Trois dates, un seul article en avance

Le parc existant n'entre dans le régime complet qu'en cas de « modification substantielle » à compter du 11 décembre 2027 (art. 69 §2 ; art. 3, point 30). Jusque-là, seule la notification le concerne. Le Journal officiel imprimé du 20 novembre 2024 omet le mot « avant » à l'article 69 §3 ; le rectificatif du 2 juillet 2025 [1] le rétablit, et c'est lui qui fait foi. La FAQ des services de la Commission, entrée 5.3 [2], va dans le même sens, sans valeur opposable.

Suis-je concerné ? Trois questions

1. Qui commercialise le produit sous son nom ou sa marque ? Le fabricant est celui qui développe, fabrique ou « fait concevoir, développer ou fabriquer » un produit et le commercialise sous son nom ou sa marque, « à titre onéreux, monétisé ou gratuit » (art. 3, point 13). Un éditeur qui n'assemble aucun objet physique est un fabricant. Une filiale qui appose sa propre marque, y compris en marque blanche, sur un produit développé ailleurs dans le groupe devient fabricant. Le mandataire, l'importateur et le distributeur ne deviennent pas obligés au titre de l'article 14.
2. Un artefact est-il livré au client ? Le logiciel seul est un produit (art. 3, points 1 et 4), comme le composant mis sur le marché séparément : bibliothèque, kit de développement, module, pilote, connecteur (point 6). Un agent, une application mobile, une extension ou un connecteur livré entraîne dans le champ le service hébergé dont une de ses fonctions dépend (point 2 ; considérant 11). Le service accessible uniquement par navigateur, sans aucun artefact livré, n'est qualifié par aucune disposition du texte.
3. Où se prennent les décisions de cybersécurité des produits ? Cette question ne change pas qui notifie ; elle désigne le destinataire. Le CSIRT compétent est celui de l'État membre où ces décisions sont principalement prises, à défaut celui de l'établissement comptant le plus de salariés dans l'Union (art. 14 §7, alinéa 2). Un fabricant sans établissement principal dans l'Union suit une cascade impérative : mandataire, importateur, distributeur, puis utilisateurs (alinéa 3).

Deux cas se lisent à part. Le fabricant qui intègre un composant libre et ouvert reste fabricant de son produit, avec toutes ses obligations. L'intendant de logiciels ouverts (art. 3, point 14) n'est tenu à une partie de l'article 14 que par l'article 24 §3, que l'article 71 §2 n'avance pas : son obligation naît le 11 décembre 2027 (lecture corroborée par la FAQ, entrée 5.5 [2]). Entre-temps, un même incident peut obliger le fabricant intégrateur et laisser l'intendant hors du dispositif.

Ce qui déclenche une notification, et ce qui n'en déclenche pas

Vulnérabilité activement exploitée

Seul le troisième degré de l'article 3 déclenche l'article 14 §1 : une vulnérabilité « pour laquelle il existe des preuves fiables qu'elle a été exploitée par un acteur malveillant dans un système sans l'autorisation du propriétaire du système » (point 42). Trois éléments cumulés : des preuves fiables, un acteur malveillant, une absence d'autorisation. Une vulnérabilité exploitable (point 41), ou une faille démontrée en laboratoire, n'y suffit pas. Le texte ne dit pas ce qui rend une preuve « fiable ».

Incident grave

L'article 3 ne définit pas « incident grave ». Le test figure à l'article 14 §5 : l'incident entache, ou peut entacher, la protection de données ou fonctions « sensibles ou importantes » (a), ou il a conduit, ou peut conduire, à l'introduction ou à l'exécution d'un code malveillant dans le produit ou dans les systèmes d'un utilisateur (b). Une branche suffit. Le qualificatif « sensibles ou importantes » n'est défini nulle part.

Composants tiers

L'article 14 ne contient aucune règle propre aux composants intégrés : le test du point 42 s'applique au produit tel que livré, quelle que soit l'origine du code. La FAQ, entrée 5.4 [2], écrit qu'une vulnérabilité de composant non exploitable dans le produit n'est pas à notifier. Cette lecture est cohérente avec le point 42, mais un document de services ne fonde aucune exclusion.

Ce qui reste facultatif

L'article 15 ouvre un signalement volontaire pour quatre catégories : la vulnérabilité sans preuve d'exploitation, la cybermenace affectant le profil de risque du produit, l'incident qui ne remplit pas le test du §5, et l'incident évité. Le verbe est « peuvent notifier », et un seul destinataire suffit : le CSIRT « ou » l'ENISA. Un signalement volontaire n'impose aucune obligation supplémentaire à son auteur (art. 15 §5).

