Conformité CRA pour éditeurs et distributeurs de logiciel

Deux dates, pas une. Le 11 septembre 2026, l'obligation de signalement devient opposable : 24 heures pour une alerte précoce, 72 heures pour la notification complète, 14 jours pour le rapport final. Elle vaut pour tout ce que vous avez déjà livré. Le 11 décembre 2027, ce sont les exigences de conception qui s'ajoutent : nomenclature logicielle, marquage CE, absence de faille exploitable connue à la mise sur le marché. Celles-là ne concernent que les produits mis sur le marché après cette date.

Le manquement à l'obligation de signalement est sanctionné jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Ce plafond vise les grands manquements, pas la TPE qui a déclaré avec deux heures de retard. Mais le risque réel pour une petite structure est ailleurs : un client qui exige la preuve de votre conformité avant de signer, un assureur qui s'y intéresse après un incident, un concurrent qui affiche une politique de divulgation quand vous n'en avez pas.

Non, pas au titre du CRA. Le règlement vise ceux qui mettent un produit numérique sur le marché, pas ceux qui l'utilisent. Faire tourner un Tiki, un WordPress ou un Nextcloud pour votre propre activité ne fait pas de vous un fabricant. Votre hébergeur et votre intégrateur ne le sont pas davantage : ils vendent une prestation.

En revanche, le CRA vous concerne indirectement, par vos fournisseurs. À partir de septembre 2026, ils doivent déclarer leurs failles exploitées, ce qui rend leur sérieux vérifiable et donc contractualisable. Quatre questions à leur poser dès maintenant : sous quel délai vous informent-ils, quelle période de support annoncent-ils, ont-ils publié un canal de signalement, fournissent-ils une nomenclature logicielle. Un fournisseur incapable de répondre en 2026 vous coûtera cher en 2027.

Le délai de 24 heures est en heures calendaires : il ne s'arrête ni le week-end ni en août. Une faille dont l'exploitation est constatée un vendredi à 20 h doit être signalée avant le samedi 20 h.

C'est précisément ce que couvre notre abonnement de veille. Sous 8 heures, nous vous recontactons, nous qualifions si la faille est réellement exploitée, une preuve de concept publiée ne suffit pas à déclencher le compte à rebours, nous établissons quels logiciels et quels déploiements sont touchés, et nous vous aidons à rédiger la déclaration. Un logiciel, c'est une base de code que vous distribuez : un plugin, un thème, une image, une appliance. Les versions d'un même logiciel comptent pour une.

Des limites que nous préférons écrire : la réponse n'est pas le correctif, qui relève de votre contrat de maintenance ; et nous ne déclarons jamais à votre place, car l'obligation pèse sur le fabricant et n'est pas délégable.

Parce que la valeur n'est pas dans le nombre de pages, elle est dans les décisions qu'elles contiennent. Une procédure de signalement utile répond à des questions précises : à partir de quels indices considère-t-on qu'une faille est activement exploitée, qui a le droit de déclarer, que fait-on si cette personne est injoignable, quelles informations doivent être prêtes avant d'ouvrir le formulaire. Ces arbitrages demandent de connaître le règlement et votre organisation.

Comparez au coût de l'alternative : improviser un dimanche matin avec un compte à rebours de 24 heures, ou découvrir après coup qu'on n'a pas déclaré ce qu'il fallait. Le forfait couvre le document, sa mise en place technique, adresse de contact, fichier security.txt, page de divulgation publiée, et une relecture avec votre équipe. Nous annonçons cinq jours ouvrés et un prix ferme, pas une régie ouverte.

Parce que nous n'écrivons pas de la conformité en général, nous exploitons la pile sur laquelle porte votre risque. Vingt ans de CMS, d'extensions, de serveurs Linux et de supervision, avec une veille CVE qui tourne déjà pour nos clients. Quand une faille sort sur un composant que vous utilisez, nous savons ce qu'elle fait, pas seulement quel article du règlement elle déclenche. Et vous avez un interlocuteur unique, qui connaît votre installation et que vous joignez directement.

Nous disons aussi non. Le firmware embarqué, le matériel, les dispositifs médicaux ne relèvent pas de notre expertise, et nous vous le disons au premier appel plutôt que de facturer un travail que nous ferions mal. Si votre besoin dépasse notre périmètre, un cabinet spécialisé sera le bon choix, et nous vous le dirons.