Les 7 repères de l'échéance du 11 septembre
- Le texte — règlement (UE) 2024/2847, applicable directement, sans transposition.
- Ce qui bascule le 11/09/2026 — les seules obligations de signalement (article 14). Le reste des exigences produit s'applique en décembre 2027.
- Qui — fabricants de matériel, éditeurs de logiciel, et les « intendants » (stewards) de logiciels libres, dans les conditions de l'article 24(3).
- Quoi — vulnérabilité activement exploitée et incident grave affectant la sécurité du produit. Pas les vulnérabilités ordinaires.
- Délais — alerte précoce à 24 h, notification à 72 h, rapport final à 14 jours après correctif (vulnérabilité) ou 1 mois (incident).
- Où — la Single Reporting Platform (SRP) de l'ENISA, dont l'URL n'est pas publiée à ce jour.
- Qui reçoit — en France, le CERT-FR de l'ANSSI comme CSIRT coordinateur, et l'ENISA. La surveillance du marché, elle, revient à l'ANFR.
Ce que le 11 septembre déclenche exactement : trois horloges, pas une
Le CRA n'installe pas un délai de 24 heures, mais une séquence en trois temps. Elle démarre au moment précis où le fabricant prend connaissance de l'exploitation ou de l'incident — pas au moment où la faille a été introduite, ni au moment où un client se plaint.| Étape | Délai | Ce qu'il faut fournir |
|---|---|---|
| Alerte précoce | Sans retard injustifié et au plus tard 24 h après la prise de connaissance | Une déclaration minimale : type de notification, nom du fabricant, produit, intitulé. Rien n'oblige, à ce stade, à décrire la faille. |
| Notification | Sans retard injustifié et au plus tard 72 h | Nature générale de la vulnérabilité ou de l'incident, nature de l'exploitation, évaluation initiale, mesures correctives ou d'atténuation prises, et celles que les utilisateurs peuvent appliquer. |
| Rapport final | 14 jours après la mise à disposition d'un correctif (vulnérabilité) ; 1 mois après la notification (incident grave) | Description complète, sévérité, impact, détails du correctif, cause racine probable et mesures d'atténuation en cours pour un incident. |
Source : Cyber Resilience Act, article 14 ; FAQ de la plateforme unique de signalement publiée par l'ENISA, mise à jour du 3 août 2026.
Le point d'attention n'est pas le volume d'informations demandé — il est modeste — mais l'événement déclencheur. « Prendre connaissance » est une notion souple, que la ligne directrice publiée par la Commission européenne le 27 juillet 2026 précise à son point 9.1. En pratique, cela signifie qu'une organisation doit savoir qui, chez elle, est autorisé à constater qu'une exploitation est avérée — et à quelle heure il l'a constaté. Sans horodatage interne, le délai de 24 heures n'est pas défendable.Deux événements, deux définitions — et beaucoup de choses qui n'entrent pas dedans
Le règlement ne demande pas de déclarer les failles. Il demande de déclarer deux catégories d'événements, définies étroitement.La vulnérabilité activement exploitée. Le CRA la définit comme une vulnérabilité « pour laquelle il existe des preuves fiables qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation du propriétaire du système ». Une vulnérabilité publiée, même critique, même avec un score CVSS de 9,8, ne relève pas de l'obligation tant qu'aucune exploitation réelle n'est constatée. À l'inverse, une vulnérabilité que personne n'a documentée publiquement mais dont vous constatez l'exploitation chez un client déclenche l'horloge. La distinction n'est pas académique : une faille massivement exploitée comme celle qui a frappé WordPress en juillet serait entrée dans le champ de l'obligation, alors qu'un correctif publié avant toute exploitation n'y entre pas.