À qui, et par où

• Deux destinataires, simultanément : le CSIRT désigné comme coordinateur et l'ENISA (art. 14 §1 et §3). Ce CSIRT est celui que l'État membre a désigné sous la directive NIS2 (art. 3, point 51) ; le règlement ne crée aucune autorité nouvelle.
• Un seul canal : la plateforme unique de signalement, mise en place et administrée par l'ENISA (art. 16 §1). Le fabricant dépose une fois, au point final de notification électronique de son CSIRT, et la plateforme met la notification à la disposition de l'ENISA (art. 14 §7, alinéa 1). Le CSIRT récepteur la diffuse ensuite aux CSIRT des États membres où le produit a été mis à disposition (art. 16 §2).
• Un exemple de groupe : décisions de cybersécurité produit prises à Paris, vente en Belgique par une filiale de distribution. Le point final est celui du CSIRT français ; le CSIRT belge est informé par la diffusion de l'article 16 §2.
• Le format : la Commission « peut » le préciser par actes d'exécution (art. 14 §10). C'est une faculté sans délai : l'obligation de notifier n'en dépend pas.
• La Belgique : la liste de l'ENISA [4], mise à jour le 4 septembre 2026, ne porte pour la Belgique qu'une URL du domaine ccb.belgium.be, sans nom d'entité. Que le Centre pour la Cybersécurité Belgique soit le CSIRT coordinateur au titre du CRA est une déduction, pas la lecture d'un acte belge. Sa page de contact général [5] n'est pas le canal de l'article 14.
• NIS2 : aucune ligne des articles 14 à 16 ne dispense un fabricant qui est aussi entité NIS2 de l'une des deux notifications, ni n'organise leur coordination. Le CCB présente les deux régimes comme complémentaires [6] et décrit pour NIS2 un formulaire distinct [7]. Un même événement peut relever des deux.

Les délais : trois étapes, deux horloges

• Le point de départ est la connaissance du fabricant, pas la découverte par un tiers, la publication d'une CVE ou la sortie d'un correctif. Les délais de 24 et 72 heures partent du même instant : la notification est due 72 heures après la connaissance, pas 72 heures après l'alerte. Le texte ne définit pas le moment de la « connaissance ».
• Le rapport final suit deux horloges. Côté vulnérabilité, les 14 jours ne courent qu'à partir d'une mesure mise à disposition, et le texte ne prévoit rien si aucune mesure ne l'est jamais. Côté incident, le mois court à partir d'un acte daté par le fabricant lui-même.
• L'alerte à 24 heures est toujours due. La réserve « à moins que les informations pertinentes n'aient déjà été communiquées » ouvre les étapes b) et c), jamais l'étape a). Le texte ne dit pas qui juge que les informations étaient « pertinentes ».
• Le rapport intermédiaire n'est dû que sur demande du CSIRT, « si nécessaire », sans délai fixé (§6).
• Informer n'est pas notifier. Le fabricant informe aussi les utilisateurs touchés et, s'il y a lieu, tous les utilisateurs, avec les mesures qu'ils peuvent prendre, « en temps utile » : aucun délai chiffré. À défaut, le CSIRT « peut » les informer lui-même (§8).

Ce qu'il faut avoir en place

Le texte impose des résultats ; pour aucun d'eux il ne prescrit le moyen.

1. La qualification : quelle entité du groupe commercialise quel produit sous son nom ou sa marque.
2. L'inventaire des produits, de leurs composants et des services hébergés dont une fonction dépend, y compris les produits anciens toujours en circulation.
3. Le CSIRT destinataire : le lieu des décisions de cybersécurité produit, les effectifs par établissement, et, hors Union, le mandataire, l'importateur, le distributeur et la répartition des utilisateurs.
4. L'accès au point final de notification électronique de la plateforme unique de signalement.
5. La détection interne : l'horodatage de la prise de connaissance et les éléments qui qualifient une vulnérabilité (preuves d'exploitation) ou un incident (branche a ou b du §5).
6. Le contenu des trois étapes, voie par voie, avec la date de mise à disposition d'une mesure et celle de la notification à 72 heures, qui font partir les horloges du rapport final.
7. La réponse à une demande de rapport intermédiaire.
8. L'information des utilisateurs : la liste des utilisateurs touchés et les mesures à leur portée.

Rien d'autre n'était exigible le 11 septembre 2026 : ni marquage CE, ni documentation technique, ni évaluation de la conformité, ni exigence de l'annexe I, ni autorité belge de surveillance du marché au titre du CRA. Le signalement volontaire de l'article 15 reste une faculté.

Sanctions

Le règlement fixe des plafonds et laisse le régime aux États membres (art. 64 §1). L'article 14 relève du palier le plus élevé : jusqu'à 15 000 000 EUR ou, pour une entreprise, un pourcentage du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 64 §2). C'est un plafond, pas un montant dû ; il se fixe au cas par cas, taille de l'opérateur comprise (§5). Les microentreprises et petites entreprises échappent à l'amende pour le seul non-respect du délai de 24 heures, et pour rien d'autre : ni les 72 heures, ni le rapport final, ni les moyennes entreprises (art. 64 §10 a, version rectifiée [1]). Au 8 septembre 2026, aucun instrument belge de désignation d'autorité ou de sanction n'avait été identifié.