CRA : obligation de notifier (art. 14) depuis le 11.09.2026. En êtes-vous capable sous 24 h ?
PREVORN

Demander une démo

PREVORN

Demander une démo

PREVORN

Demander une démo

VEILLE · MISE À JOUR 23.09.2026

Échéances réglementaires suisses et européennes

Les obligations exigibles de septembre 2026 à août 2028 pour une entreprise établie en Suisse. Dates, population concernée, sanctions, sources officielles. Rien d’autre.

VEILLE · MISE À JOUR 23.09.2026

Échéances réglementaires suisses et européennes

Les obligations exigibles de septembre 2026 à août 2028 pour une entreprise établie en Suisse. Dates, population concernée, sanctions, sources officielles. Rien d’autre.

Discuter de votre périmètre

Vue d’ensemble

Quatre textes changent les obligations d’une PME suisse sur cette fenêtre. Deux sont suisses, deux sont européens et s’appliquent dès lors que l’entreprise touche le marché de l’Union.

11.09.2026

Cyber Resilience Act, obligations de signalement

Fabricants suisses de produits comportant des éléments numériques mis sur le marché de l’UE, y compris les produits déjà commercialisés

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

en vigueur

Loi sur la sécurité de l’information, signalement à l’OFCS sous 24 heures

Neuf secteurs d’infrastructures critiques. Exemption sous 50 collaborateurs et sous 10 millions de francs de chiffre d’affaires pertinent

SANCTION

Jusqu’à CHF 100’000

02.08.2028

Règlement européen sur l’intelligence artificielle, IA intégrée à des produits réglementés

Dispositifs médicaux, machines, véhicules et autres produits de l’annexe I embarquant une IA classée à haut risque

SANCTION

Mêmes obligations que les systèmes autonomes, articulées avec la réglementation produit applicable

01.10.2026

Loi sur la transparence des personnes morales, registre TranspaReg

SA, Sàrl, sociétés en commandite par actions, coopératives, SICAV et SICAF, et personnes morales étrangères ayant une succursale, une administration effective ou un immeuble en Suisse

SANCTION

Jusqu’à CHF 500’000, à la charge de la personne physique responsable de l’annonce

02.12.2027

Règlement européen sur l’intelligence artificielle, systèmes à haut risque autonomes

Recrutement, crédit, éducation et autres usages classés à haut risque à l’annexe III

SANCTION

Obligations complètes de documentation technique, de supervision humaine et de gestion des risques

02.12.2026

Règlement européen sur l’intelligence artificielle, fin de la transition sur la transparence

Obligations de transparence exigibles depuis le 02.08.2026. Le 02.12.2026 est la fin du délai de marquage pour les systèmes mis sur le marché avant cette date. Entreprises suisses mettant un système à disposition sur le marché de l’UE, utilisant dans l’UE des résultats produits par une IA, ou agissant en importateur ou distributeur

SANCTION

Jusqu’à 35 M EUR ou 7 % du chiffre d’affaires mondial

11.12.2027

Cyber Resilience Act, gros des obligations

Exigences essentielles de cybersécurité, documentation technique, déclaration de conformité et marquage CE pour tout produit comportant des éléments numériques mis sur le marché de l’UE

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

11.09.2026

Cyber Resilience Act, obligations de signalement

Fabricants suisses de produits comportant des éléments numériques mis sur le marché de l’UE, y compris les produits déjà commercialisés

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

02.12.2026

Règlement européen sur l’intelligence artificielle, fin de la transition sur la transparence

Obligations de transparence exigibles depuis le 02.08.2026. Le 02.12.2026 est la fin du délai de marquage pour les systèmes mis sur le marché avant cette date. Entreprises suisses mettant un système à disposition sur le marché de l’UE, utilisant dans l’UE des résultats produits par une IA, ou agissant en importateur ou distributeur

SANCTION

Jusqu’à 35 M EUR ou 7 % du chiffre d’affaires mondial

02.12.2027

Règlement européen sur l’intelligence artificielle, systèmes à haut risque autonomes