L'incident grave ayant une incidence sur la sécurité du produit. Il s'agit d'un incident qui affecte, ou est susceptible d'affecter, la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données ou de fonctions — ou qui a conduit, ou est susceptible de conduire, à l'introduction ou à l'exécution de code malveillant dans le produit ou dans le système d'information d'un utilisateur du produit. Les critères de gravité figurent à l'article 14(5).
Vérification : au 26 août, la plateforme de signalement n'a pas d'adresse publique
C'est le point qui distingue cette échéance des précédentes. Pour l'AI Act, l'obligation reposait sur une modification de produit ; pour la facture électronique, sur le choix d'une plateforme agréée dont la liste était publiée. Ici, l'obligation repose sur un outil européen qui n'est pas encore ouvert.Note de méthode — ce que nous avons vérifié, et comment
Le 26 août 2026 au matin, nous avons consulté les deux pages de référence de l'ENISA consacrées à la plateforme unique de signalement : la page de présentation et la foire aux questions, cette dernière portant la mention « Updated: 03 August 2026 ». Aucune des deux ne publie d'adresse d'accès. La réponse à la question 9 de la FAQ indique que la plateforme « sera accessible via une URL publique dédiée, qui sera communiquée et publiée en temps utile sur cette page avant la mise en ligne ».
La page de l'ANSSI consacrée au cadre réglementaire du CRA, consultée le même jour, renvoie elle aussi vers la page ENISA, et sa FAQ nationale se contente d'indiquer que la mise en ligne « est annoncée par l'ENISA à partir du 11/09/2026 ».
Ce constat n'est pas une accusation de retard : l'ENISA annonce la plateforme pour le 11 septembre, précédée d'une période de test, et rien n'indique à ce stade qu'elle ne sera pas au rendez-vous. Il signifie seulement qu'un fabricant ne peut pas, aujourd'hui, répéter la procédure qu'il devra exécuter en 24 heures dans seize jours.
Le seul geste utile cette semaine : ouvrir un compte EU Login — et surtout pas s'inscrire
Puisque la plateforme n'est pas ouverte, la question devient : que peut-on faire aujourd'hui ? La réponse tient en une ligne, et elle est gratuite. L'accès à la plateforme se fera par un compte EU Login, le service d'authentification de la Commission européenne. L'ENISA précise que ce compte peut être créé à l'avance. C'est la seule démarche possible avant le 11 septembre, elle prend quelques minutes, et elle supprime une étape le jour où le chronomètre tourne. Vient ensuite une recommandation de l'ENISA qui va à l'encontre de tout réflexe de conformité — et qu'il faut lire attentivement avant de la suivre ou de s'en écarter.Pour éviter d'alourdir sensiblement la charge de validation des CSIRT désignés, il est conseillé aux fabricants et aux intendants de logiciels libres de s'enregistrer et d'engager la procédure de validation uniquement lorsqu'ils ont besoin de soumettre une notification précise.Autrement dit : l'agence européenne demande de ne pas s'inscrire par anticipation. La logique est compréhensible — la validation du fait qu'une personne peut déclarer au nom d'une entreprise incombe au CSIRT national, ici le CERT-FR, et une vague d'inscriptions préventives saturerait une équipe dont ce n'est pas la mission principale. L'ENISA précise d'ailleurs que cette validation intervient après le premier accès, en parallèle du processus de signalement, et « n'affectera pas la capacité du fabricant à soumettre des notifications ». On peut donc déclarer avant d'être validé. Il reste que la consigne place le dirigeant dans une position inconfortable : le jour où il faudra déclarer en 24 heures, il découvrira simultanément l'interface, la procédure d'inscription et le formulaire. Notre lecture : créer le compte EU Login maintenant, identifier nommément la ou les personnes qui joueront le rôle de représentant désigné, lire les guides publiés par l'ENISA — et suivre sa recommandation en n'engageant l'inscription sur la plateforme qu'au moment où elle sera nécessaire.
