Règlement sur la cyberrésilience : quels documents pour le fabricant, et quelles échéances

Trois dates

Les dates figurent à l’article 71, paragraphe 2.

• 11 juin 2026 : chapitre IV sur les autorités notifiantes et les organismes notifiés (articles 35 à 51)
• 11 septembre 2026 : obligations de signalement des fabricants (article 14), pour tous les produits couverts
• 11 décembre 2027 : toutes les autres obligations, y compris la nomenclature des logiciels

Qui est concerné

Le règlement s’applique aux produits comportant des éléments numériques mis à disposition sur le marché dont la destination ou l’utilisation raisonnablement prévisible comprend une connexion de données directe ou indirecte à un appareil ou à un réseau (article 2, paragraphe 1). Cela peut être un logiciel, un appareil connecté ou une machine dotée d’une commande et d’une interface de données. Certains produits régis par leurs propres textes, comme les dispositifs médicaux, sont exclus (article 2, paragraphe 2).

Les produits mis sur le marché avant le 11 décembre 2027 ne sont soumis aux autres exigences qu’après une modification substantielle (article 69, paragraphe 2). Les obligations de signalement s’y appliquent malgré tout (article 69, paragraphe 3).

Les documents à avoir prêts au 11 décembre 2027

• Documentation technique avant la mise sur le marché, au moins avec les éléments de l’annexe VII (article 13, paragraphe 12, article 31)
• Dans celle-ci : description générale, conception et gestion des vulnérabilités, évaluation des risques, base de la période d’assistance, normes appliquées, rapports d’essai, copie de la déclaration
• Déclaration UE de conformité selon l’annexe V (article 28), jointe au produit, ou déclaration UE de conformité simplifiée selon l’annexe VI avec l’adresse internet exacte (article 13, paragraphe 20)
• Informations et instructions aux utilisateurs selon l’annexe II, sur papier ou sous forme électronique (article 13, paragraphe 18)
• Date de fin de la période d’assistance, au moins le mois et l’année, clairement indiquée au moment de l’achat (article 13, paragraphe 19)
• Nomenclature des logiciels dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de niveau supérieur (annexe I, partie II, point 1)

Depuis quand la nomenclature des logiciels s’applique

Les sources donnent des dates différentes. Le texte est clair : l’article 71, paragraphe 2, n’avance que l’article 14 et le chapitre IV. La nomenclature est décrite à l’annexe I, partie II, et s’applique donc à partir du 11 décembre 2027. Le règlement n’en impose pas la publication : si le fabricant la met à la disposition des utilisateurs, il indique où (annexe II, point 9). Il la transmet à l’autorité de surveillance du marché sur demande motivée (annexe VII, point 8). La Commission peut en préciser format et éléments par acte d’exécution (article 13, paragraphe 24).

Ce qu’il vaut la peine de documenter depuis le 11 septembre 2026

Les vulnérabilités activement exploitées et les incidents graves se signalent par la plateforme unique de signalement : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective pour les vulnérabilités, et dans un délai d’un mois pour les incidents (article 14, paragraphes 2 et 4). Selon la Commission, la plateforme fonctionne depuis le 11 septembre 2026.

Notez donc qui signale, quand le fabricant a eu connaissance de l’événement et ce qu’il a signalé. Selon les lignes directrices de la Commission, il n’est pas nécessaire de signaler rétroactivement les vulnérabilités dont le fabricant connaissait l’exploitation active avant le 11 septembre 2026. Cette page ne traite pas de la gestion technique des vulnérabilités.

Combien de temps conserver

La documentation technique et la déclaration au moins dix ans après la mise sur le marché, ou pendant la période d’assistance si elle est plus longue (article 13, paragraphe 13). Il en va de même des informations aux utilisateurs (article 13, paragraphe 18). La période d’assistance est d’au moins cinq ans, sauf si le produit est censé être utilisé moins longtemps (article 13, paragraphe 8). Les importateurs conservent une copie de la déclaration aussi longtemps (article 19, paragraphe 6).

Où en sont les entreprises

L’ENISA a mené en 2026 une enquête auprès de petites et moyennes entreprises (194 réponses de 31 pays et régions, non représentative selon l’ENISA) : 66 % connaissaient le règlement avant l’enquête, 42 % déclaraient ne comprendre les documents requis que de façon limitée ou pas du tout, et plus de 70 % souhaitaient des modèles de documentation technique.

Que faire maintenant

• Vérifier pour chaque produit s’il a une connexion de données et relève du règlement.
• Désigner qui signale par la plateforme, et noter les dates.
• Fixer et justifier la période d’assistance de chaque produit.
• Bâtir la structure de la documentation technique d’après l’annexe VII.
• Prévoir que la déclaration et les informations aux utilisateurs soient disponibles à une adresse fixe.

Questions fréquentes