24 Heures Pour Signaler, Sans Répétition Générale

Un Délai Qui N'Attend Pas Son Propre Outil

Dès le 11 septembre 2026, tout fabricant qui vend dans l'UE un produit comportant des éléments numériques doit signaler une vulnérabilité activement exploitée dans les 24 heures suivant sa prise de connaissance, en vertu de l'article 14 du Cyber Resilience Act. Les propres lignes directrices de la Commission européenne, publiées en mars 2026, fixent le seuil de la prise de connaissance à un degré raisonnable de certitude que l'exploitation est en cours, et non à une enquête forensique achevée. Une enquête encore ouverte ne constitue, selon les propres termes de la Commission, en principe aucune excuse pour un délai de 24 heures manqué.

L'unique canal de signalement, la Single Reporting Platform de l'ENISA, ne devient pleinement opérationnel que le jour même où l'obligation entre en vigueur. Au 29 juin 2026, la plateforme n'était pas encore active, selon le suivi de conformité cyberresilienceact.eu, et la foire aux questions de l'ENISA sur cet outil décrit des tests utilisateurs et de sécurité menés avant le lancement, avec de nouvelles révisions et de nouveaux tests prévus si nécessaire par la suite. Un délai légal sans aucune marge rencontre, le jour même, un outil de signalement sans aucun historique de trafic réel d'incidents.

La Couverture Dépasse Largement Un Nouveau Lancement

L'obligation va bien au-delà du matériel tout juste certifié dans l'UE. L'analyse juridique de Crowell and Moring confirme que le Cyber Resilience Act s'applique aux fabricants situés à l'intérieur comme à l'extérieur de l'UE qui commercialisent des produits connectés sur le marché européen, et que les fabricants hors UE sont tout autant soumis au règlement, y compris à l'obligation de signalement de l'article 14. Cela inclut les fabricants britanniques qui exportent vers l'UE: la réglementation britannique sur la sécurité des produits suit sa propre voie, mais elle n'exempte pas de ce délai un routeur ou une caméra fabriqués au Royaume-Uni et vendus à un client de l'UE. L'obligation ne se soucie pas non plus de l'ancienneté du produit, seulement de savoir s'il est encore vendu aujourd'hui à un acheteur européen.

La catégorie couverte est délibérément large: appareils domestiques connectés, systèmes de contrôle industriel, systèmes d'exploitation, routeurs, pare-feux, gestionnaires de mots de passe, logiciels VPN, objets connectés avec suivi de santé et passerelles de compteurs intelligents comptent tous comme des produits avec éléments numériques. Les produits régis par une réglementation sectorielle, comme les dispositifs médicaux, les équipements aéronautiques et les véhicules à moteur, en sont exclus car ils répondent déjà à leurs propres régimes de signalement, tout comme les logiciels open source fournis hors cadre commercial, le SaaS autonome et les produits construits uniquement pour la défense nationale. Tout le reste qui se connecte à un réseau et atteint un client de l'UE entre dans le champ d'application, que le fabricant soit basé à Munich ou dans le Michigan.

L'Horloge, En Heures Et En Euros

C'est le chiffre le plus élevé des deux qui s'applique, et les autorités disposent d'un second levier au-delà de l'amende: elles peuvent ordonner des mesures correctives, restreindre ou interdire la vente d'un produit non conforme, ou imposer directement un retrait du marché européen. Pour un fabricant réalisant des milliards de chiffre d'affaires dans l'UE, c'est la clause en pourcentage du chiffre d'affaires, et non le montant fixe en euros, qui fait vraiment mal.

Ce Qui Réduit Le Risque Avant Le 11 Septembre

Les recommandations de préparation de Crowell and Moring réduisent la liste avant l'échéance à quelques étapes concrètes: identifier le CSIRT national qui recevra les signalements du fabricant, mettre en place une surveillance continue via des flux de renseignement sur les menaces et des bases de vulnérabilités, exiger contractuellement que les fournisseurs de composants en amont signalent les faiblesses connues et activement exploitées, et intégrer le calendrier du CRA dans les plans de réponse aux incidents déjà existants pour NIS2 et le RGPD, afin que les équipes cybersécurité, juridique, produit et communication sachent déjà qui a autorité pour signaler. Tenir a jour une nomenclature logicielle figure sur la même liste, car un fabricant incapable de savoir quel produit utilise quel composant ne peut pas évaluer son exposition en 24 heures. En France, le CSIRT national de référence est le CERT-FR, opéré par l'ANSSI.

Un détail se cache sous tous ces conseils et récompense ceux qui agissent tôt plutôt que le jour même de l'échéance. Les lignes directrices de l'ENISA, publiées le 14 août 2026, limitent les comptes non vérifiés sur la Single Reporting Platform à 10 notifications, et la vérification d'un compte n'est pas instantanée. Un fabricant qui repousse son inscription jusqu'à son premier incident réel fait d'un portail web neuf, non vérifié et dépourvu d'API, l'unique canal pour un délai de 24 heures juridiquement contraignant. S'inscrire et verifier le compte des maintenant, quand il n'y a encore rien à signaler, est l'unique étape qui ne coûte rien et qui élimine un risque entièrement évitable.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: Le Prochain Jour Zéro de Chrome, Direction Bruxelles  |  L'UE évaluera elle-même l'IA de pointe