# CRA — Reporting des vulnérabilités et incidents

## Situation au 11 septembre 2026
La Commission indique que les obligations de déclaration sont applicables depuis le 11 septembre 2026.

Pour les fabricants, les notifications portent notamment sur :
- les vulnérabilités activement exploitées ;
- les incidents graves ayant un impact sur la sécurité du produit.

La Commission indique :
- early warning dans les 24 heures après connaissance ;
- notification complète dans les 72 heures ;
- rapport final pour une vulnérabilité activement exploitée au plus tard 14 jours après disponibilité d'une mesure corrective ;
- rapport final pour un incident grave dans le délai prévu par le CRA après la notification de 72 heures.

Les notifications passent par la CRA Single Reporting Platform (SRP) d'ENISA.

## Procédure interne
Détection → qualification → horodatage de la prise de connaissance → décision de notification → préparation → soumission SRP → suivi → rapport final → archivage.

Toujours vérifier la version actuelle des instructions ENISA avant une notification réelle.