Calendrier du CRA : les dates clés de 2024 à 2027

Le Cyber Resilience Act est souvent résumé à « décembre 2027 ». Or une obligation s’applique déjà depuis septembre 2026, et la préparation d’un produit prend des mois. Voici la frise complète, ce que chaque date change et la conduite à tenir selon votre situation.

Le calendrier du CRA en bref

Le Cyber Resilience Act (règlement (UE) 2024/2847) s’applique par étapes, de son entrée en vigueur le 10 décembre 2024 à son application générale le 11 décembre 2027, avec une obligation de signalement anticipée au 11 septembre 2026 (art. 71).

• Depuis le 11 juin 2026, les organismes d’évaluation de la conformité peuvent être notifiés au titre du CRA (chapitre IV, art. 35 à 51).
• Depuis le 11 septembre 2026, tout fabricant doit signaler sous 24 heures les vulnérabilités activement exploitées et les incidents graves de ses produits via la plateforme unique de signalement de l’ENISA, y compris pour les produits vendus avant le CRA (art. 14, 69(3) et 71(2)).
• Le 11 décembre 2027, toutes les autres obligations s’appliquent : tout produit comportant des éléments numériques mis sur le marché de l’UE à partir de cette date doit être conforme à l’annexe I, documenté, évalué et porter le marquage CE.

Deux échéances connexes comptent entre ces dates : les exigences cyber de la directive RED s’appliquent aux équipements radio depuis le 1er août 2025, et le Règlement machines (UE) 2023/1230 s’applique le 20 janvier 2027. Les normes harmonisées CRA sont attendues à partir de fin 2026, mais aucune n’est citée au Journal officiel au 28 octobre 2026. Enfin, un produit déjà sur le marché avant le 11 décembre 2027 n’est rattrapé par le CRA qu’en cas de modification substantielle, mais chaque nouvelle unité mise sur le marché après cette date doit être conforme.

1. 10.12.2024

   Entrée en vigueur du CRA

   Publié au Journal officiel le 20 novembre 2024. Début du compte à rebours, sans obligation immédiate.

   Art. 71, par. 1

2. 01.08.2025

   Exigences cyber de la RED applicables

   Équipements radio connectés : articles 3.3 d), e) et f), normes EN 18031-1, -2 et -3:2024.

   Règlement délégué (UE) 2022/30

3. 28.11.2025

   Descriptions des produits importants et critiques

   La catégorie de chaque produit (classe I, classe II, critique) peut être déterminée.

   Règlement d'exécution (UE) 2025/2392

4. 11.06.2026

   Organismes notifiés

   Les organismes d'évaluation de la conformité peuvent être notifiés au titre du CRA.

   Art. 71, par. 2 ; chapitre IV

5. 27.07.2026

   Lignes directrices de la Commission

   Interprétation officielle, non contraignante : champ, modification substantielle, période d'assistance, signalement.

   C(2026) 5252

6. 11.09.2026

   Signalement obligatoire des vulnérabilités

   Alerte précoce sous 24 h, notification sous 72 h, rapport final, via la plateforme unique de l'ENISA. Concerne aussi les produits déjà vendus.

   Art. 14 et 71, par. 2

7. 11.12.2026

   Nombre suffisant d'organismes notifiés

   Objectif fixé aux États membres.

   Art. 35, par. 2

8. 20.01.2027

   Règlement machines applicable

   Protection contre la corruption et sécurité des systèmes de commande (annexe III, 1.1.9 et 1.2.1).

   Règlement (UE) 2023/1230

9. Juin 2027

   Projet de loi fédérale sur la cybersécurité attendu

   Mandat du Conseil fédéral au DDPS du 25.09.2026 : un projet basé sur le CRA, d'ici juin 2027.

   Conseil fédéral, 25.09.2026

10. 30.10.2027

    Normes de l'annexe I, partie I attendues

    Échéance de la demande de normalisation M/606 pour la norme horizontale générique. Aucune norme CRA citée au Journal officiel au 28.10.2026.

    Demande M/606 ; FAQ CRA v1.4, 6.10

11. 11.12.2027

    Application générale du CRA

    Tout produit comportant des éléments numériques mis sur le marché de l'UE doit être conforme, documenté, évalué et porter le marquage CE. Les exigences cyber de la RED sont abrogées.

