14, paragraphes 1 à 8, article 15, article 16, paragraphe 1, article 64, paragraphe 10, article 69, paragraphe 3, article 71, paragraphe 2.
• Rectificatif JO L 2025/90555 (s’ouvre dans un nouvel onglet) du 2 juillet 2025 : dans la version française, il rectifie l’article 64, paragraphe 10 (« paragraphes 2 à 9 » au lieu de « paragraphes 3 à 9 »), et l’article 69, paragraphe 3 (« avant le 11 décembre 2027 » au lieu de « le 11 décembre 2027 »). Les autres rectificatifs de la version française (JO L 2025/90768, annexe I, partie I ; JO L 2025/90828, article 67 ; JO L 2026/90243, annexe III) n’ont pas d’incidence sur l’article 14.
• Règlement (CEE, Euratom) n° 1182/71 (s’ouvre dans un nouvel onglet) : article 3, règles relatives aux délais, aux dates et aux termes.
• Commission européenne : règlement sur la cyberrésilience, obligations de signalement (s’ouvre dans un nouvel onglet) (consulté le 21 octobre 2026).
• ENISA : Single Reporting Platform (s’ouvre dans un nouvel onglet) (consulté le 21 octobre 2026).

Pour établir vos dates, utilisez le calculateur de délais de signalement crAcken.