À cette date, tout fabricant, importateur ou distributeur sous marque propre d'un produit comportant des éléments numériques doit être capable d'alerter l'ENISA et le CERT-FR en une journée. Nous installons ce dispositif chez vous en quinze jours, procédure écrite et exercice à blanc compris.
Échéance non reportable
Contrairement à celle de décembre 2027, l'échéance du 12 septembre 2026 est décrite par l'ensemble des sources publiques comme ferme. La Single Reporting Platform de l'ENISA ouvre le même jour.
Aucun texte cité au Journal officiel de l'UE au 9 août 2026. La présomption de conformité de l'article 27 n'existe pour personne : chaque preuve se construit directement contre l'Annexe I.
Base NANDO vide en juin 2026. En France, l'accréditation Cofrac ouvre au second semestre ; les premières notifications ne démarrent pas avant fin 2026.
Plafond de sanction administrative en cas de violation des exigences essentielles ou des obligations du fabricant, le montant le plus élevé étant retenu.
Le compte à rebours ne part pas de la publication d'un correctif, ni de la décision d'un comité : il part de la prise de connaissance d'une vulnérabilité activement exploitée ou d'un incident grave.
Signalement à l'ENISA et au CSIRT de référence — en France le CERT-FR de l'ANSSI — via la Single Reporting Platform. Une alerte, pas un rapport : encore faut-il savoir qui la rédige, avec quel compte, et sur quel modèle.
Évaluation initiale de gravité et d'impact, périmètre des produits touchés, mesures correctives ou d'atténuation déjà engagées. C'est ici que l'absence de SBOM se paie comptant.
Après mise à disposition du correctif — un mois dans le cas d'un incident grave. Le rapport devient une pièce du dossier technique, à conserver dix ans après la mise sur le marché.
Une vulnérabilité seulement théorique, non exploitée, ne relève pas du signalement obligatoire — elle doit néanmoins être analysée et corrigée selon votre processus de gestion des vulnérabilités. Trancher entre « exploitée » et « non exploitée » sous 24 heures, sans arbre de décision écrit, est la première cause de non-conformité prévisible. C'est aussi, chez nos clients, le premier livrable réellement utilisé.
Le CRA couvre les produits comportant des éléments numériques : logiciels, composants, firmware, matériel connecté et services distants nécessaires au fonctionnement du produit.
10 à 250 salariés, codes NAF 26.xx, 27.xx, 28.xx. Vous gérez déjà le marquage CE, la RED et la CEM : le réflexe conformité existe, le circuit de décision est connu. Le CRA s'ajoute à un système documentaire en place — c'est le cas le plus rapide à traiter.
Le cas le plus exposé. Dès que vous apposez votre nom sur un produit sourcé hors UE, vous en devenez le fabricant au sens du règlement — y compris pour un firmware que vous ne maîtrisez pas et pour les composants open source qu'il embarque.
Votre frontière de périmètre est floue, et vos donneurs d'ordre commencent à exiger des garanties contractuelles. Le travail consiste d'abord à qualifier votre rôle produit par produit avant de bâtir quoi que ce soit.
« Nos produits sont anciens, ils ne sont pas visés. » L'obligation de signalement s'applique au parc installé, y compris à des produits mis sur le marché il y a dix ans et toujours en service.
« Nous faisons du SaaS, nous sommes hors sujet. » Le SaaS pur reste hors périmètre direct tant qu'aucun produit n'est mis sur le marché. La frontière devient discutable dès qu'un logiciel est distribué ou intégré à du matériel. Cette zone grise se tranche par écrit, produit par produit — pas par présomption.
« Le jour où le CERT-FR vous appelle, vous avez 24 heures. Aujourd'hui, vous comptez en semaines. »
Pas un audit, pas un rapport de recommandations : un dispositif installé, écrit, testé sous chronomètre, et transféré à une personne nommée dans votre entreprise. À la fin du sprint, vous savez qui fait quoi, dans quel ordre, avec quels accès.
Il reste quinze jours avant l'entrée en vigueur.
Réserver un créneau de démarrageChaque brique se vend seule. Elles s'enchaînent parce que le calendrier réglementaire les enchaîne : le signalement d'abord (septembre 2026), le marquage CE ensuite (décembre 2027), la tenue dans la durée en continu.
