CRA : l'état réel du marché, entre PME pas prêtes et plateforme encore en rodage

Le CRA est connu. C'est presque devenu un lieu commun dans les comités de direction industriels. Ce qui l'est beaucoup moins, c'est la capacité réelle des organisations à transformer cette connaissance en conformité opérationnelle avant le 11 septembre 2026 — et c'est précisément ce qu'a mesuré l'ENISA au printemps.

Une enquête, deux chiffres qui comptent

Entre février et mars 2026, l'ENISA a interrogé 194 organisations dans 31 pays, dont 25 États membres de l'UE, pour son enquête dédiée aux PME face au Cyber Resilience Act. Résultat : 54% des répondants déclarent comprendre peu ou pas le processus d'évaluation de conformité, et 42% se disent déjà en difficulté sur la documentation technique attendue. Le constat de l'agence est sans détour : la plupart des PME savent que le règlement arrive, peu sont prêtes à y répondre.

Le problème du parc déjà installé

Ce qui complique la donne pour le 11 septembre, c'est que l'obligation de signalement de l'article 14 ne concerne pas seulement les futurs produits : elle s'applique aussi à ceux déjà commercialisés. Concrètement, cela inclut des composants logiciels en fin de support, parfois maintenus par des tiers qui ont eux-mêmes arrêté leur suivi de sécurité. Surveiller une dépendance qu'on ne maintient plus soi-même, pour pouvoir signaler une vulnérabilité qui y serait activement exploitée, est un exercice que peu d'organisations ont déjà organisé.

La plateforme elle-même n'est pas encore stabilisée

Autre élément à intégrer dans le calendrier : la plateforme unique de signalement de l'ENISA (Single Reporting Platform), prévue par l'article 16, est toujours en construction. L'agence a lancé un appel d'offres et retenu un prestataire pour son développement, avec une période de test annoncée avant le 11 septembre. Autrement dit, même une organisation totalement prête côté process devra composer avec un outil réglementaire encore en rodage côté régulateur.

Ce qu'il faut retenir

L'écart révélé par l'enquête ENISA n'est pas anecdotique, il est structurel : la majorité des PME concernées n'ont pas encore la maturité méthodologique pour documenter leur conformité, et le calendrier légal ne s'ajustera pas à ce retard. Les organisations les plus exposées sont souvent les plus petites, celles qui n'ont ni équipe conformité dédiée ni service juridique en interne pour décrypter le texte.