Notes sur le Cyber Resilience Act
Court et concret. Ce que le règlement demande, quoi faire, avec les références d’articles. Écrit par celui qui a construit le kit.
Guides par écosystème
Le CRA s'applique-t-il à mon extension VS Code ?
Gratuite, freemium ou d'entreprise : qui est fabricant au sens du CRA, ce que demande l'article 14 depuis le 11 septembre 2026, et quoi faire cette semaine.
Le CRA s'applique-t-il aux intégrations Home Assistant ?
HACS, core ou add-on : quels auteurs Home Assistant sont fabricants au sens du CRA, ce que l'article 14 exige depuis le 11 septembre 2026, et par où commencer.
Mon plugin WordPress est-il concerné par le CRA ?
Premium, freemium ou gratuit : qui est fabricant au sens du CRA, ce que demande l'article 14 depuis le 11 septembre 2026, et cinq actions à mener cette semaine.
Le Cyber Resilience Act, c’est le règlement (UE) 2024/2847. Il vise les produits comportant des éléments numériques vendus dans l’Union européenne : logiciels, micrologiciels, objets connectés, et le traitement de données à distance que le fabricant conçoit pour eux. Depuis le 11 septembre 2026, une vulnérabilité de votre produit activement exploitée se signale au CSIRT national et à l’ENISA sous 24 heures, avec une notification à 72 heures puis un rapport final. Le reste du texte, le SBOM, la documentation technique, la déclaration UE de conformité, le marquage CE et cinq ans de support, s’applique à partir du 11 décembre 2027.
Ces notes prennent une question à la fois et y répondent avec l’article qui tranche. Qui est fabricant au sens du règlement. Ce que doit faire un SaaS qui publie une application mobile. Comment écrire une procédure de signalement qui tient sur une page. Elles sont écrites pour des équipes de deux à vingt personnes, sans service conformité et sans budget juridique, par celui qui a construit le kit. Rien ici ne remplace un avocat sur votre situation.
Une faille dans votre passerelle peut déclencher vos 24 h
Citrix NetScaler est exploité activement selon CISA, et ça peut être votre incident même sans éditer NetScaler.
Le CISA vient de fixer le point de départ de vos 24 heures
Adobe Commerce et WSO2 rejoignent le catalogue KEV du CISA le 25 septembre 2026, et ça change la date où votre horloge de l'article 14 démarre.
Un security.txt qui suit la RFC 9116, en dix minutes
Trois lignes de texte, une RFC de 2022, ce que l'annexe I partie II du CRA reprend en 2027, et comment les chercheurs s'en servent.
Votre SBOM doit être surveillée après la livraison
Une SBOM figée à la livraison ne dit rien des failles trouvées après coup. Le catalogue KEV de la CISA comble ce manque, article 14 à l'appui.
Vendre depuis l'étranger ne vous sort pas du CRA
Un développeur basé hors UE qui vend son outil à des clients européens reste fabricant au sens de l'article 3, mêmes délais qu'en France.
Votre projet open source peut vous rendre fabricant
Passer du don libre à l'abonnement payant peut faire basculer un mainteneur open source, jusque-là hors champ, vers le statut de fabricant CRA.
Sur une marketplace, vous restez fabricant
Une marketplace ne change rien à qui est fabricant au sens de l'article 3. Le cas d'une extension de navigateur payante.
Ce que le CRA demande à votre SBOM
L'annexe I demande au moins les dépendances de premier niveau, à partir du 11 décembre 2027. Ce que ça change pour un petit éditeur.
Après le CSIRT et l'ENISA, prévenez vos utilisateurs
L'article 14, paragraphe 8 demande d'informer les utilisateurs concernés après une faille exploitée. Ce qu'il exige, ce qu'il laisse ouvert.
Votre app de wallet vous rend fabricant au sens du CRA
Ce que disent les articles du règlement quand la presse parle des éditeurs de wallets, et les trois conditions qui décident chez vous.
Ce qu'il faut préparer avant d'ouvrir la plateforme ENISA
Les éléments à réunir avant une première notification au titre de l'article 14, avec la référence derrière chacun.
Les cas limites qui décident si vous êtes fabricant
Où s'arrête le champ du Cyber Resilience Act pour un freelance, une version gratuite, un SaaS ou un dépôt open source, avec les articles.
Écrivez votre procédure 24 h / 72 h sur une page
L'article 14 s'applique le 11 septembre 2026. Les cinq lignes à écrire pour savoir qui reçoit l'alerte, qui décide et où part la notification.
Trouvez les failles exploitées dans vos dépendances
Le 11 septembre, le compte à rebours de 24 h démarre à la connaissance. Voici comment repérer une dépendance activement exploitée.
Vous avez un SaaS et une app ? Le CRA regarde l’app
Un SaaS utilisé seulement dans un navigateur est hors du Cyber Resilience Act. Ajoutez une app mobile, un client de bureau ou un appareil qui a besoin de vos serveurs, et tout change. Voici où passe la ligne, avec les articles.