Forfait Devis après atelier de cadrage
Forfait Par famille de produits
Abonnement Mensuel, engagement 12 mois
| Brique | Objet | Durée | Charge | Modèle de prix | Échéance visée |
|---|---|---|---|---|---|
| Brique 0 Sprint 12 septembre |
Dispositif de signalement des vulnérabilités et incidents graves | 15 j calendaires | 5 – 8 j·h | Forfait, devis après cadrage | 12.09.2026 |
| Brique 1 Dossier Annexe I |
Preuves de conformité aux exigences essentielles, par famille de produits | 6 – 12 semaines | 15 – 30 j·h | Forfait par famille de produits | 11.12.2027 |
| Brique 2 CRA opéré |
Surveillance, qualification, notification et tenue du dossier | Engagement 12 mois | Selon le nombre de produits suivis | Abonnement mensuel | En continu |
Le prix est arrêté après l'atelier de cadrage, en fonction du nombre de produits et de familles. Devis ferme sous 48 heures.
L'argument « nous verrons quand le référentiel sortira » est le plus répandu. Il est aussi le plus coûteux, parce qu'il confond deux échéances distinctes.
Les projets ETSI EN 304 6xx, CEN EN 40000, EN 50764/50765/50766 et prEN 18330 sont tous à l'état de brouillon, plusieurs en phase pré-enquête. Les premières livraisons sont attendues au second semestre 2026, la citation au Journal officiel plus tard encore. La série EN 18031, issue de la RED, reste une base de travail réutilisable mais ne couvre pas le CRA.
L'ANSSI joue le rôle d'autorité notifiante, en s'appuyant sur une accréditation Cofrac ouverte au second semestre 2026. Les notifications démarrent fin 2026 au plus tôt. Autrement dit : personne ne peut certifier votre produit aujourd'hui, mais l'obligation de signalement, elle, s'applique quand même.
La Commission a publié le 27 juillet 2026 des orientations non contraignantes comprenant 67 exemples pratiques, cas d'usage et arbres de décision, explicitement destinés aux petites structures. Le document est public et gratuit. Notre travail consiste à l'avoir digéré avant vous, et à le transposer à vos produits.
Sans norme harmonisée citée au JOUE, la présomption de conformité de l'article 27 n'est invocable par personne. Chaque fabricant doit donc construire un dossier de preuves ad hoc contre l'Annexe I. C'est plus long, mais c'est aussi la raison pour laquelle un dispositif construit maintenant restera valable quand les normes arriveront : les exigences essentielles, elles, ne changeront pas.
Le CRA est d'abord un problème de gouvernance documentaire. C'est ce qui le rend traitable par une PME — à condition que quelqu'un tienne la plume et impose le rythme.
Syft pour la génération de SBOM, Grype pour la corrélation SBOM / CVE, Dependency-Track comme moteur de surveillance continue. Format CycloneDX, SPDX en secours. Flux NVD et catalogue KEV de la CISA pour qualifier l'exploitation active.
Aucune licence propriétaire n'est requise : vous restez propriétaire de votre chaîne et vous pouvez l'exploiter sans nous.
Procédures, gabarits, arbres de décision, matrices : tout est remis en format source modifiable, indicé, et rédigé pour s'insérer dans votre système qualité existant plutôt que d'en créer un second à côté.
L'objectif du Sprint est que votre responsable de notification puisse tenir le dispositif seul dès la remise. L'abonnement de la Brique 2 est un choix, pas une dépendance construite.
Nous ne sommes pas et ne serons pas organisme notifié. L'indépendance de l'évaluateur tiers est une exigence du chapitre IV du règlement : un cabinet de conseil ne peut pas évaluer ses propres clients. Nous préparons, un organisme tiers certifie. Nous nouons des accords de prescription réciproque avec les organismes français au fur et à mesure de leur désignation, pour que vous ne perdiez pas de temps au moment du passage en évaluation.
| Engagement | Portée |
|---|---|
| Structure porteuse | SARL Grownoble, société à responsabilité limitée au capital social de 1 700 000 €. La prestation n'est pas portée par une structure constituée pour l'occasion. |
| Délai de démarrage | Atelier de cadrage sous 5 jours ouvrés après signature, remise du dossier à J+15. |
| Nature de l'obligation | Obligation de moyens. Nous ne garantissons jamais contractuellement un résultat de conformité opposable à une autorité de surveillance. |
| Responsabilité civile professionnelle | Souscrite dès le premier contrat, plafond minimum 1 M€. Attestation communiquée sur demande. |
| Confidentialité | Accord de confidentialité signé avant l'atelier de cadrage. Les SBOM et les analyses de vulnérabilités ne quittent pas le périmètre convenu. |
| Propriété des livrables | Cession pleine et entière à la remise, en format source modifiable. |
| Indépendance | Aucune activité d'évaluation de conformité en tant que tiers. Aucune commission perçue sur la recommandation d'un organisme notifié. |
« Si le CERT-FR vous appelait demain matin à propos d'une vulnérabilité exploitée sur l'un de vos produits, qui décrocherait, et sous combien de temps auriez-vous rédigé l'alerte ? » Trente minutes au téléphone suffisent à répondre.