Depuis le 11 septembre 2026, vous avez 24 heures pour signaler. Avez-vous une procédure ?
Le kit de signalement CRA en 24 heures donne aux petits et moyens fabricants de produits comportant des éléments numériques une procédure complète et signable de notification des incidents et des vulnérabilités : un arbre de décision sur le champ d'application, le guide de la plateforme ENISA, les cinq modèles de notification, des avis aux utilisateurs en quatre langues et un script d'exercice de 90 minutes. Mis en place en une semaine.
Rédigé et répété par la pratique PKI et conformité européenne de SkyQon. Pas un avis juridique. Garantie 30 jours : une procédure ou le remboursement.
Vous êtes concerné si les trois affirmations sont vraies
- Vous mettez sur le marché de l'UE, sous votre propre nom, du matériel avec micrologiciel, des appareils connectés ou des logiciels.
- Vous maintenez ou mettez à jour ce logiciel vous-même ou via des fournisseurs.
- Vous n'avez pas de procédure écrite et testée pour notifier l'ENISA et votre CSIRT national sous 24 heures.
La plupart des échéances du CRA sont en 2027. Celle qui peut vous valoir une amende est déjà en vigueur.
Depuis le 11 septembre 2026, l'article 14 du règlement sur la cyberrésilience impose aux fabricants de signaler toute vulnérabilité activement exploitée et tout incident grave touchant un produit comportant des éléments numériques, y compris des produits livrés il y a des années. Alerte précoce sous 24 heures. Notification sous 72 heures. Rapport final ensuite. Amendes jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial.
Si une vulnérabilité exploitée dans l'un de vos produits était découverte cet après-midi, votre équipe pourrait-elle répondre à ceci aujourd'hui ?
- Qui décide que l'événement atteint le seuil de signalement, et déclenche le chronomètre ?
- Qui détient le compte EU Login avec second facteur qu'exige la plateforme de signalement ?
- Que contient exactement l'alerte précoce de 24 heures, et quels États membres doivent y figurer ?
- Quels utilisateurs doivent être informés, et avec quel texte ?
- Quelle preuve montre à une autorité de surveillance du marché que tout cela a été fait dans les délais ?
Si l'une des réponses est « on improvisera », le chronomètre joue déjà contre vous.
Une mise en place en une semaine, pas un projet de six mois
Le kit est l'ensemble de documents dont une entreprise de 10 à 250 personnes a besoin, rédigés pour qu'un CTO ou un responsable conformité puisse les adopter sans avocat sur le chemin critique.
- Jour 1Appliquez l'arbre de décision sur le champ d'application à chaque produit ; consignez la conclusion par écrit.
- Jour 2Adoptez la procédure de signalement, remplissez la matrice RACI, nommez le responsable et son suppléant, signez.
- Jour 3Les deux personnes nommées créent un compte EU Login avec second facteur ; choisissez votre CSIRT coordinateur ; rédigez l'échelle de repli.
- Jour 4Chargez les modèles 24 heures, 72 heures et rapport final ainsi que le registre des produits dans votre outil de tickets.
- Jour 5Menez l'exercice sur table de 90 minutes et classez le journal de preuves. Vous êtes désormais entraîné et documenté.
Contenu du kit
Arbre de décision sur le champ d'application
Suis-je le fabricant, ce produit est-il concerné, cet événement est-il à signaler : vulnérabilité activement exploitée ou incident grave, avec la voie de l'article 15 en cas de doute.
Procédure de signalement et RACI
Modifiable, alignée sur l'article 14, heure par heure à partir de T0, avec les deux horloges distinctes du rapport final et une page de signature.
Guide de la plateforme ENISA
EU Login et second facteur, représentants principal et secondaires, le choix du CSIRT coordinateur qui peut invalider une notification, et le repli si la plateforme est indisponible. Le chapitre sur le CSIRT belge est déjà rempli.
Cinq modèles de notification
Alerte précoce de 24 heures (vulnérabilité et incident), notification de 72 heures, rapport final pour une vulnérabilité et pour un incident, plus les formulaires intermédiaire et volontaire, champ par champ.
Avis aux utilisateurs en quatre langues
Avis au titre de l'article 14, paragraphe 8, aux utilisateurs touchés et à tous les utilisateurs, en anglais, néerlandais, français et allemand.
Script d'exercice sur table de 90 minutes
Un exercice chronométré avec journal de preuves, issu de notre propre répétition de cette procédure en août 2026, pour que votre premier exercice devienne votre première preuve.
Registre des preuves et des produits
Ce qu'il faut conserver, où et combien de temps, et le registre des produits à partir duquel l'alerte précoce est remplie : versions, États membres de mise à disposition, période de support.
Matrice de recoupement
L'article 14 du CRA à côté de l'article 23 de NIS2, de l'article 19 de DORA et de l'article 33 du RGPD, pour qu'un seul événement produise chaque notification due.
Politique de divulgation et security.txt
Un modèle de politique de divulgation coordonnée des vulnérabilités et un security.txt qui passe les vérifications courantes, pour qu'un rapporteur puisse vous joindre et que le chronomètre démarre correctement.
Douze questions, deux minutes
Chaque question cite l'article dont elle découle. Le score est calculé sur cette page ; rien n'est envoyé sauf si vous demandez le résultat écrit.
Le kit de signalement CRA en 24 heures
Kit de signalement
Les neuf chapitres en un document Word plus un fichier de modèles modifiable. Livré par e-mail sous un jour ouvré après paiement. 12 mois de mises à jour des modèles au fil des orientations de l'ENISA.
Garantie 30 jours : si le kit ne vous laisse pas une procédure complète et signable, répondez à votre reçu pour un remboursement intégral.
Paiement sécurisé par Paddle, notre Merchant of Record (TVA UE gérée ; 109 $ sur les marchés en USD). Le kit arrive par e-mail sous un jour ouvré.
La page de paiement n'a pas pu se charger. Utilisez le formulaire de commande ci-dessous.
Kit + exercice en direct
Le kit, plus un exercice de 90 minutes mené avec votre équipe sur l'un de vos vrais produits, et un rapport de constats écrit que vous pouvez classer comme preuve.
Le garder vivant
Le module Signalement d'incidents du tableau de bord SkyQon : les horloges de 24 et 72 heures par incident, les champs de la plateforme pré-remplis depuis votre registre des produits, les exercices consignés dans votre chaîne de preuves signée, et une vérification quotidienne que votre security.txt est toujours en place. Inclus dans Enterprise et dans le pack de preuves NIS2.
Commander, ou poser une question
Nous confirmons par e-mail sous un jour ouvré et envoyons une facture Paddle ; les documents suivent au paiement. La TVA européenne est gérée par Paddle, notre Merchant of Record.
Rédigé par un praticien, répété avant d'être vendu
SkyQon est une pratique PKI et de confiance numérique basée dans l'UE, qui travaille sur les preuves NIS2, DORA, eIDAS et CRA pour des organisations du Benelux. Cette procédure a d'abord été écrite pour nos propres produits et répétée en août 2026 ; l'exercice a révélé six défauts de plomberie dans une procédure dont le raisonnement tenait, et ces constats ont façonné chaque chapitre. Chaque modèle cite l'article qu'il satisfait. Des kits gratuits existent, et l'ENISA publie sa propre auto-évaluation pour les PME ; ce que celui-ci ajoute, c'est la répétition, le chapitre Benelux, les avis en quatre langues et un tableau de bord qui garde le chronomètre et le dossier vivants.