Ce que contient réellement le formulaire des 24 heures
La FAQ de l'ENISA publie le tableau des champs du formulaire, étape par étape, avec leur caractère obligatoire ou facultatif. Le dépouillement de ce tableau produit un résultat rassurant, que personne ne semble avoir mis en avant côté français : l'alerte des 24 heures ne demande presque rien.| Champ | Obligatoire à 24 h ? |
|---|---|
| Type de notification (vulnérabilité / incident) | Oui |
| Niveau de notification (24 h / 72 h / final) | Oui |
| Nom du fabricant ou de l'intendant de logiciel libre | Oui |
| Produit concerné | Oui |
| Intitulé de la notification | Oui |
| Incident suspecté de résulter d'actes illicites ou malveillants (incidents uniquement) | Oui |
| États membres où le produit est disponible | Obligatoire si l'information est disponible |
| Type et catégorie de produit (par défaut / important / critique) | Facultatif |
| Identifiant CVE, identifiant EUVD | Facultatif |
| Nature de la vulnérabilité, nature de l'exploitation | Facultatif à 24 h, obligatoire à 72 h |
| Mesures correctives prises et mesures utilisateurs | Facultatif à 24 h, obligatoire à 72 h |
Dépouillement par la rédaction du tableau des champs publié à la question 16 de la FAQ ENISA sur la plateforme unique de signalement (version du 3 août 2026). Les mentions « heure de signalement » et « déclarant » sont renseignées automatiquement par la plateforme et ne sont pas visibles du déclarant.
Six champs obligatoires, dont aucun n'exige d'analyse technique. La conséquence pratique est importante pour une PME : l'alerte des 24 heures n'a pas à attendre le diagnostic. Elle constate, elle nomme le produit, elle envoie. Le travail d'analyse a 72 heures, et le correctif n'a pas de délai imposé — c'est sa mise à disposition qui déclenche le compte à rebours de 14 jours du rapport final.Pas d'interface automatisée au lancement
La FAQ de l'ENISA répond sans ambiguïté à la question de l'automatisation : les organisations « pourraient automatiser les flux de signalement et intégrer les exigences dans leurs systèmes », mais « aucune interface de programmation applicative ne sera fournie à ce stade ». Un éditeur qui gère plusieurs dizaines de produits devra donc, au lancement, saisir chaque notification à la main. C'est une contrainte de dimensionnement, pas seulement de conformité.
Qui est concerné dans les Hauts-de-France : le décompte que personne n'a fait
Le CRA est traité, en France, comme un sujet d'éditeurs de logiciels. C'est une lecture incomplète — et, dans une région dont l'industrie pèse 15,2 % de la valeur ajoutée régionale contre 13,0 % en moyenne nationale, une lecture trompeuse. Nous avons croisé le périmètre du règlement avec le tableau sectoriel de l'industrie régionale publié par la CCI Hauts-de-France dans son panorama DÉ·CRYPTE. La région compte 21 942 établissements industriels et 263 845 salariés dans l'industrie, soit 9,2 % des effectifs industriels nationaux. Toutes ces entreprises ne fabriquent pas des produits numériques. Mais deux lignes du tableau sont, elles, au cœur de la cible du CRA.| Secteur industriel régional | Établissements | Salariés | Évolution des effectifs 2022-2023 |
|---|---|---|---|
| Industrie des équipements électriques et électroniques | 190 | 3 098 | +4,2 % |
| Industrie des composants électriques et électroniques | 152 | 6 475 | +4,8 % |
| Total « cœur de cible » électronique | 342 | 9 573 | — |
| Industries des équipements du foyer (dont domotique, électroménager connecté) | 2 644 | 7 000 | -1,1 % |
| Industrie des biens d'équipement | 3 428 | 42 323 | +2,5 % |
| Industrie des autres matériels de transport (dont ferroviaire) | 141 | 8 216 | +3,4 % |
| Réparation et installation de machines et d'équipements | 2 471 | 16 232 | +1,9 % |
| Ensemble de l'industrie régionale | 21 942 | 263 845 | +0,2 % |
Sources : Insee, stocks des établissements 2020 ; Urssaf, effectifs salariés au 31/12/2023 ; nomenclature et traitement CCI de région Hauts-de-France, panorama DÉ·CRYPTE des chiffres clés de l'économie des Hauts-de-France 2024-2025. Rapprochement avec le périmètre du CRA : lecture de la rédaction, à valeur indicative.
