#604 CRA : pour QUAND ? [Cyber Resilience Act épisode #02]

14 janvier 2025

|

Marc-Antoine LEDIEU – Avocat et RSSI

CRA : pour QUAND ? C’est la question qui m’est aujourd’hui le plus souvent posée.

Et on entend déjà beaucoup de co***ries à propos du Cyber Resilience Act du 23 octobre 2024 (merci @ tous mes amis commerciaux qui ne lisent pas les textes mais qui donnent déjà leur avis « éclairé » …).

NON, le CRA ne rentre pas en application d’un bloc le 11 décembre 2027 ! 

Si vous souhaitez plus d’explications sur le Cyber Resilience Act n°2024/2847 du 23 octobre 2024, cliquez sur le lien pour accéder à la liste (à jour) de nos épisodes consacrés au CRA.

[mise à jour du 22 septembre 2025] Pour comprendre ce qui entre en vigueur et quand, vous pouvez aussi aller lire notre épisode « CRA quelles obligations juridiques SYNTHESE avec CHRONOLOGIE« 

Le Cyber Resilience Act ?


Le CRA illustré avec "Saint-Elme" aux éditions Delcourt !!!

Les 5 tomes de « Saint-Elme » , petite ville d’eau, sont juste « une tuerie » ! C’est une enquête à propos d’une  disparition avec une pointe de fantastique (spécialité de Serge Lehman, le scénariste)… Car à Saint-Elme, vous allez voir, « c’est… spécial » …


CRA pour QUAND ? Lisons attentivement l'article 71 de ce chef d'oeuvre de littérature juridique cyber-sécurité...


CRA : ça commence dès le 11 septembre 2026 (deux-mille-vingt-six)

juste une slide récapitulative (pour vous donner envie de lire le détail ?).

Et méfiez-vous : dans cette illustration, ce n’est pas un chien, mais un loup (que vous allez revoir, je vous le promets).


Les "vulnérabilités activement exploitées" doivent obligatoirement être notifiées aux autorités de contrôle à compter du 11 septembre 2026

délais de notification + définitions légales tirée du CRA + risque de sanction pour les fabricants / importateurs / distributeurs qui ne feraient pas le job dans les délais…


Les "incidents de sécurité #grave à répercussions sur la sécurité" des [produit(s) CRA] sont également à notifier de manière obligatoire aux autorités de contrôle à compter du 11 septembre 2026 (aussi)

Pareil ici : définitions légales + délais de notification (qui – bien évidemment – ne sont pas tout à fait identiques à ceux prévus pour les vulnérabilités activement exploitées…).

Sans oublier le risque de sanctions (dont vous allez découvrir qu’elles ne sont pas seulement pécuniaires).

Et ATTENTION : l’UE va nous produire un « règlement d’exécution » sur le détail des notifications aux autorités. Pas de date prévue (mais soyez sûr(e) que les fonctionnaires de Bruxelles vont encore frapper…). 


CRA pour QUAND ? ATTENTION, en plus de l'obligation de notification aux autorités (ENISA + CERT national) il faudra AUSSI INFORMER les UTILISATEURS, particuliers comme professionnels.


CRA pour QUAND ? la date d'application complète ? 11 décembre 2027 (deux-mille-vingt-sept)

Pardon pour le format « chiffres + lettres » , c’est une déformation due à l’habitude de rédiger des contrats. Mais en pratique, ça permet de s’assurer que tout le monde lise bien la même chose…


ATTENTION ! WARNING ! ACHTUNG ! il y a des dispositions spécifiques du CRA qui s'appliqueront aux [produit(s) CRA] commercialisés avant le 11 décembre 2027

Ne venez pas dire qu’on vous aura pas prévenu…

En synthèse : 

(i) TOUS les [PRODUITS avec LOGICIEL connecté] commercialisés AVANT le 11 décembre 2027 devront se mettre en totale conformité avec le CRA en cas de « modification substantielle » mise en oeuvre à compter du 11 décembre 2027;

(ii) TOUS les [PRODUITS avec LOGICIEL connecté] commercialisés AVANT le 11 décembre 2027 devront, à compter du 11 décembre 2027, avoir mis en place une procédure de notification (ii-1) des vulnérabilités #activement #exploitées et (ii-2) des incidents (de sécurité) #graves avec #répercussions sur la sécurité [du PRODUIT avec LOGICIEL – what else ?]