Recrutement, crédit, éducation et autres usages classés à haut risque à l’annexe III

SANCTION

Obligations complètes de documentation technique, de supervision humaine et de gestion des risques

02.08.2028

Règlement européen sur l’intelligence artificielle, IA intégrée à des produits réglementés

Dispositifs médicaux, machines, véhicules et autres produits de l’annexe I embarquant une IA classée à haut risque

SANCTION

Mêmes obligations que les systèmes autonomes, articulées avec la réglementation produit applicable

01.10.2026

Loi sur la transparence des personnes morales, registre TranspaReg

SA, Sàrl, sociétés en commandite par actions, coopératives, SICAV et SICAF, et personnes morales étrangères ayant une succursale, une administration effective ou un immeuble en Suisse

SANCTION

Jusqu’à CHF 500’000, à la charge de la personne physique responsable de l’annonce

en vigueur

Loi sur la sécurité de l’information, signalement à l’OFCS sous 24 heures

Neuf secteurs d’infrastructures critiques. Exemption sous 50 collaborateurs et sous 10 millions de francs de chiffre d’affaires pertinent

SANCTION

Jusqu’à CHF 100’000

11.12.2027

Cyber Resilience Act, gros des obligations

Exigences essentielles de cybersécurité, documentation technique, déclaration de conformité et marquage CE pour tout produit comportant des éléments numériques mis sur le marché de l’UE

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

11.09.2026

Cyber Resilience Act, obligations de signalement

Fabricants suisses de produits comportant des éléments numériques mis sur le marché de l’UE, y compris les produits déjà commercialisés

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

01.10.2026

Loi sur la transparence des personnes morales, registre TranspaReg

SA, Sàrl, sociétés en commandite par actions, coopératives, SICAV et SICAF, et personnes morales étrangères ayant une succursale, une administration effective ou un immeuble en Suisse

SANCTION

Jusqu’à CHF 500’000, à la charge de la personne physique responsable de l’annonce

02.12.2026

Règlement européen sur l’intelligence artificielle, fin de la transition sur la transparence

Obligations de transparence exigibles depuis le 02.08.2026. Le 02.12.2026 est la fin du délai de marquage pour les systèmes mis sur le marché avant cette date. Entreprises suisses mettant un système à disposition sur le marché de l’UE, utilisant dans l’UE des résultats produits par une IA, ou agissant en importateur ou distributeur

SANCTION

Jusqu’à 35 M EUR ou 7 % du chiffre d’affaires mondial

en vigueur

Loi sur la sécurité de l’information, signalement à l’OFCS sous 24 heures

Neuf secteurs d’infrastructures critiques. Exemption sous 50 collaborateurs et sous 10 millions de francs de chiffre d’affaires pertinent

SANCTION

Jusqu’à CHF 100’000

02.12.2027

Règlement européen sur l’intelligence artificielle, systèmes à haut risque autonomes

Recrutement, crédit, éducation et autres usages classés à haut risque à l’annexe III

SANCTION

Obligations complètes de documentation technique, de supervision humaine et de gestion des risques

11.12.2027

Cyber Resilience Act, gros des obligations

Exigences essentielles de cybersécurité, documentation technique, déclaration de conformité et marquage CE pour tout produit comportant des éléments numériques mis sur le marché de l’UE

SANCTION

Jusqu’à 15 M EUR ou 2,5 % du chiffre d’affaires mondial

02.08.2028

Règlement européen sur l’intelligence artificielle, IA intégrée à des produits réglementés

Dispositifs médicaux, machines, véhicules et autres produits de l’annexe I embarquant une IA classée à haut risque

SANCTION

Mêmes obligations que les systèmes autonomes, articulées avec la réglementation produit applicable

Registre de transparence, la cascade des délais

Le registre entre en vigueur le 1er octobre 2026 mais l’obligation d’annonce ne tombe pas le même jour pour tout le monde. La date butoir dépend de la forme juridique et du régime de révision. C’est le point le plus mal documenté du texte, et celui qui fait manquer l’échéance.

