Une alerte sous 24 heures, puis un rapport sous 72 heures

Les fabricants de produits numériques devront signaler sous 24 heures les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. Le calendrier du Cyber Resilience Act commence à produire ses premiers effets concrets.

Obligation de signalement. Ce 11 septembre 2026 marque une étape importante. Les fabricants devront notifier toute vulnérabilité activement exploitée et incident grave. Une première alerte devra être transmise sans délai et au plus tard 24 heures après la prise de connaissance de l’événement. Une notification plus détaillée devra ensuite suivre dans les 72 heures, avec une première évaluation de la vulnérabilité ou de l’incident.

C’est un point hautement stratégique car en verrouillant ainsi la chaîne d’approvisionnement numérique, le Cyber Resilience Act contribue à réduire au maximum les tentatives d’intrusion, mouvements latéraux et autres escalades de privilèges exploitant les failles de ces produits.

Le CRA comporte deux exigences majeures. Un : intégrer la cybersécurité dès la phase de conception des produits numériques; on parle dans ce cas de « Security by Design ». Deux : avoir une communication beaucoup plus transparente et réactive en cas d’incident grave ou de vulnérabilité activement exploitée détectée.

« Fabricants », une notion large

Le périmètre est large : logiciels, matériels et leurs solutions de traitement de données à distance, dès lors qu’ils sont mis à disposition sur le marché de l’Union européenne dans le cadre d’une activité commerciale. L’obligation incombe au fabricant, soit l’entité qui développe ou fait développer le produit et le commercialise sous son propre nom.

Par « fabricants », il faut entendre les éditeurs de logiciels, les fabricants de matériels connectés, mais aussi les agences et les studios qui distribuent sous leur propre marque un produit qu’ils ont développé ou fait développer et les importateurs et les distributeurs qui apposent leur marque sur un produit ou le modifient avant de le remettre sur le marché. Le spectre est donc large.

Qui utile le produit ? Une vraie question…

Côté utilisateurs, l’obligation vise le fournisseur, pas l’entreprise qui exploite le produit. Un client peut en revanche exiger de son fabricant la mise à disposition des mises à jour de sécurité pendant toute la période d’assistance du produit.

Vingt-quatre heures suffisent pour remplir un formulaire. Mais cela devient un problème quand personne ne sait immédiatement quels clients utilisent encore le produit concerné, quelles versions circulent, qui en porte la responsabilité, ni si le composant vulnérable se retrouve dans trois autres offres du groupe.

La difficulté réelle tient donc à une chose simple : savoir précisément ce que l’entreprise vend, ce qu’elle maintient et qui décide quand un problème apparaît.