Calculateur des échéances de signalement CRA
Indiquez quand vous avez eu connaissance des faits. Voyez quand chaque signalement prévu à l’article 14 doit être soumis au plus tard.
Échéances
Le calculateur nécessite JavaScript dans votre navigateur. Les règles qu’il applique sont indiquées ci-dessous.
Indiquez quand vous avez eu connaissance des faits pour voir les échéances.
Avoir connaissance
24 hAlerte précoce
72 hNotification de vulnérabilité
Mesure de correction ou d’atténuation disponible
Fait courir les 14 jours pour le rapport final (article 14, paragraphe 2, point c)).
14 joursRapport final
Les échéances suivent le calendrier de l’UE le plus strict et ne dépassent jamais la limite légale.
Règlement (UE) 2024/2847, article 14 · texte vérifié par rapport au Journal officiel le 18 octobre 2026 · informations, pas de conseil juridique
Ce que dit le règlement
Échéances
- art. 14, par. 1, et art. 14, par. 3
- Le fabricant notifie une vulnérabilité activement exploitée et un incident grave ayant des répercussions sur la sécurité du produit simultanément au CSIRT désigné comme coordinateur et à l’ENISA, par l’intermédiaire de la plateforme unique de signalement (article 16).
- art. 14, par. 2, point a), et art. 14, par. 4, point a)
- Alerte précoce : sans retard injustifié et, en tout état de cause, au plus tard 24 heures après avoir eu connaissance des faits.
- art. 14, par. 2, point b), et art. 14, par. 4, point b)
- Notification : sans retard injustifié et, en tout état de cause, au plus tard 72 heures après avoir eu connaissance des faits, à moins que les informations n’aient déjà été communiquées.
- art. 14, par. 2, point c)
- Rapport final sur une vulnérabilité activement exploitée : au plus tard 14 jours après la mise à disposition d’une mesure de correction ou d’atténuation.
- art. 14, par. 4, point c)
- Rapport final sur un incident grave : dans un délai d’un mois à compter de la présentation de la notification d’incident.
- art. 14, par. 5
- Un incident est grave lorsqu’il entache ou est susceptible d’entacher la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou lorsqu’il a conduit ou est susceptible de conduire à l’introduction ou à l’exécution d’un code malveillant. Vous décidez si c’est le cas.
Qui reçoit le signalement
- art. 14, par. 7
- Le signalement est adressé au CSIRT désigné comme coordinateur de l’État membre où le fabricant a son établissement principal dans l’Union. À défaut, l’article désigne successivement l’État membre du mandataire, de l’importateur, du distributeur ou celui qui compte le plus d’utilisateurs.
- art. 14, par. 6, et art. 14, par. 8
- Le CSIRT peut demander un rapport intermédiaire ; le règlement ne fixe aucun délai précis pour celui-ci. Après avoir eu connaissance des faits, le fabricant informe également les utilisateurs concernés et, s’il y a lieu, tous les utilisateurs.
Champ d’application et dates
- art. 71, par. 2, et art. 69, par. 3
- L’obligation de signalement s’applique à partir du 11 septembre 2026 ; les amendes administratives prévues à l’article 64 s’appliquent à partir du 11 décembre 2027. L’article 14 s’applique également aux produits mis sur le marché avant le 11 décembre 2027 ; les règles relatives aux organismes notifiés (chapitre IV) s’appliquent depuis le 11 juin 2026. Les sanctions et les autorités compétentes sont fixées par le droit national.
- art. 64, par. 10
- Les microentreprises et les petites entreprises ne sont pas passibles d’amendes administratives si elles omettent de soumettre l’alerte précoce sous 24 heures (article 14, paragraphe 2, point a), et article 14, paragraphe 4, point a) ; article 64, paragraphe 10, tel que rectifié au JO L 2025/90555).
Comment le calculateur compte
- Chaque signalement doit être effectué sans retard injustifié. Les heures affichées sont les derniers moments autorisés par le règlement, et non des objectifs.
- Les 24 et 72 heures sont des périodes exprimées en heures : les heures écoulées depuis le moment exact où le fabricant prend connaissance des faits, calculées en UTC et affichées en heure locale. Un changement d’heure entre-temps ne décale pas l’échéance ; le calculateur le signale à l’étape concernée.
- Les jours et les mois sont comptés selon le règlement (CEE, Euratom) nº 1182/71. Le jour où la mesure a été disponible, ou celui où la notification a été soumise, n’est pas compté. La période se termine à la fin de son dernier jour, dans le fuseau horaire de l’État membre du CSIRT désigné comme coordinateur. Une période d’un mois se termine à la même date le mois suivant. Si cette date n’existe pas dans le mois suivant, elle se termine le dernier jour de ce mois.
- Selon l’article 3, paragraphe 4, du règlement (CEE, Euratom) nº 1182/71, une période exprimée en jours ou en mois dont le dernier jour est un samedi, un dimanche ou un jour férié peut se terminer à la fin du jour ouvrable suivant. Cela ne s’applique pas aux périodes exprimées en heures. Le calculateur affiche la date sans prolongation comme échéance et le jour ouvrable suivant séparément comme prolongation possible ; il ne tient compte que des week-ends, pas des jours fériés.
- Si une mesure de correction ou d’atténuation était disponible avant le moment où le fabricant en a eu connaissance, les 14 jours sont comptés à partir de ce moment, car l’obligation de notification ne naît qu’à ce moment ; comptés à partir de la mise à disposition de la mesure, ils peuvent déjà s’être écoulés. Notifiez donc sans retard injustifié.
- La plateforme unique de signalement de l’ENISA peut afficher son propre compteur de 72 heures, qui démarre 48 heures après la soumission de l’alerte précoce. Le règlement compte les 72 heures à partir du moment où le fabricant prend connaissance des faits (article 14, paragraphe 2, point b)) ; le calculateur suit le règlement.
Dans crAcken, chaque dossier conserve ces échéances avec les éléments consignés sur le moment où le fabricant a eu connaissance des faits : qui a décidé, quand et sur quelle base.