Direction

En une phrase

Sans nomenclature logicielle et sans processus documenté de traitement des vulnérabilités, vous ne pourrez plus apposer le marquage CE sur vos produits numériques — donc plus les vendre dans l’Union européenne.

En trois chiffres

11 septembre 2026	Signalement d’une vulnérabilité activement exploitée sous 24 heures à l’ENISA et au CSIRT coordinateur. S’applique aussi aux produits déjà sur le marché.
11 décembre 2027	Marquage CE, dossier technique, SBOM, période de support, information de l’utilisateur : application pleine et entière.
15 M€ ou 2,5 %	Plafond de l’amende administrative pour manquement aux exigences essentielles ou aux obligations de signalement — le montant le plus élevé entre 15 millions d’euros et 2,5 % du chiffre d’affaires annuel mondial.

Les cinq faits qui déterminent l’effort

1. La classe de criticité pilote le coût. Un produit « par défaut » s’auto-évalue ; un produit Important de classe II ou Critique exige un organisme notifié, avec un délai de plusieurs mois et une capacité de marché limitée. C’est le chemin critique.
2. La période de support engage sur cinq à dix ans. Elle oblige à maintenir des chaînes de compilation, à rétroporter des correctifs et à conserver des artefacts bien au-delà de la fin de vie commerciale.
3. L’échéance de signalement est déjà là, et elle couvre le parc historique. Elle suppose une astreinte, pas un projet.
4. Le CRA recoupe largement NIS 2, DORA et les questionnaires clients. L’effort n’est pas perdu : il alimente aussi ces exigences.
5. Le SBOM est devenu un argument commercial. Grands comptes et acheteurs publics le demandent déjà ; le produire répond à une obligation et raccourcit les cycles de vente.

Les décisions attendues du comité

• Nommer un sponsor exécutif et valider la matrice RACI, notamment les trois arbitrages listés dans Organisation.
• Arbitrer le scénario d’investissement parmi les trois décrits dans Budget et ressources, en assumant explicitement le risque résiduel du scénario retenu.
• Autoriser l’engagement contractuel avec un organisme notifié pour les produits qui ne peuvent pas s’auto-évaluer, sans attendre la publication des normes harmonisées.

Où en êtes-vous

L’état d’avancement se lit dans Indicateurs : couverture du portefeuille, délais de remédiation, exposition résiduelle. Le diagnostic permet de le réévaluer trimestriellement selon une grille stable.