Une PME suisse qui vend un produit connecté en Europe a déjà coché quelques cases : le marquage CE, la directive RED, et pour le matériel radio les normes EN 18031. La prochaine échéance tombe le 11 septembre 2026, et elle ne porte plus sur la conception du produit. Elle porte sur ce que vous faites le jour où quelque chose tourne mal.

Ce qui s’applique dans quelques semaines

Selon la Commission européenne, le Cyber Resilience Act, en vigueur depuis décembre 2024, échelonne ses obligations. Les obligations de signalement s’appliquent dès le 11 septembre 2026. L’essentiel du règlement, lui, ne devient contraignant que le 11 décembre 2027. Autrement dit : bien avant d’avoir à démontrer que votre produit est conforme, vous devrez déjà savoir alerter.

Deux catégories d’événements sont concernées. D’abord les vulnérabilités de votre produit qui font l’objet d’une exploitation active, c’est-à-dire dont on constate qu’un attaquant s’en sert réellement, et non celles qui restent théoriques. Ensuite les incidents graves qui affectent la sécurité du produit. Dans les deux cas, l’obligation pèse sur le fabricant du produit comportant des éléments numériques.

Trois délais à retenir

La Commission fixe une cascade en trois temps. Une alerte précoce dans les 24 heures qui suivent la découverte. Une notification complète dans les 72 heures. Puis un rapport final : quatorze jours après la mise à disposition d’une mesure corrective pour une vulnérabilité exploitée, un mois dans le cas d’un incident grave.

Ces délais sont un rythme de gestion de crise, pas une formalité administrative à traiter au retour des vacances. Vingt-quatre heures, dans une PME de vingt personnes, cela signifie qu’un vendredi soir d’été compte comme les autres.

Un seul point d’entrée, plusieurs destinataires

Le signalement se fait une seule fois, via une plateforme unique de signalement. Il est adressé à l’équipe nationale de réponse aux incidents, le CSIRT du pays où le fabricant a son principal établissement, qui le transmet ensuite à l’ENISA et aux autres CSIRT concernés, sauf circonstances exceptionnelles justifiées.

C’est le point qui demande une vérification si vous êtes établi en Suisse : la documentation officielle décrit le circuit pour un fabricant établi dans l’Union. Un fabricant suisse sans établissement européen a intérêt à clarifier ce circuit avec son importateur ou son mandataire dans l’Union, avant l’échéance plutôt qu’au milieu d’un incident.

Le guide publié le 27 juillet

La Commission a mis en ligne le 27 juillet 2026 un document d’orientation destiné aux fabricants, aux développeurs et aux entreprises de toutes tailles. Il clarifie le champ d’application du règlement, la notion de modification substantielle, la durée des périodes de support, les obligations de signalement et les exigences d’évaluation des risques.

Sa forme compte autant que son contenu : 67 exemples pratiques, des cas d’usage, des logigrammes et des graphiques, avec une attention explicitement portée aux microentreprises et aux PME et à la proportionnalité de la charge administrative. C’est probablement le document le plus concret publié à ce jour sur le CRA, et il arrive au bon moment.

Ce que ça suppose d’organiser en interne

Tenir un délai de 24 heures ne s’improvise pas. Cela suppose de savoir, avant l’incident, qui surveille les signalements de vulnérabilités sur vos produits, qui décide qu’une exploitation est active, qui rédige l’alerte, qui la signe, et qui prend le relais en cas d’absence. C’est exactement la matière d’un plan de réponse aux incidents, à ceci près qu’il faut y ajouter une chaîne dédiée au produit vendu, distincte de celle qui traite une attaque sur votre propre informatique.

Il faut aussi un canal par lequel un chercheur ou un client peut vous signaler une faille, et quelqu’un qui lise ce canal. Beaucoup de PME industrielles découvrent à cette occasion qu’elles n’en ont pas.

L’erreur de calendrier à éviter

La plus fréquente consiste à retenir la date de décembre 2027 et à en conclure qu’il reste plus d’un an. Les deux échéances ne recouvrent pas les mêmes obligations : celle de septembre 2026 porte sur un réflexe organisationnel, pas sur un dossier technique. La seconde erreur consiste à supposer que seuls les grands fabricants sont visés. Le règlement suit le produit, pas la taille de l’entreprise qui le met sur le marché.

En conclusion

Les six prochaines semaines suffisent largement à mettre en place ce que le 11 septembre exige : identifier vos produits concernés, désigner les responsables, écrire une procédure d’une page, tester le circuit une fois. Ce qui prend plus de temps, c’est la question d’avant : quels produits de votre catalogue entrent dans le champ du règlement, dans quelle catégorie, et qui, de vous ou de votre importateur, porte quelle obligation. Cette réponse dépend de votre gamme et de vos marchés d’exportation, et elle vaut la peine d’être posée maintenant, pendant qu’il reste le choix du calendrier.