CRA : le plan des 90 jours pour être prêt le 11 septembre
Voici les chantiers qui comptent vraiment avant l’échéance de reporting du 11 septembre 2026 et ceux qui peuvent attendre.
Contexte
Le 11 septembre 2026 ne demande pas un programme CRA complet, seulement une capacité de détection et de notification opérationnelle.
J0-30 : cartographier les produits concernés et désigner un responsable du sujet.
J30-60 : outiller le process de notification 24h/72h/14j et se préparer à la plateforme ENISA.
J60-90 : tester le process à blanc avant l’échéance, plutôt que de découvrir ses failles en conditions réelles.
Il reste quelques semaines avant le 11 septembre 2026. Pas de quoi bâtir un programme de conformité CRA complet mais largement de quoi sécuriser ce qui compte vraiment à cette date : la capacité à détecter et signaler une vulnérabilité active dans les délais imposés par l’article 14.
J0 à J30 : cartographier
Le premier sprint ne touche à aucun outil, seulement à une liste. Il s’agit de recenser tous les produits de l’entreprise qui entrent dans la définition de “produit comportant des éléments numériques” : matériel ou logiciel se connectant, directement ou indirectement, à un appareil ou un réseau y compris ceux déjà commercialisés. En parallèle, un responsable unique du sujet doit être désigné : sans porteur identifié, l’inventaire s’arrête souvent à la première difficulté.
J30 à J60 : outiller
Une fois le périmètre connu, le sprint suivant construit le squelette opérationnel du signalement : qui reçoit l’alerte de vulnérabilité, qui rédige la notification initiale sous 24h, qui complète le rapport à 72h, qui suit la mise à jour finale à 14 jours. C’est aussi la fenêtre pour se familiariser avec la plateforme unique de signalement de l’ENISA (Single Reporting Platform), dont la période de test précède l’entrée en application du 11 septembre.
J60 à J90 : exercer
Le dernier sprint est celui qu’on saute le plus souvent, faute de temps et c’est pourtant le plus utile. Un test à blanc, sur un scénario fictif de vulnérabilité exploitée, révèle en une matinée ce qu’aucune documentation ne montre : qui est réellement joignable un week-end, où se situe le goulot d’étranglement dans la chaîne de validation, si le délai de 24h est tenable en pratique. Mieux vaut découvrir ces failles sur un exercice que le jour où la notification est vraiment due.
Ce qu’il faut retenir
Ce plan ne couvre pas l’ensemble du Cyber Resilience Act. Le marquage CE et les exigences essentielles ont leur propre calendrier, jusqu’à fin 2027. Il couvre ce qui a une échéance ferme dans les prochaines semaines : une capacité de détection et de notification qui fonctionne, éprouvée avant d’en avoir besoin.
Insight CyberLead
La tentation, face à un texte aussi dense que le CRA, est de vouloir tout traiter d’un coup : cartographie complète, SBOM exhaustif, documentation technique. Sur 90 jours, ce n’est pas réaliste, et ce n’est pas ce que demande l’échéance du 11 septembre. Ce qu’elle demande, c’est une chose précise : être capable de détecter une vulnérabilité activement exploitée sur l’un de vos produits et de la signaler dans les délais. Le reste du programme CRA : marquage CE, exigences essentielles, évaluation de conformité a jusqu’à décembre 2027. Prioriser l’un ne dispense pas de préparer l’autre, mais confondre les deux calendriers fait perdre un temps qu’on n’a plus.
Où en est votre organisation sur ces 90 jours : cartographie faite, process outillé, ou pas encore commencé ? CyberLead peut vous aider à structurer et réaliser ce sprint.
Vous voyez un post LinkedIn sur le sujet , n’hésitez pas et partagez cet article en commentaire !