CATÉGORIE D’ENTITÉ

DÉLAI DEPUIS L’ENTRÉE EN VIGUEUR

DATE BUTOIR

Personnes morales étrangères, inscription

1 mois

01.11.2026

Personnes morales étrangères, inscription

1 mois

01.11.2026

SA soumises au contrôle ordinaire

3 mois

01.01.2027

SA soumises au contrôle ordinaire

3 mois

01.01.2027

Autres entités soumises au contrôle ordinaire

4 mois

01.02.2027

Autres entités soumises au contrôle ordinaire

4 mois

01.02.2027

SA sans contrôle ordinaire

5 mois

01.03.2027

SA sans contrôle ordinaire

5 mois

01.03.2027

Autres entités, dont Sàrl sans révision

6 mois

01.04.2027

Autres entités, dont Sàrl sans révision

6 mois

01.04.2027

Entités dont tous les ayants droit économiques figurent déjà au registre du commerce

2 ans

01.10.2028

Entités dont tous les ayants droit économiques figurent déjà au registre du commerce

2 ans

01.10.2028

Sociétés nouvellement créées

1 mois après inscription au registre du commerce

permanent

Sociétés nouvellement créées

1 mois après inscription au registre du commerce

permanent

Trustees établis en Suisse

aucun délai transitoire

01.10.2026

Trustees établis en Suisse

aucun délai transitoire

01.10.2026

Ce que la loi demande réellement

L’annonce au registre est gratuite et prend quelques minutes. Ce n’est pas là que se situe la charge. Trois obligations pèsent bien plus lourd.

Identifier les personnes physiques détenant 25 % du capital ou des droits de vote, directement ou indirectement, ou exerçant le contrôle d’une autre manière, y compris par un droit de veto ou le pouvoir de nommer la majorité du conseil. À défaut d’identification, le membre dirigeant le plus haut placé devient ayant droit économique par défaut.

Recueillir, vérifier et documenter, puis conserver cette documentation dix ans après la fin de la qualité d’ayant droit économique.

Annoncer toute modification dans le mois, sans terme. Cette obligation ne s’éteint jamais.

Ce que la loi demande réellement

L’annonce au registre est gratuite et prend quelques minutes. Ce n’est pas là que se situe la charge. Trois obligations pèsent bien plus lourd.

Identifier les personnes physiques détenant 25 % du capital ou des droits de vote, directement ou indirectement, ou exerçant le contrôle d’une autre manière, y compris par un droit de veto ou le pouvoir de nommer la majorité du conseil. À défaut d’identification, le membre dirigeant le plus haut placé devient ayant droit économique par défaut.

Recueillir, vérifier et documenter, puis conserver cette documentation dix ans après la fin de la qualité d’ayant droit économique.

Annoncer toute modification dans le mois, sans terme. Cette obligation ne s’éteint jamais.

Le périmètre, honnêtement

Une structure de détention simple se traite sans conseil. Une holding étrangère, une convention d’actionnaires, un trust ou un droit de veto contractuel relèvent d’une analyse juridique, pas d’un formulaire. La responsabilité pénale visant la personne physique responsable de l’annonce, la question n’est pas administrative.

Un projet pilote gratuit est ouvert depuis le 16 juin 2026. Les données saisies pendant le pilote sont reprises directement dans le registre définitif et dispensent d’une nouvelle déclaration.

LSI · Cyber Resilience Act

Deux régulateurs, une seule chaîne de signalement

Une même situation peut déclencher plusieurs obligations de notification : par exemple une notification OFCS selon la LSI et une notification CRA via la Single Reporting Platform. PREVORN aide à orchestrer ces obligations sans les confondre.

T + 24 h

OFCS · LSI

Signalement initial à l’OFCS pour les infrastructures critiques, au titre de la LSI.

T + 24 h

CRA · notification initiale via SRP

Notification CRA via la Single Reporting Platform (SRP), à destination du CSIRT compétent, pour les événements concernés.

T + 72 h

CRA · notification complète via SRP

Notification complète sous 72 h : gravité, mesures correctives engagées et éléments requis par la procédure applicable.