Deux observations sortent de ce tableau. La première : les deux seules lignes de l'industrie régionale qui progressent de plus de 4 % en emploi sont précisément les deux lignes de l'électronique, alors que l'industrie régionale dans son ensemble stagne à +0,2 %. La réglementation qui arrive frappe le segment qui recrute. La seconde : il faut y ajouter les éditeurs. Le tableau des services de la même publication recense 8 294 établissements en « informatique, édition de jeux et logiciels » et 30 935 salariés. Tous ne sont pas éditeurs — le code regroupe aussi le conseil et l'infogérance — mais ceux qui mettent un logiciel sur le marché européen, y compris un logiciel fourni indépendamment du matériel, sont des fabricants au sens du CRA. Pour ces entreprises, la conformité n'est pas un exercice administratif : c'est une condition d'accès au marché européen. Les fabricants régionaux qui exportent ont déjà mesuré cette mécanique cette année, quand une décision américaine a fermé un marché à des robots fabriqués à l'étranger. Le CRA applique la même logique, à l'intérieur de l'Union, au bénéfice de ceux qui s'y préparent. Trois écosystèmes régionaux concentrent une part de ces acteurs : le CITC, centre d'innovation dédié aux technologies sans contact et à l'internet des objets, installé au sein d'EuraTechnologies à Lille et qui accompagne plus de 80 organisations par an ; le pôle i-Trans à Valenciennes, sur les transports terrestres, dont les systèmes embarqués et de signalisation ne bénéficient d'aucune des exclusions sectorielles du règlement ; et EuraMaterials à Tourcoing, dont le champ inclut explicitement les « textiles techniques et intelligents ».Ce qui n'est pas concerné — et pourquoi c'est une bonne nouvelle régionale
Le CRA écarte de son périmètre plusieurs familles de produits, non parce qu'elles seraient moins sensibles, mais parce qu'une réglementation sectorielle leur impose déjà un niveau au moins équivalent. L'ANSSI en publie la liste.Les dispositifs médicaux à usage humain et les dispositifs médicaux de diagnostic in vitro, couverts par leurs propres règlements européens.
Les systèmes et composants automobiles, ainsi que les produits certifiés de l'aviation civile.
Les équipements marins.
Les produits développés ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou pour le traitement d'informations classifiées.
Quatre catégories de produits, et une seule qui autorise l'auto-évaluation
Le signalement du 11 septembre s'applique indistinctement à tous les produits couverts. Mais la suite du calendrier — décembre 2027, la conformité complète — dépend de la catégorie dans laquelle tombe le produit. Autant la connaître dès maintenant, parce qu'elle détermine si l'entreprise pourra déclarer elle-même sa conformité ou devra payer un organisme tiers.| Catégorie | Contenu | Évaluation de la conformité |
|---|---|---|
| Par défaut | Tous les produits comportant des éléments numériques qui ne sont ni importants ni critiques : brosses à dents électriques, smartphones, ordinateurs… | Module A — auto-évaluation par le fabricant, sans tiers obligatoire. |
| Importants, classe I | 19 types de produits : gestionnaires de mots de passe, SIEM, infrastructures de gestion de clés, systèmes d'exploitation, routeurs, navigateurs, domotique, jouets… | Auto-évaluation possible si les normes harmonisées sont appliquées ; organisme notifié dans le cas contraire. |
| Importants, classe II | 4 types : hyperviseurs, pare-feu / IDS / IPS, microprocesseurs et microcontrôleurs résistants à l'altération. | Organisme notifié obligatoire (modules B+C ou H). |
| Critiques | 3 types : dispositifs matériels à boîtier de sécurité (HSM), cartes à puce et similaires, passerelles de compteurs intelligents. | Organisme notifié obligatoire. |
Source : ANSSI, « Cadre règlementaire du CRA ». La liste détaillée des catégories est fixée par l'acte d'exécution (UE) 2025/2392. La fonctionnalité principale du produit commande son classement.
