Les échéances, lues au texte
Chaque ligne porte sa source (article, annexe, point) et dit ce qui n'est pas encore arrêté. Aucun compte à rebours : une échéance se dit, elle ne se dramatise pas.
10 échéances affichées
Le calendrier
De la plus ancienne à la plus lointaine. Les échéances déjà applicables sont marquées comme telles. La prochaine : Règlement Machines 2023/1230, au 20 janvier 2027.
Exigences de cybersécurité pour les équipements radio connectés à l'internet, ceux qui traitent des données personnelles et ceux qui transfèrent de l'argent. Abrogé avec effet au 11.12.2027, quand le CRA prend le relais.
Règlement délégué (UE) 2022/30, art. 3, tel que modifié par le règlement délégué (UE) 2023/2444, art. 1 ; abrogation : règlement délégué (UE) 2026/339, art. 1
Régime des organismes notifiés. Concerne les organismes eux-mêmes, pas directement les fabricants.
Règlement (UE) 2024/2847, art. 71(2)
Obligations de transparence des systèmes d'IA. Cette date n'a pas été reportée, contrairement au volet haut risque. Seul le marquage des contenus de synthèse (art. 50(2)) laisse aux systèmes déjà sur le marché avant cette date jusqu'au 2 décembre 2026.
Règlement (UE) 2024/1689, art. 50 et 113 ; art. 111(4) ajouté par le règlement (UE) 2026/1744
Signaler au CSIRT coordinateur et à l'ENISA toute vulnérabilité activement exploitée et tout incident grave. Alerte précoce sous 24 h, notification sous 72 h.
Règlement (UE) 2024/2847, art. 14 et 71(2)
- aujourd'hui
La cybersécurité devient une exigence essentielle de santé et de sécurité. La norme harmonisée prEN 50742 est encore à l'état de projet.
Règlement (UE) 2023/1230, art. 54, rectifié au JO L 169 du 4.7.2023 ; exigences : annexe III, 1.1.9 et 1.2.1
Passeport numérique pour les batteries. Régime juridique distinct de l'ESPR : c'est le règlement Batteries.
Règlement (UE) 2023/1542
Reporté du 2 août 2026 par le règlement omnibus numérique sur l'IA, entré en vigueur le 27 juillet 2026. La date d'origine circule encore.
Règlement (UE) 2024/1689, annexe III, tel qu'amendé par le règlement (UE) 2026/1744, art. 113
L'échéance qui concerne le plus grand nombre de fabricants : documentation technique, SBOM, sécurité dès la conception, gestion des vulnérabilités.
Règlement (UE) 2024/2847, art. 71(2) ; SBOM : annexe I, partie II, point 1
Systèmes d'IA intégrés à des produits déjà soumis à une législation d'harmonisation. Reporté par le même règlement omnibus.
Règlement (UE) 2024/1689, annexe I, tel qu'amendé par le règlement (UE) 2026/1744, art. 113
Les actes délégués sectoriels ne sont pas tous arrêtés : aucune date ferme ne peut être annoncée aujourd'hui.
Règlement (UE) 2024/1781
Trois confusions répandues
Nous sommes tombés dans les trois. Elles se recopient d'article en article, et elles changent la nature de ce qu'un fabricant doit faire.
Confusion nº 1
« Le SBOM est obligatoire au 11 septembre 2026 »
Faux.
Le 11.09.2026 est la date du signalement des vulnérabilités activement exploitées : l'article 14. Les exigences essentielles, dont le SBOM (annexe I, partie II, point 1), sont applicables au 11 décembre 2027 (art. 71(2)). Ce sont deux obligations distinctes, à quinze mois d'écart, et les confondre fait préparer le mauvais livrable.
Confusion nº 2
« Le rapport final de l'art. 14, c'est 14 jours après la découverte »
Faux.
Le délai ne court pas depuis la prise de connaissance mais depuis la mise à disposition d'une mesure de correction ou d'atténuation (art. 14(2)(c)). Et le mot « atténuation » compte : un simple contournement déclenche les quatorze jours. Pour un incident, c'est un mois après le dépôt de la notification, art. 14(4)(c).
Confusion nº 3
« Le passeport batterie vient de l'ESPR »
Faux.
Il vient du règlement Batteries (UE) 2023/1542, régime juridique distinct de l'écoconception. Les rapprocher fait chercher les obligations dans le mauvais texte.
Une quatrième, sur l'AI Act
Comment ces dates sont vérifiées
Parce qu'un tableau d'échéances sans méthode ne vaut pas mieux que les articles qu'il prétend corriger.
Lues au Journal officiel, pas dans un billet de blog. Les dates d'application du CRA figurent à son article 71(2) ; les exigences essentielles à l'annexe I, le SBOM à sa partie II, point 1. Chaque ligne du calendrier ci-dessus porte l'article ou l'annexe où elle se trouve, pour que vous puissiez vérifier sans nous croire.
Corrigées quand nous nous trompons. Ce tableau existe parce que nous avons commis trois erreurs de date en une séance, puis deux de plus sur l'article 14, trouvées en allant relire le texte le 8 août 2026. Les confusions listées plus haut sont les nôtres avant d'être celles des autres.
Relues le 6 septembre 2026. Les dix lignes ont été reprises une à une. Aucune date n'a bougé, mais deux d'entre elles ne se trouvaient pas dans le texte cité : celles de l'AI Act haut risque viennent du règlement (UE) 2026/1744 qui l'amende, et pas de l'AI Act lui-même. La source les nomme désormais toutes les deux. Vérifié au passage que ce règlement, qui touche aussi le règlement Machines, ne déplace ni son application au 20 janvier 2027 ni les points 1.1.9 et 1.2.1 de son annexe III.
Relue le 30 septembre 2026, la ligne RED. Même cas de figure : le 1ᵉʳ août 2025 est juste, mais l'article 3 du règlement délégué 2022/30 disait « 1ᵉʳ août 2024 ». C'est le règlement délégué (UE) 2023/2444 qui l'a reporté. La source le nomme maintenant.
Relues le 14 octobre 2026, les sources. Trois lignes citaient l'article qui fonde l'obligation, pas celui qui la date. Elles nomment désormais l'article d'application : 71(2) pour le CRA, 113 pour l'AI Act, 54 pour le règlement Machines, dont la date de janvier 2027 vient d'un rectificatif du 4 juillet 2023. L'abrogation du règlement délégué 2022/30 cite l'acte qui la porte, le règlement délégué (UE) 2026/339. Aucune date n'a bougé.
Ce qui n'est pas arrêté est dit comme tel. Les actes délégués sectoriels de l'ESPR ne sont pas tous publiés, et la norme prEN 50742 pour le règlement Machines est encore un projet. Annoncer une date ferme sur du non-finalisé serait exactement la faute que cette page corrige.
Ce que cette page n'est pas
Celle qui s'applique déjà au plus grand nombre
L'article 14, applicable au 11 septembre 2026 : 24 h et 72 h à compter du moment où vous apprenez qu'une vulnérabilité de votre produit est activement exploitée, pour l'alerte précoce puis la notification. euvex croise vos composants avec le catalogue CISA KEV, ouvre le dossier et décompte les échéances.