CRA : le plan des 90 jours pour être prêt le 11 septembre

Il reste quelques semaines avant le 11 septembre 2026. Pas de quoi bâtir un programme de conformité CRA complet — mais largement de quoi sécuriser ce qui compte vraiment à cette date : la capacité à détecter et signaler une vulnérabilité active dans les délais imposés par l'article 14.

J0 à J30 : cartographier

Le premier sprint ne touche à aucun outil, seulement à une liste. Il s'agit de recenser tous les produits de l'entreprise qui entrent dans la définition de "produit comportant des éléments numériques" — matériel ou logiciel se connectant, directement ou indirectement, à un appareil ou un réseau — y compris ceux déjà commercialisés. En parallèle, un responsable unique du sujet doit être désigné : sans porteur identifié, l'inventaire s'arrête souvent à la première difficulté.

J30 à J60 : outiller

Une fois le périmètre connu, le sprint suivant construit le squelette opérationnel du signalement : qui reçoit l'alerte de vulnérabilité, qui rédige la notification initiale sous 24h, qui complète le rapport à 72h, qui suit la mise à jour finale à 14 jours. C'est aussi la fenêtre pour se familiariser avec la plateforme unique de signalement de l'ENISA (Single Reporting Platform), dont la période de test précède l'entrée en application du 11 septembre.

J60 à J90 : exercer

Le dernier sprint est celui qu'on saute le plus souvent, faute de temps — c'est pourtant le plus utile. Un test à blanc, sur un scénario fictif de vulnérabilité exploitée, révèle en une matinée ce qu'aucune documentation ne montre : qui est réellement joignable un week-end, où se situe le goulot d'étranglement dans la chaîne de validation, si le délai de 24h est tenable en pratique. Mieux vaut découvrir ces failles sur un exercice que le jour où la notification est vraiment due.

Ce qu'il faut retenir

Ce plan ne couvre pas l'ensemble du Cyber Resilience Act — le marquage CE et les exigences essentielles ont leur propre calendrier, jusqu'à fin 2027. Il couvre ce qui a une échéance ferme dans les prochaines semaines : une capacité de détection et de notification qui fonctionne, éprouvée avant d'en avoir besoin.