    Art. 71, par. 2 ; règlement délégué (UE) 2026/339

12. 11.06.2028

    Fin de validité des certificats cyber d'autres législations

    La conformité au CRA doit alors être démontrée entièrement.

    Art. 69, par. 1

Le tableau ci-dessous reprend toutes les dates, y compris les étapes secondaires.

Date	Événement	Ce que cela change	Source
23.10.2024	Adoption du règlement	Aucune obligation immédiate	CRA, formule finale
20.11.2024	Publication au JO L	Texte définitif disponible	JO L du 20.11.2024
10.12.2024	Entrée en vigueur	Début du compte à rebours	art. 71(1)
01.08.2025	Exigences cyber de la RED applicables	Équipements radio : EN 18031	règlement délégué (UE) 2022/30
28.11.2025	Descriptions techniques des produits importants et critiques	La catégorie de chaque produit peut être déterminée	règlement d’exécution (UE) 2025/2392 ; art. 7(4)
11.06.2026	Chapitre IV applicable	Notification des organismes d’évaluation par tiers	art. 71(2)
27.07.2026	Lignes directrices de la Commission	Interprétation officielle, non contraignante	C(2026) 5252
30.08.2026	Échéance M/606 : cadre de conception, gestion des vulnérabilités	Normes à surveiller, pas encore citées	FAQ CRA v1.4, 6.10
11.09.2026	Article 14 applicable, plateforme de l’ENISA en service	Signalement 24 h, 72 h, rapport final	art. 71(2) ; ENISA
30.10.2026	Échéance M/606 : normes verticales (produits importants et critiques)	Idem	FAQ CRA v1.4, 6.10
11.12.2026	Nombre suffisant d’organismes notifiés visé	Objectif pour les États membres	art. 35(2)
20.01.2027	Règlement machines applicable	Annexe III, 1.1.9 et 1.2.1 (cyber)	règlement (UE) 2023/1230
30.10.2027	Échéance M/606 : exigences de l’annexe I, partie I	Norme horizontale générique	FAQ CRA v1.4, 6.10
11.12.2027	Application générale ; abrogation du règlement délégué RED	Tout produit mis sur le marché doit être conforme	art. 71(2) ; règlement délégué (UE) 2026/339
11.06.2028	Fin de validité, pour le CRA, des certificats cyber d’autres législations	Démontrer la conformité CRA complète	art. 69(1)
11.09.2028	Rapport de la Commission sur la plateforme de signalement		art. 70(2)

Ce qui s’applique déjà en octobre 2026

Trois obligations sont déjà effectives fin 2026 : le signalement CRA depuis le 11 septembre 2026, le cadre des organismes notifiés depuis le 11 juin 2026 et, pour les équipements radio, les exigences cyber de la RED depuis le 1er août 2025.

Le signalement des vulnérabilités et des incidents

Le fabricant envoie une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final, 14 jours après la mise à disposition d’un correctif pour une vulnérabilité, ou un mois après la notification pour un incident grave (art. 14(2) et 14(4)). La notification part simultanément au CSIRT coordinateur et à l’ENISA par la plateforme unique (art. 14(7) et 16).

L’obligation vise tous les produits concernés, y compris ceux mis sur le marché avant le 11 décembre 2027 (art. 69(3) ; la version française contient une erreur de rédaction, la version anglaise et la FAQ de la Commission, point 1.4, disent bien « avant »). Elle persiste après la fin de la période d’assistance (lignes directrices C(2026) 5252, point 210).

Selon la Commission, il n’y a pas de rétroactivité : une vulnérabilité dont l’exploitation active était connue avant le 11 septembre 2026 n’est pas à signaler, alors qu’une exploitation constatée après cette date l’est (C(2026) 5252, point 217). Le règlement prévoit aussi un allègement pour les microentreprises et petites entreprises qui manquent le seul délai de l’alerte de 24 heures (art. 64(10) a)) ; sa portée exacte reste à confirmer, ne le considérez pas comme une garantie. Tout le détail figure dans notre article Signaler une vulnérabilité sous le CRA.

