Le calendrier
Les dates
| Date | Ce qui s’applique | Ce que cela implique pour vous |
|---|---|---|
| 23 octobre 2024 | Adoption | — |
| 20 novembre 2024 | Publication au JOUE | Point de départ des délais |
| 10 décembre 2024 | Entrée en vigueur | Le texte est définitif ; il n’y aura pas de renégociation |
| 11 juin 2026 | Chapitre sur la notification des organismes d’évaluation de la conformité | Les organismes notifiés peuvent être désignés → réserver un créneau pour les produits de classe II et Critiques |
| 11 septembre 2026 | Obligations de signalement (art. 14), y compris pour les produits déjà sur le marché | Procédure 24 h / 72 h / 14 j opérationnelle, astreinte, canal testé, gabarits prêts, décision d’escalade documentée |
| 11 décembre 2027 | Application pleine et entière | Marquage CE, dossier technique, exigences essentielles, SBOM, période de support, information de l’utilisateur |
Le régime transitoire
Deux règles, dont la seconde est une dérogation à la première.
Règle générale. Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis au règlement que s’ils font ensuite l’objet d’une modification substantielle.
Dérogation. Les obligations de signalement de l’article 14 s’appliquent à tous les produits dans le champ du règlement, y compris ceux mis sur le marché avant cette date.
Autrement dit :
| Parc historique (avant 11/12/2027) | Produits neufs (à partir du 11/12/2027) | |
|---|---|---|
| Marquage CE au titre du CRA | Non, sauf modification substantielle | Oui |
| Dossier technique | Non, sauf modification substantielle | Oui |
| SBOM au dossier | Non, sauf modification substantielle | Oui |
| Période de support | Non, sauf modification substantielle | Oui |
| Signalement 24 h / 72 h / 14 j | Oui, depuis le 11/09/2026 | Oui |
Une mise à jour de sécurité corrigeant une vulnérabilité, sans autre changement, n’est pas une modification substantielle et ne fait donc pas basculer un produit historique dans le régime complet.
Le rétroplanning interne
Dérivé des dates légales, à valider en comité et à revoir trimestriellement.
Immédiatement — le retard le plus coûteux
- Contractualiser les organismes notifiés pour tous les produits de classe II et Critiques. C’est le seul poste dont le délai ne dépend pas de vous.
- Armer la procédure de signalement, si ce n’est pas fait : l’échéance est passée.
- Classer le portefeuille : sans classification, on ne sait pas quels produits relèvent du point précédent.
24 mois avant l’application pleine
Classification complète du portefeuille, choix des voies d’évaluation, gouvernance et RACI validés, politique de licences arrêtée.
18 mois avant
SBOM généré automatiquement sur 100 % des chaînes de construction ; plateforme de centralisation en production ; surveillance continue active.
12 mois avant
Politique CVD publiée, security.txt en ligne, premier cycle de divulgation traité, avis de
sécurité publiés au format lisible par machine.
9 mois avant
Dossiers techniques complets sur deux produits pilotes représentatifs — un produit par défaut, un produit important — pour éprouver le processus avant de l’industrialiser.
6 mois avant
Audit à blanc, revue par un tiers, correction des écarts, exercice de signalement chronométré.
3 mois avant
Déclarations UE de conformité signées, marquage CE apposé, notices annexe II livrées, archivage dix ans configuré et testé par une restitution réelle.
Ce qui peut encore bouger
Trois sujets restent ouverts et doivent être suivis :
- la publication et la citation au JOUE des normes harmonisées issues de la demande M/606, qui conditionne l’auto-évaluation des produits de classe I ;
- les actes délégués et d’exécution de la Commission — actualisation des annexes III et IV, format du SBOM, obligation de certification des produits critiques ;
- la désignation des autorités nationales et les modalités pratiques de la plateforme de signalement unique.
Aucun de ces trois sujets ne peut décaler les dates du règlement. Ils peuvent en revanche changer le chemin pour y arriver, notamment pour la classe I.