La présence de la domotique et des jouets en classe I est l'entrée la plus inattendue de cette liste pour un tissu de PME. Elle place un fabricant de volets connectés, de thermostats ou de jouets communicants dans la même catégorie de criticité qu'un éditeur de système d'exploitation.Le partage français : l'ANSSI notifie, l'ANFR contrôle
La gouvernance nationale du CRA surprend quiconque a suivi NIS 2. Elle ne confie pas l'ensemble du dispositif à l'ANSSI.L'ANSSI est autorité notifiante. Elle évalue, notifie à la Commission européenne et contrôle les organismes d'évaluation de la conformité, sur la base d'une accréditation délivrée par le Cofrac. Elle est aussi, via le CERT-FR, le CSIRT coordinateur qui recevra les signalements français déposés sur la plateforme européenne.
L'ANFR est autorité de surveillance du marché. L'Agence nationale des fréquences conduit les analyses de marché, procède aux études techniques et documentaires, mène les contrôles — notamment « à la suite de signalements transmis par l'ANSSI, lorsque des vulnérabilités activement exploitées ne sont pas corrigées par les fabricants dans les délais prévus » — et prend les mesures restrictives.
Le trou dans le calendrier français : pas d'organisme notifié avant fin 2026
Un décalage mérite d'être signalé, parce qu'il concerne directement les entreprises qui fabriquent des produits de classe II ou critiques et qui voudraient s'organiser dès maintenant. Le calendrier européen prévoyait, dès juin 2026, la notification par les États membres des organismes chargés d'évaluer la conformité. Or l'ANSSI indique dans sa foire aux questions que la procédure nationale de notification « sera prochainement publiée », que l'accréditation par le Cofrac devrait être « ouverte au second semestre 2026 » et que les notifications « devraient donc commencer fin 2026 ». L'agence a publié le 21 juillet 2026 une actualité consacrée au processus de notification des organismes notifiés — signe que le dispositif se met en place, pas qu'il est opérationnel. Pour un fabricant régional, cela signifie qu'il n'existe pas encore d'organisme notifié français à qui confier une évaluation de classe II. Ce n'est pas bloquant : l'échéance de conformité produit reste fixée à décembre 2027, et les organismes notifiés d'autres États membres sont valables dans toute l'Union. Mais c'est un élément à intégrer dans un plan de charge, à côté du retard français sur la transposition de NIS 2 et de l'échéance du 1er septembre sur la facture électronique, qui tombe dix jours avant celle-ci.« La conformité ne dépend pas de la disponibilité des normes »
Il existe une objection récurrente, entendue dans tous les salons industriels depuis un an : les normes harmonisées qui doivent servir de référentiel ne sont pas toutes publiées, donc il serait prématuré de se mettre en conformité. L'ANSSI y répond de façon frontale.La mise en conformité est une obligation réglementaire indépendante de la disponibilité des normes. Les normes harmonisées, citées au JOUE, ont pour objet de faciliter la démonstration de la présomption de conformité. Les exigences prévues en annexe I du CRA sont applicables directement ; les fabricants n'ont pas à attendre l'adoption des normes pour se conformer au CRA.La même FAQ ajoute une précision qui soulage plutôt qu'elle n'alourdit : aucune norme n'est obligatoire dans le cadre du CRA, et il n'est pas obligatoire de disposer d'une PSIRT, ces équipes dédiées à la sécurité produit que les grands groupes ont mises en place. « Le fabricant est libre de son organisation, dès lors qu'il fournit aux utilisateurs un point de contact unique et qu'il respecte bien les obligations qui lui incombent. » Une PME n'a donc pas à créer une structure : elle doit nommer un point de contact et tenir ses délais.