Les organismes notifiés

Depuis le 11 juin 2026, les États membres peuvent notifier les organismes qui réaliseront les évaluations par tiers. L’article 35(2) leur demande de s’efforcer d’en assurer un nombre suffisant d’ici le 11 décembre 2026. La liste des organismes notifiés au titre du CRA se consulte dans la base NANDO de la Commission : vérifiez-la au moment de planifier votre projet, car elle évolue.

La RED pour les équipements radio

Depuis le 1er août 2025, les équipements radio couverts par le règlement délégué (UE) 2022/30 doivent respecter les articles 3.3 d), e) et f) de la RED, avec les normes EN 18031-1, -2 et -3:2024 citées avec des restrictions (décision d’exécution (UE) 2025/138). Voir notre article sur la cybersécurité RED et l’EN 18031.

Et en Suisse ?

La Suisse n’a pas encore d’équivalent du CRA. Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS d’élaborer d’ici juin 2027 un projet de loi fédérale sur la cybersécurité qui se basera sur le CRA ; aucun texte n’est en consultation à ce jour. Un fabricant suisse qui vend dans l’UE applique déjà le calendrier européen : voir le CRA pour une entreprise suisse.

Normes harmonisées : le calendrier encore ouvert

Les normes harmonisées qui donneront la présomption de conformité au CRA sont en préparation sous la demande de normalisation M/606, mais aucune n’est citée au Journal officiel au 28 octobre 2026 ; leur calendrier est le principal facteur d’incertitude pour les fabricants.

La demande M/606 (décision C(2025) 618 du 3 février 2025) porte sur 41 normes : 15 horizontales, confiées au CEN et au CENELEC (série EN 40000, par exemple les projets prEN 40000-1-3 sur la gestion des vulnérabilités et prEN 40000-1-4 sur les exigences de sécurité), et 26 verticales pour les produits importants et critiques (dont la série ETSI EN 304 6xx). La FAQ de la Commission (v1.4, 6.10) rappelle les échéances d’adoption par les organismes de normalisation : 30 août 2026, 30 octobre 2026 et 30 octobre 2027.

Conséquences pratiques : la présomption de conformité n’existe qu’après citation au Journal officiel (art. 27(1)). Pour un produit important de classe I, le contrôle interne (module A) n’est possible que si une norme harmonisée pertinente est appliquée entièrement et couvre au moins les risques liés à la fonctionnalité de base du produit (art. 32(2) ; lignes directrices C(2026) 5252, point 149). Sans elle, il faut passer par un organisme notifié.

En attendant, l’ETSI EN 303 645 V3.1.3 (2024-09), l’IEC 62443-4-1:2018, l’IEC 62443-4-2:2019 et les EN 18031 permettent de bâtir la conformité, sans donner de présomption au titre du CRA.

2027 : Règlement machines, puis application générale du CRA

L’année 2027 concentre deux échéances majeures : le Règlement machines s’applique le 20 janvier 2027, avec ses exigences de protection contre la corruption, et le CRA s’applique intégralement le 11 décembre 2027.

Le règlement (UE) 2023/1230 introduit, à son annexe III, la protection contre la corruption (1.1.9) et la sécurité et fiabilité des systèmes de commande (1.2.1). Pour un fabricant de machines connectées, c’est la première échéance cyber : voir le Règlement machines en 2027.

Le 11 décembre 2027 deviennent obligatoires, pour les produits mis sur le marché à partir de cette date : l’annexe I, parties I et II ; l’article 13 (évaluation des risques, période d’assistance, documentation, informations utilisateur) ; l’évaluation de la conformité (art. 32), la déclaration UE de conformité (art. 28) et le marquage CE (art. 30) ; les obligations des importateurs et distributeurs (art. 19 et 20).

Pour les équipements radio, la FAQ de la Commission (v1.4, 2.6.1) précise que ceux mis sur le marché à partir du 11 décembre 2027 relèvent du CRA et non plus des exigences cyber de la RED. Le règlement délégué (UE) 2026/339 du 16 février 2026 abroge le règlement délégué (UE) 2022/30 avec effet à cette date.