T + 14 j

RAPPORT FINAL

Délai porté à un mois selon la nature de l’incident.

CADENCES LÉGALES, NON CONTRACTUELLES

Ce qui expose le dirigeant n’est pas l’incident lui-même. C’est l’incapacité, six mois plus tard, de prouver ce qui était su et à quelle heure. Un signalement tenu mais non documenté et un signalement manqué se ressemblent beaucoup dans un dossier d’audit.

Voir le module Compliance CRA →

Le périmètre, honnêtement

Une structure de détention simple se traite sans conseil. Une holding étrangère, une convention d’actionnaires, un trust ou un droit de veto contractuel relèvent d’une analyse juridique, pas d’un formulaire. La responsabilité pénale visant la personne physique responsable de l’annonce, la question n’est pas administrative.

Un projet pilote gratuit est ouvert depuis le 16 juin 2026. Les données saisies pendant le pilote sont reprises directement dans le registre définitif et dispensent d’une nouvelle déclaration.

ARTICLE 14

Deux régulateurs, une seule chaîne de signalement

Une même situation peut déclencher plusieurs obligations de notification : par exemple une notification OFCS selon la LSI et une notification CRA via la Single Reporting Platform. PREVORN aide à orchestrer ces obligations sans les confondre.

T + 24 h

OFCS · LSI

Signalement initial à l’OFCS pour les infrastructures critiques, au titre de la LSI.

T + 24 h

CRA · notification initiale via SRP

Notification CRA via la Single Reporting Platform (SRP), à destination du CSIRT compétent, pour les événements concernés.

T + 72 h

CRA · notification complète via SRP

Notification complète sous 72 h : gravité, mesures correctives engagées et éléments requis par la procédure applicable.

T + 14 j

RAPPORT FINAL

Délai porté à un mois selon la nature de l’incident.

CADENCES LÉGALES, NON CONTRACTUELLES

Ce qui expose le dirigeant n’est pas l’incident lui-même. C’est l’incapacité, six mois plus tard, de prouver ce qui était su et à quelle heure. Un signalement tenu mais non documenté et un signalement manqué se ressemblent beaucoup dans un dossier d’audit.

Voir le module Compliance CRA →

Transparence des systèmes d’IA

Depuis le 2 août 2026, un système conversationnel doit indiquer explicitement à l’utilisateur qu’il échange avec une intelligence artificielle, et les contenus générés doivent porter un marquage visible ou technique. Les systèmes mis sur le marché avant août 2026 disposent d’une transition jusqu’au 2 décembre 2026.

Une entreprise suisse peut entrer dans le champ du règlement notamment lorsqu’elle met un système d’IA ou un modèle concerné sur le marché de l’Union, lorsqu’elle agit dans la chaîne d’importation ou de distribution, ou lorsque la sortie produite par son système d’IA est utilisée dans l’Union. Le rôle exact de l’organisation doit être qualifié avant de déterminer ses obligations.

Voir le module Gouvernance IA →

Voir le module Gouvernance IA →

Sources officielles

Sources officielles

Registre suisse de transparence, Office fédéral de la justice, transpareg.admin.ch

Obligation de signaler les cyberattaques, Office fédéral de la cybersécurité, ncsc.admin.ch

Cyber Resilience Act, Commission européenne, digital-strategy.ec.europa.eu

Règlement européen sur l’intelligence artificielle, Commission européenne, digital-strategy.ec.europa.eu

Cette page cite des obligations légales et des dates. Elle ne constitue pas un conseil juridique. En cas de doute sur votre situation, la source fait foi, pas cette page.

Tenir un délai est une chose. Le prouver en est une autre.

PREVORN transforme ces obligations en contrôles continus, et chaque contrôle en preuve horodatée et vérifiable.

Demander une démonstration

Demander une démonstration

Voir toute la plateforme →

Voir toute la plateforme →

Dernière vérification : 23.09.2026, calendrier de l’AI Act revu après le règlement (UE) 2026/1744. Les délais transitoires du registre de transparence sont susceptibles de précision par l’ordonnance d’exécution. Cette page est mise à jour à chaque changement de source.