Calendrier, application et sanctions
Calendrier de mise en œuvre
Le CRA s’applique après une période de transition (24 mois pour la plupart des obligations, 36 mois pour le reporting de vulnérabilités).1 Les fabricants doivent utiliser cette période pour aligner leurs pratiques sur les exigences.
Produits existants vs nouveaux
- nouveaux produits : les concevoir « CRA‑ready » dès le départ,
- produits existants : décider entre rétrofit des contrôles (secure boot, mises à jour, SBOM, CVD) ou fin de vie planifiée.
Surveillance du marché
Les autorités peuvent demander le dossier technique, tester les produits et imposer des actions correctives ou des retraits. Les sanctions peuvent être significatives, notamment en cas de manquement au support de sécurité.1