Les procédures avec organisme notifié prennent du temps. Pour un produit de classe II, un produit critique, ou un produit de classe I sans norme harmonisée appliquée, prenez contact avec un organisme notifié bien avant l’échéance.

Produits déjà sur le marché : ce que prévoit l’article 69

Un produit mis sur le marché avant le 11 décembre 2027 n’a pas à être mis en conformité avec le CRA, sauf modification substantielle à partir de cette date ; mais chaque unité mise sur le marché après le 11 décembre 2027 doit être conforme, même si le modèle est ancien.

L’article 69(2) pose la règle générale. Exemple de la FAQ de la Commission (point 1.4) : pour un téléviseur connecté mis sur le marché mi-2027, une mise à jour corrective en 2028 ne change rien, une mise à jour ajoutant une fonction nouvelle en 2029 déclenche le CRA. L’exemple illustre la règle sans remplacer l’analyse de chaque modification.

La mise sur le marché s’apprécie pour chaque produit individuel, pas pour un type de produit (lignes directrices C(2026) 5252, point 11, citant le Guide bleu 2022, section 2.3). Pour un modèle conçu avant le CRA, les points 33 à 39 précisent qu’une reconception n’est pas forcément nécessaire si l’évaluation des risques démontre un niveau de cybersécurité approprié, et qu’il n’est pas nécessaire de recréer les résultats d’essais historiques. L’évaluation de la conformité, la déclaration, le marquage CE et les processus de gestion des vulnérabilités restent obligatoires.

Situation du produit	Exigences CRA (annexe I, art. 13)	Signalement (art. 14)	Référence
Mis sur le marché avant le 11.12.2027, non modifié	Non	Oui, depuis le 11.09.2026	art. 69(2) et 69(3)
Mis sur le marché avant, modifié substantiellement après le 11.12.2027	Oui	Oui	art. 69(2)
Nouvelle unité d’un ancien modèle, mise sur le marché après le 11.12.2027	Oui, sans reconception obligatoire si l’évaluation des risques le justifie	Oui	C(2026) 5252, points 11 et 33 à 39
Nouveau modèle mis sur le marché après le 11.12.2027	Oui	Oui	art. 71(2)

Les certificats cyber existants restent utilisables jusqu’au 11 juin 2028 au plus tard, pour les seuls risques qu’ils couvrent (art. 69(1) ; C(2026) 5252, points 247 à 257). Un examen UE de type RED ne couvre par exemple ni la gestion des vulnérabilités ni la minimisation des données.

Que faire maintenant, selon où vous en êtes

Fin 2026, la priorité de tout fabricant concerné est double : être capable de signaler dès aujourd’hui, et lancer la conformité des produits qui seront encore vendus après le 11 décembre 2027.

Votre situation	Priorité immédiate	Avant mi-2027	Avant le 11.12.2027
Rien n’est fait	Désigner un responsable, préparer l’accès à la plateforme de signalement, publier un point de contact	Vérifier le champ et la catégorie ; évaluation des risques du produit principal	Analyse d’écart, plan d’actions, documentation technique
Produits radio conformes à la RED (EN 18031)	Vérifier la procédure de signalement	Analyse d’écart RED vers CRA : gestion des vulnérabilités, SBOM, période d’assistance, minimisation des données	Documentation CRA complète
Machines	Procédure de signalement	Intégrer la cybersécurité dans l’appréciation des risques machine (1.1.9 et 1.2.1) avant le 20.01.2027	Documentation CRA et machines cohérente
Produit de classe II ou critique	Procédure de signalement	Prendre contact avec un organisme notifié	Évaluation par tiers terminée
Produit en fin de vie avant fin 2027	Procédure de signalement	Décider : arrêt de commercialisation avant le 11.12.2027 ou mise en conformité	Dernières unités mises sur le marché avant l’échéance, ou produit conforme

Vérifiez d’abord si votre produit est concerné, puis lisez notre guide complet du Cyber Resilience Act.

L’évaluation des risques, les corrections de conception et la documentation prennent souvent plusieurs mois. Säfeli établit avec vous un rétroplanning réaliste pour vos produits et vous accompagne dans la mise en conformité CRA, y compris pour les machines. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit. Contactez-nous pour un premier entretien de 30 minutes.