Sept vérifications à mener avant le 11 septembre
Rien de ce qui suit ne demande de budget. L'ensemble se traite en une demi-journée dans une entreprise de moins de cinquante salariés.Établir si vous êtes fabricant. Vous l'êtes si vous mettez sur le marché européen, sous votre nom ou votre marque, un produit comportant des éléments numériques — matériel, logiciel, ou logiciel vendu séparément du matériel. Les importateurs et les distributeurs ont des obligations distinctes, plus légères. Les intendants de logiciels libres relèvent de l'article 24(3).
Lister vos produits et les classer. Par défaut, important de classe I, important de classe II, critique. La fonctionnalité principale commande le classement. L'acte d'exécution (UE) 2025/2392 fixe la liste détaillée.
Vérifier les exclusions produit par produit, et non par code d'activité : dispositif médical, composant automobile, aviation civile, équipement marin, défense.
Créer un compte EU Login et désigner nommément la ou les personnes qui pourront déclarer au nom de l'entreprise. Suivre la recommandation de l'ENISA en n'engageant l'inscription sur la plateforme qu'au moment d'une notification réelle.
Écrire la règle interne de prise de connaissance. Qui, dans l'entreprise, est habilité à constater qu'une exploitation est avérée ; comment l'heure de ce constat est horodatée ; qui prend le relais un vendredi soir ou en août. C'est le point qui détermine la tenue du délai de 24 heures.
Publier un point de contact unique pour le signalement de vulnérabilités, et vérifier qu'une adresse du type security@ existe, est relevée et est visible depuis le site du produit.
Vérifier votre chaîne de composants. Une vulnérabilité issue d'un composant tiers ne vous exonère pas : la section 5.4 de la FAQ de la Commission traite précisément de cette situation. Savoir ce que contiennent vos produits est un prérequis, pas une bonne pratique.
Ce que nous ne savons pas
Trois zones d'ombre subsistent à seize jours de l'échéance, et il serait malhonnête de les présenter autrement.La date réelle d'ouverture de la plateforme. L'ENISA l'annonce pour le 11 septembre, précédée d'une période de test « attendue ». Aucun calendrier de test public n'a été publié, et l'URL n'est pas connue.
La procédure de validation du CERT-FR. L'ENISA indique que « la procédure de validation spécifique peut varier d'un CSIRT à l'autre et reste de la responsabilité du CSIRT concerné ». La procédure française n'est pas documentée publiquement à ce jour.
Le volet national de sanction. Le règlement est d'application directe, mais l'ANSSI indique que des « travaux rédactionnels de niveau législatif sont en cours » pour adapter le droit national. Le calendrier de ces mesures n'est pas arrêté.
Questions fréquentes
Mon entreprise utilise des logiciels mais n'en fabrique pas. Suis-je concernée par l'échéance du 11 septembre ?
Non. L'obligation de signalement de l'article 14 du Cyber Resilience Act pèse sur les fabricants de produits comportant des éléments numériques, sur les éditeurs de logiciels et sur les intendants de logiciels libres — pas sur les entreprises utilisatrices. En revanche, en tant que client, le CRA vous donne des droits : vous pouvez exiger de votre fournisseur une assistance pendant toute la période de support annoncée, la mise à disposition des mises à jour de sécurité pendant cette période, et une information transparente sur l'identification du produit et du fabricant.
Dois-je déclarer toutes les failles de mes produits ?
