Cyber Resilience Act : signaler les failles exploitées, obligatoire depuis le 11 septembre
Les fabricants de produits numériques vendus en Europe doivent désormais signaler sous 24 heures toute faille activement exploitée. Qui est concerné, et comment s'y préparer.
Le 11 septembre 2026, une première obligation du Cyber Resilience Act, le règlement européen sur la cybersécurité des produits numériques, est entrée en application : les fabricants doivent signaler les failles activement exploitées et les incidents graves touchant leurs produits, dans des délais très courts. La plateforme de signalement de l'ENISA, l'agence européenne de cybersécurité, est opérationnelle depuis cette date. Si votre entreprise vend un produit qui contient du logiciel, vous êtes peut-être concerné sans le savoir.
Ce qui s'applique depuis le 11 septembre
Selon la Commission européenne, les fabricants de produits comportant des éléments numériques doivent signaler :
- les vulnérabilités activement exploitées dans leurs produits ;
- les incidents graves ayant un impact sur la sécurité de ces produits.
Les délais sont serrés :
- une alerte précoce sous 24 heures après en avoir pris connaissance ;
- une notification complète sous 72 heures ;
- un rapport final au plus tard 14 jours après la mise à disposition d'un correctif pour une faille exploitée, ou dans le mois suivant la notification pour un incident grave.
Tout passe par une plateforme unique, la Single Reporting Platform de l'ENISA. Le fabricant signale une fois ; l'information part vers l'équipe nationale de réponse aux incidents (le CSIRT) du pays de son établissement principal, et l'ENISA la reçoit en même temps. Le reste du règlement, notamment les exigences de sécurité dès la conception, s'appliquera à partir du 11 décembre 2027.
Qui est concerné
Concrètement, la première question est simple : votre entreprise met-elle sur le marché, sous son nom, quelque chose qui contient du logiciel et se connecte à un réseau ou à un autre appareil ? Si oui, lisez la suite attentivement.
Le règlement vise les « produits comportant des éléments numériques » : du matériel connecté comme du logiciel, mis sur le marché européen. Une PME est concernée si elle fabrique ou fait fabriquer sous son nom :
- une machine ou un équipement avec un logiciel embarqué et une connexion ;
- un objet connecté, un boîtier, un capteur ;
- un logiciel vendu comme produit (application, logiciel installable).
Les services en ligne relèvent en principe d'autres textes, comme la directive NIS 2, mais la frontière n'est pas toujours évidente pour un produit accompagné d'un service. En cas de doute, la Commission renvoie à ses lignes directrices et à sa foire aux questions.
Le vrai défi : savoir en 24 heures
Signaler en 24 heures suppose d'abord de savoir qu'une faille de votre produit est exploitée. Or un fabricant de machines ou d'équipements n'a pas toujours d'équipe de sécurité, et ses logiciels embarquent des composants tiers dont il ne suit pas les alertes. Le Cyber Resilience Act oblige donc à s'organiser :
- Connaître ses composants. La liste des bibliothèques et systèmes utilisés dans chaque produit, avec leurs versions. Sans elle, impossible de savoir si une faille publiée vous concerne.
- Surveiller les alertes de ces composants. Nous l'écrivions en août : les correctifs arrivent désormais à date fixe, chaque mois, chez beaucoup d'éditeurs (voir notre article sur les correctifs planifiés).
- Prévoir un canal de signalement : une adresse où un chercheur ou un client peut vous prévenir d'une faille, et une personne qui la lit.
- Désigner qui signale, et préparer les informations à fournir. Le jour d'un incident n'est pas le moment de découvrir la plateforme.
- Pouvoir corriger. Un produit dont le logiciel ne peut pas être mis à jour à distance ou sur site est un produit dont on ne pourra pas fournir le correctif exigé.
Et si vous n'êtes pas fabricant ?
Une PME qui achète des équipements connectés n'a pas d'obligation de signalement au titre de ce texte. Mais elle en profite : ses fournisseurs doivent désormais traiter les failles exploitées avec des délais précis. C'est un bon sujet à aborder lors du renouvellement d'un contrat : comment serez-vous prévenu d'une faille sur l'équipement, et comment recevrez-vous le correctif ?
Un lien direct avec le Data Act
Le 12 septembre, le lendemain, l'obligation d'accès aux données dès la conception du Data Act s'appliquait aussi aux nouveaux produits connectés, comme nous l'expliquions dans notre article d'août. Les deux textes vont dans le même sens : un produit connecté se conçoit désormais avec sa sécurité, sa capacité de mise à jour et l'accès à ses données, dès le départ.
Ce que nous faisons
Nous écrivons des logiciels qui pilotent du matériel : par exemple le logiciel complet d'une machine à effort, à partir de vérins importés sans logiciel utilisable. Sur ce type de projet, nous prévoyons dès la conception la liste des composants, la mise à jour du logiciel et la documentation remise au client. Nos projets matériels sont sur la page Sur mesure. Si vous fabriquez un produit connecté et que ces obligations vous inquiètent, prenons 30 minutes pour faire le point.