Un écart s’ouvre dans le Cyber Resilience Act, et il vaut la peine d’être précis ici — car la précision est, à cet endroit, la différence entre planifier et espérer.
Ce qui est fixé
Deux dates du règlement (UE) 2024/2847 sont fixées par l’article 71 et ne sont affectées par rien de ce qui se passe en normalisation :
- 11 septembre 2026 — notification, au titre de l’article 14, des vulnérabilités activement exploitées et des incidents graves, au CSIRT coordinateur et à l’ENISA.
- 11 décembre 2027 — le règlement s’applique intégralement. L’annexe I devient contraignante, y compris sa partie II, point 3) : les fabricants « soumettent régulièrement les produits comportant des éléments numériques à des tests et examens de sécurité efficaces ».
Ce qui bouge
Les normes harmonisées relevant de la demande de normalisation M/606 de la Commission (C(2025)618) sont les instruments qui diront ce que « régulièrement » et « efficaces » exigent réellement. Un projet d’amendement, mis en circulation en juillet 2026, repousserait les livrables relatifs à la gestion des vulnérabilités au-delà du calendrier initialement demandé.
Nous n’imprimons délibérément pas de date de remplacement. À la date de cette note, nous n’avons vu aucune décision modificative adoptée et publiée au Journal officiel, et la page de normalisation de la Commission renvoie toujours à C(2025)618. Une proposition n’est pas un calendrier — et en présenter une comme telle est le genre de petite erreur qui coûte au lecteur sa confiance dans tout ce qui l’entoure.
La partie qui ne dépend pas de la date
Même une fois la norme livrée, la livraison n’est pas le moment décisif. En vertu de l’article 27, paragraphe 1, une norme harmonisée ne confère la présomption de conformité que lorsque sa référence est publiée au Journal officiel de l’Union européenne — ce qui intervient après tout délai de livraison, d’un intervalle que personne ne contrôle.
La forme du problème est donc stable, quelles que soient les dates qui tombent où :
Les fabricants documenteront, pendant un certain temps, la conformité à une obligation d’essais avant que la norme qui définit cette obligation ne soit citable.
Les dossiers constitués dans cet intervalle ne peuvent pas s’appuyer sur la conformité à une norme publiée, puisqu’il n’en existe pas encore à laquelle se conformer. Ils doivent tenir debout par eux-mêmes — traçables jusqu’à une révision, honnêtes sur ce qui a été examiné et ce qui ne l’a pas été, et lisibles par quelqu’un qui n’était pas dans la pièce.
Ce que nous ferions concrètement
Rien de spectaculaire. Trois choses, classées par ordre de coût croissant :
- Connaissez votre classification. La voie de conformité n’est pas une question de taille d’entreprise ni de diffusion — elle découle de la classification annexe III / annexe IV, et la réponse change ce que vous devez. Les produits de l’annexe III qui relèvent du logiciel libre et open source disposent de leur propre voie au titre de l’article 32, paragraphe 5, pour autant que la documentation technique soit publique ; cette exception ne s’étend pas à l’annexe IV.
- Commencez la documentation technique maintenant, pas en 2027. L’annexe VII, point 6), exige « les rapports des essais effectués pour vérifier la conformité du produit comportant des éléments numériques et des processus de gestion des vulnérabilités … ». Ces rapports se produisent version par version — ou ils se reconstruisent de mémoire, sous la pression d’une échéance. Le premier cas est une preuve ; le second, un récit.
- Gardez la règle de conservation exacte. C’est l’article 13, paragraphe 13 — la documentation technique et la déclaration UE de conformité sont tenues à disposition « pendant une durée d’au moins dix ans après la mise sur le marché du produit comportant des éléments numériques ou pendant la période d’assistance, la période la plus longue étant retenue ». Pour une infrastructure aux engagements de support longs, c’est généralement la seconde branche qui est déterminante — et c’est celle qu’on laisse tomber.
Corrections
Si une date ou une référence de cette note est fausse, nous préférons l’entendre plutôt que d’avoir raison en public. Écrivez-nous et nous corrigerons ici — visiblement, plutôt qu’en modifiant discrètement l’original.
Dispositions vérifiées contre le règlement (UE) 2024/2847 ; les citations françaises suivent la version linguistique française officielle. Les calendriers de normalisation bougent ; vérifiez le calendrier M/606 en vigueur avant de vous y fier. Rien ici ne constitue un conseil juridique.