Non. Deux événements seulement déclenchent l'obligation : une vulnérabilité activement exploitée, c'est-à-dire pour laquelle il existe des preuves fiables qu'un acteur malveillant l'a exploitée sans autorisation, et un incident grave ayant une incidence sur la sécurité du produit. Une vulnérabilité publiée, corrigée ou théorique n'entre pas dans le champ. Le signalement volontaire, lui, restera possible sur la même plateforme, pour toute personne physique ou morale, après le 11 septembre.
Où faut-il déclarer, concrètement ?
Sur la Single Reporting Platform, plateforme unique européenne prévue par l'article 16 du règlement et gérée par l'ENISA. Son adresse n'était pas publiée au 26 août 2026 ; l'ENISA indique qu'elle sera communiquée sur sa page dédiée avant la mise en ligne. La notification part simultanément vers l'ENISA et vers le CSIRT coordinateur du pays d'établissement principal du fabricant — le CERT-FR de l'ANSSI pour une entreprise établie en France. L'accès se fera par un compte EU Login, qui peut être créé dès aujourd'hui.
Quelles sanctions en cas de manquement, et qui contrôle ?
En France, l'autorité de surveillance du marché est l'Agence nationale des fréquences (ANFR), avec l'appui technique de l'ANSSI. Elle peut imposer la mise en conformité, restreindre ou interdire la mise sur le marché, exiger le retrait ou le rappel des produits, et prononcer des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial. L'ANFR précise qu'elle intervient notamment à la suite de signalements transmis par l'ANSSI lorsque des vulnérabilités activement exploitées ne sont pas corrigées dans les délais prévus.
Faut-il attendre les normes harmonisées pour se mettre en conformité ?
Non, et l'ANSSI l'écrit explicitement : « la mise en conformité est une obligation réglementaire indépendante de la disponibilité des normes ». Les exigences essentielles de l'annexe I du règlement sont applicables directement. Les normes harmonisées citées au Journal officiel de l'Union européenne ne sont jamais obligatoires : elles offrent une présomption de conformité, mais tout autre moyen de démonstration reste recevable.
Sources
Les constats de non-publication de l'adresse de la plateforme et de la procédure de validation française ont été établis par consultation directe des pages officielles le 26 août 2026 au matin. Ils décrivent un état à cette date et peuvent évoluer d'ici au 11 septembre. Le décompte des établissements régionaux relevant du périmètre du CRA est une lecture de la rédaction, construite à partir de données publiques, et n'a pas de valeur officielle.
- Règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act) — EUR-Lex
- Acte d'exécution (UE) 2025/2392 sur les catégories de produits du CRA — EUR-Lex
- Single Reporting Platform (SRP) — ENISA
- SRP — Frequently Asked Questions, mise à jour du 3 août 2026 — ENISA
- CRA Single Reporting Platform Factsheet, juillet 2026 (PDF) — ENISA
- CRA SRP — inscription des représentants désignés, mise à jour du 3 août 2026 — ENISA
- CRA SRP — dépôt et mise à jour des notifications — ENISA
- CRA SRP — fonctions de l'interface, mise à jour du 14 août 2026 — ENISA
- Cyber Resilience Act — Reporting obligations — Commission européenne
- Lignes directrices de la Commission du 27 juillet 2026 — Commission européenne
- FAQ on the CRA Implementation (section 5, signalement) — Commission européenne
- Cyber Resilience Act (CRA) — ANSSI
- Cadre règlementaire du CRA — ANSSI
- Questions fréquentes sur le CRA — ANSSI
- Exigences du CRA : processus de notification pour les organismes notifiés, 21 juillet 2026 — ANSSI
- Cyber-resilience act — ANFR
- Cyber Resilience Act : ce qui change pour les entreprises, 12 mars 2026 — Direction générale des Entreprises
- EU Login — création de compte — Commission européenne
- DÉ·CRYPTE — Panorama des chiffres clés de l'économie des Hauts-de-France 2024-2025 (PDF) — CCI Hauts-de-France
- CITC — centre d'innovation des technologies sans contact et de l'IoT, Lille
