Le Cyber Resilience Act (règlement (UE) 2024/2847) a longtemps été présenté comme un texte à horizon 2027. Depuis le 11 septembre 2026, une partie de ses obligations s’applique pourtant déjà : les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves qui touchent la sécurité de leurs produits, dans des délais très courts et selon une procédure européenne commune. Voici ce que cela change concrètement, et ce qu’il reste à préparer d’ici le 11 décembre 2027.
Qui est concerné par le CRA ?
Le règlement s’applique à tous les produits comportant des éléments numériques mis à disposition sur le marché européen, matériels comme logiciels, dès lors qu’ils peuvent être connectés directement ou indirectement à un appareil ou à un réseau. Les objets connectés, les logiciels installés sur un poste, les applications mobiles ou les équipements réseau entrent dans son champ, y compris lorsqu’ils étaient déjà commercialisés avant l’entrée en vigueur du texte.
Les obligations pèsent d’abord sur les fabricants, c’est-à-dire les organisations qui conçoivent ou font concevoir un produit et le commercialisent sous leur nom ou leur marque. Les importateurs et les distributeurs ont aussi des devoirs de vérification. Certains secteurs déjà couverts par une réglementation spécifique, comme les dispositifs médicaux ou l’aéronautique, en sont exclus, et les services fournis à distance relèvent plutôt de la directive NIS2.
Ce qui s’applique depuis le 11 septembre 2026
L’article 14 du règlement organise le signalement de deux types d’événements : les vulnérabilités activement exploitées, c’est-à-dire celles dont on sait qu’un acteur malveillant s’est servi, et les incidents graves ayant un impact sur la sécurité du produit. Dans les deux cas, le fabricant doit suivre un calendrier en plusieurs temps.
| Délai | Ce qui est attendu |
|---|---|
| 24 heures | Une alerte précoce, envoyée dès que le fabricant a connaissance de la vulnérabilité exploitée ou de l’incident. |
| 72 heures | Une notification complète, avec les informations disponibles sur la nature de la menace et les mesures prises ou envisagées. |
| 14 jours | Un rapport final sur la vulnérabilité, au plus tard quatorze jours après la mise à disposition d’un correctif ou d’une mesure d’atténuation. |
| 1 mois | Un rapport final pour un incident grave, dans le mois qui suit la notification. |
Ces signalements passent par une plateforme unique gérée par l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, qui les transmet au CSIRT désigné comme coordinateur dans chaque État membre concerné. Le fabricant doit aussi informer les utilisateurs touchés et, le cas échéant, leur indiquer les mesures à prendre pour se protéger.
Un point souvent sous-estimé : le délai de 24 heures court à partir du moment où le fabricant a connaissance de l’exploitation. Pour le tenir, il faut que l’information remonte vite des équipes techniques jusqu’aux personnes habilitées à déclarer, et que ces personnes puissent se coordonner même si une partie du système d’information est touchée.
Ce qu’il reste à préparer d’ici décembre 2027
Le 11 décembre 2027, l’ensemble du règlement deviendra applicable. Les fabricants devront alors démontrer que leurs produits respectent les exigences essentielles de cybersécurité de l’annexe I, qui couvrent à la fois la conception du produit et la gestion de ses vulnérabilités tout au long de sa vie. Concrètement, cela suppose de livrer des produits sans vulnérabilité exploitable connue, configurés de manière sécurisée par défaut, de tenir à jour une nomenclature des composants logiciels, de fournir des mises à jour de sécurité pendant une période de support d’au moins cinq ans en règle générale, et de documenter tout cela dans un dossier technique.
Chaque produit devra faire l’objet d’une évaluation de conformité avant d’obtenir le marquage CE. Pour la plupart d’entre eux, une auto-évaluation suffira, mais les produits classés « importants » ou « critiques », comme certains systèmes d’exploitation, gestionnaires de mots de passe ou pare-feu, passeront par des procédures plus exigeantes, parfois avec un organisme notifié.
Les sanctions prévues sont dissuasives. Le non-respect des exigences essentielles ou des obligations de signalement peut coûter jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Organiser le signalement sans dépendre d’un système d’information compromis
Un incident grave touche rarement le produit seul. Lorsque l’attaque atteint aussi la messagerie, l’annuaire ou les outils de visioconférence de l’organisation, la cellule chargée de préparer l’alerte précoce se retrouve à improviser sur des messageries personnelles, sans traçabilité et sans certitude que l’attaquant ne lit pas les échanges. Le CRA rejoint ici NIS2 et DORA, qui imposent eux aussi des délais de 24 ou 72 heures et attendent des organisations qu’elles puissent documenter leurs décisions.
Whaller RESILIENCE a été conçu pour ce scénario. Préparée en temps calme et indépendante de votre système d’information, la plateforme réunit la cellule de crise dans des sphères réservées aux personnes habilitées, avec la messagerie, la visioconférence et la coédition des documents. Les fiches réflexes, l’annuaire de crise et les trames de notification peuvent y être déposés à l’avance, et chaque décision reste horodatée, ce qui facilite la rédaction des rapports finaux attendus par les autorités.
Pour les échanges les plus sensibles, comme l’analyse d’une vulnérabilité non encore corrigée, Whaller DONJON offre un environnement qualifié SecNumCloud 3.2 par l’ANSSI, dans lequel les équipes de développement, de sécurité et de direction peuvent travailler ensemble sans exposer ces informations à des législations extraterritoriales.
Préparer votre cellule de crise avec Whaller RESILIENCE
Pour aller plus loin
- eBook : cyber-résilience et collaboration, comprendre les enjeux au-delà du CRA
- Communication de crise cyber : sécurisez d’abord le canal
- NIS2 et SecNumCloud : renforcer votre cybersécurité avec Whaller
- Commission européenne : des produits numériques plus sûrs (11 septembre 2026)
0 commentaires