Vous êtes effrayée(e) par ce niveau de complexité et de détail ? Bienvenue dans le #CRA…


la slide ci-dessous nous semble suffisamment parlante...

Si vous nous contactez pour nous expliquer que l’UE fait n’importe quoi, que c’est la mort des artisans, que y’en a ras-le-bol des normes européennes qui étouffent notre capacité à innover, retenez-vous… 

Si vous craignez moins les cyber-attaques que de devoir respecter nos lois, nous ne pouvons pas grand chose pour vous.

A suivre épisode #03 : la notion de [PRODUIT avec LOGICIEL connecté]


(sur un air connu) "ce n'est qu'un au-revoir..."


Merci à Sébastien Le Foll et aux éditions Delcourt Soleil pour les illustrations en BD de cette présentation !

Vous voulez en savoir plus sur les bandes dessinées utilisées pour illustrer cette présentation ? Cliquez sur le lien qui vous intéresse !

« espion de César (L’) » série complète en 3 tomes par « Maitre » Jean-Pierre Pécau au scénario et (Max von) Fafner au dessin © éditions Delcourt 2020-2022 : les guerres de César comme jamais vous ne les avais lues avec une histoire de vengeance qui vous fera tenir les 3 tomes !

« Excalibur-Chroniques » (époustouflante) série complète en 5 tomes par Jean-Luc Istin et Alain Brion © éditions Soleil 2012-2019

« Fléau des dieux (Le) » série EX-CEP-TION-NELLE en 6 tomes par Valérie Mangin et Aleksa Gajic (dessinateur et coloriste de génie) © éditions Soleil 2000-2006

« Guerres & Dragons » excellente série B sur le thème des dragons

– tome 1 « La bataille d’Angleterre » par Nicolas Jarry (scénario) + Vincent « Vax » Cara (dessins) © éditions Soleil 2024

– tome 2 « L’escadrille Lafayette » par Nicolas Jarry (scénario) + Emanuela Negrin et Luciano « Lucio » Leoni (dessins) © éditions Soleil 2024

– tome 3 « Le Kongamato » par Nicolas Jarry (scénario) + Paolo Antiga (dessin) © éditions Soleil 2024

« Hercule » série complète (et proprement remarquable) en 3 tomes par Jean-David Morvan + Vivien « Looky » Chauvet + Olivier Thill © éditions Soleil 2012-2017

« homme gribouillé (L’) » one shot en noir et blanc de 326 pages (!) par Serge Lehman au scénario et Frederik Peeters au dessin : un conte fantastique (dans tous les sens du terme) 

« Milady 3000 » one shot © [le Grand] Magnus 1985 © éditions Ansaldi Bruxelles (et publié dans Métal Hurlant entre 1980 et 1981 : c’est ma madeleine de Proust)

« Nef des Fous (La) » 13 tomes tous plus délirants les uns que les autres par Bernard « Turf » © éditions Delcourt 1993-2024

« Oeil de la Nuit (L’) » série complète en 3 tomes par (les deux génies de la BD que sont)  Serge Lehman et Stéphane « Gess » © éditions Delcourt 2015-2016

« Saint-Elme » série complète vraiment remarquable en 5 tomes par Serge Lehman (scénario diabolique) et Frederik Peeters (dessin et couleurs géniales) © éditions Delcourt 2021-2024

« Serpent et la Lance (Le) » série en cours en 3 tomes par Hub © éditions Delcourt 2019 – 2024 : bienvenu dans l’Empire aztèque en 1454 (c’est une merveille graphique, en plus d’une intrigue captivante)

« Souvenirs de la Grande Armée » série complète en 4 tomes par Michel Dufranne et Vladimir « Alexander » © éditions Delcourt 2007-2018 : en selle avec les Cavaliers du 2ème Régiment de Chasseurs à cheval et vive l’Empereur !

« Ténèbres » série complète en 5 tomes par Christophe Bec et Giuseppe « Iko » Ricciardi © éditions Soleil 2009-2018 : une excellente série B pleine de princes, de princesses et de terribles dragons qui conduisent l’humanité vers les ténèbres

« Yiu Premières missions » série complète en 7 tomes qui déchirent par Thierry « Téhy » + Jeanne « JM Vee » + Vincent « Vax » © éditions Soleil 2003-2010 (SF d’action dans un univers post-apocalyptique)

Marc-Antoine Ledieu

Avocat à la cour

Nos articles sur le sujet :
CYBER SÉCURITÉ

Nos articles sur le sujet :
CYBER SÉCURITÉ