Signaler une faille exploitée en 24 heures devient obligatoire

À partir de demain, toute entreprise qui vend en Europe un produit comportant des éléments numériques doit signaler ses failles activement exploitées. Pas dans le mois, pas quand le correctif est prêt : une alerte précoce sous 24 heures. Le Cyber Resilience Act entre dans sa phase contraignante, et beaucoup de fabricants vont découvrir le texte en même temps que l’échéance.

Ce qu’il faut signaler, et en combien de temps

Deux catégories d’événements déclenchent l’obligation : une vulnérabilité activement exploitée, et un incident grave affectant la sécurité du produit. Le calendrier de signalement se déroule ensuite en trois temps. Sous 24 heures, une alerte précoce. Sous 72 heures, un rapport complet. Sous 14 jours, un rapport final. Le destinataire est l’ENISA, l’agence européenne de cybersécurité, qui redistribue ensuite aux équipes nationales, les CSIRT.

Qui est concerné, et c’est plus large qu’on ne croit

Toute organisation qui commercialise sur le marché européen un produit comportant des éléments numériques. Pas seulement les éditeurs de logiciels : la caméra de surveillance, la serrure connectée, le thermostat, le jouet qui parle, la voiture. Et le texte s’applique de façon rétroactive aux produits déjà mis sur le marché, ce qui veut dire qu’un objet vendu il y a trois ans et toujours en service entre dans le dispositif.

Trois catégories, deux régimes

Les produits courants relèvent de l’auto-évaluation : le fabricant déclare lui-même sa conformité. Les produits dits importants, parmi lesquels les navigateurs, les VPN et les gestionnaires de mots de passe, exigent une évaluation par un tiers. Même chose pour les produits critiques, comme les passerelles de compteurs intelligents et les systèmes à carte à puce. C’est cette gradation qui décidera du coût réel de la mise en conformité pour chaque fabricant.

Le détail qui va coincer dès demain

L’ouverture des comptes chez l’agence européenne est prévue pour le 11 septembre. Le même jour que l’entrée en vigueur. Autrement dit, un fabricant qui découvrirait demain matin une faille exploitée devra créer son compte, comprendre le formulaire et transmettre son alerte dans la même journée. On peut prévoir sans grand risque que les premiers signalements arriveront en retard, et que personne ne sera sanctionné pour cela, ce qui donne au dispositif un démarrage plus symbolique que réel.

Pourquoi ça vaut mieux que rien

Parce que le point de comparaison est le silence. Aujourd’hui, un fabricant qui découvre que son produit est attaqué n’a aucune obligation de le dire à qui que ce soit, et le calcul commercial penche presque toujours du même côté. Une obligation de signalement, même mal outillée au départ, crée une trace et un délai opposable. Elle donne aussi aux équipes nationales une vue d’ensemble qu’elles n’avaient pas, ce qui compte quand une même faille touche vingt marques qui utilisent le même composant. Nous en avions un bel exemple avec le millier de correctifs publié cette semaine (on en a parlé ICI), où l’absence d’avis sur une seule faille suffisait à laisser des administrateurs dans le noir.

Ce qui reste à voir

Beaucoup. Le texte n’atteindra sa pleine application qu’en décembre 2027, et l’essentiel des obligations de conception n’est pas encore exigible : demain ne concerne que le signalement. Le montant réel des sanctions et surtout la volonté de les appliquer restent inconnus, or une obligation sans contrôle ressemble vite à une recommandation, comme le montre le dossier de la réparabilité des téléphones. Enfin, personne ne sait ce que l’agence européenne fera d’un flux de signalements dont nul ne connaît le volume : le dispositif peut aussi bien créer une vraie visibilité que produire une base de données que personne n’a les moyens de lire. (Rendez-vous dans un an pour compter les signalements réellement déposés ! 🙂)

En bref

• Les obligations de signalement du Cyber Resilience Act entrent en vigueur le 11 septembre 2026.
• Deux déclencheurs : vulnérabilité activement exploitée, ou incident grave affectant la sécurité du produit.
• Trois délais : alerte précoce sous 24 heures, rapport complet sous 72 heures, rapport final sous 14 jours.
• Les signalements vont à l’ENISA, qui les redistribue aux CSIRT nationaux.
• Le texte vise tout produit comportant des éléments numériques vendu dans l’Union, y compris ceux déjà commercialisés.
• Navigateurs, VPN et gestionnaires de mots de passe relèvent d’une évaluation par un tiers.
• L’ouverture des comptes chez l’agence européenne n’intervient que le jour même de l’entrée en vigueur.
• L’application complète du règlement est attendue en décembre 2027.

Sources : texte du règlement européen sur la cyberrésilience, documentation de l’agence européenne de cybersécurité, Next.

Le Bien Heureux · Rédaction Capibara · Vendredi 11 septembre 2026