Cyber Resilience Act : êtes-vous prêt pour la première échéance du 11 septembre 2026 ?

En résumé

Le règlement européen Cyber Resilience Act, ou CRA, est généralement associé à la date du 11 décembre 2027, à partir de laquelle s'appliqueront l'essentiel de ses exigences relatives à la cybersécurité des produits, à la gestion des vulnérabilités, à la documentation technique et à l'évaluation de conformité.

Pourtant, une première série d'obligations entrera en application bien plus tôt.

Dès le 11 septembre 2026, les fabricants devront notifier :

Ces notifications devront être réalisées au moyen de la Single Reporting Platform, plateforme européenne mise en place par l'ENISA, selon un calendrier particulièrement contraint : première alerte sous 24 heures, notification détaillée sous 72 heures, puis rapport final.

Le CRA, en bref

Le Cyber Resilience Act, officiellement le règlement (UE) 2024/2847, établit des exigences horizontales de cybersécurité applicables aux produits comportant des éléments numériques mis à disposition sur le marché de l'Union européenne.

Le CRA entend ainsi intégrer la cybersécurité à l'ensemble du cycle de vie du produit, depuis sa conception jusqu'à la fin de sa période de support. Les fabricants devront notamment évaluer les risques de cybersécurité, corriger les vulnérabilités, fournir des mises à jour de sécurité et démontrer la conformité du produit aux exigences essentielles du règlement.

L'essentiel de ces obligations s'appliquera à partir du 11 décembre 2027. Toutefois, l'article 14 du règlement, consacré au signalement des vulnérabilités activement exploitées et des incidents graves, sera applicable dès le 11 septembre 2026.

Qui est concerné par l'échéance du 11 septembre 2026 ?

L'obligation de notification repose principalement sur le fabricant, c'est-à-dire l'entité qui développe ou fait développer un produit comportant des éléments numériques et le commercialise sous son propre nom ou sa propre marque.

Elle concerne donc aussi bien les fabricants d'équipements matériels que les éditeurs de logiciels. Un logiciel d'entreprise, une application mobile, un progiciel, un automate industriel, une passerelle réseau ou un objet connecté peuvent ainsi entrer dans le périmètre du règlement.

Les gestionnaires de logiciels open source, désignés par le règlement comme des open-source software stewards, sont également soumis à des obligations de signalement lorsqu'ils apportent un soutien durable au développement de produits comportant des éléments numériques destinés à des activités commerciales.

Contrairement à certains dispositifs réglementaires fondés sur des seuils d'effectifs ou de chiffre d'affaires, l'obligation de notification du CRA ne doit pas être écartée au seul motif que le fabricant est une petite structure. Les PME et les jeunes entreprises commercialisant des produits numériques doivent donc elles aussi anticiper cette échéance.

Les importateurs et distributeurs ne portent pas, en principe, la même obligation de notification que le fabricant. Ils doivent néanmoins être intégrés au dispositif, notamment parce qu'ils peuvent être les premiers à recevoir un signalement d'un client ou à identifier un comportement anormal affectant un produit.

Les produits déjà commercialisés sont-ils concernés ?

Oui. Cette première obligation ne concerne pas uniquement les produits qui seront mis sur le marché après le 11 septembre 2026.

Les exigences de notification de l'article 14 s'appliquent également aux produits déjà mis sur le marché avant l'application générale du CRA, y compris lorsque leur commercialisation est antérieure au 11 décembre 2027. Cette disposition est particulièrement importante pour les fabricants disposant d'un catalogue historique, de versions encore utilisées chez leurs clients ou de produits arrivés en fin de support mais toujours présents sur le marché.

Qu'est-ce qu'une vulnérabilité activement exploitée ?

Toutes les vulnérabilités ne doivent pas être notifiées au titre de l'article 14.

Une vulnérabilité est considérée comme activement exploitée lorsqu'il existe des éléments fiables démontrant qu'un acteur malveillant l'a effectivement exploitée dans un système sans l'autorisation de son propriétaire.

Plusieurs signaux peuvent révéler une exploitation active :

L'enjeu réside donc dans la capacité du fabricant à distinguer rapidement une vulnérabilité théorique d'une vulnérabilité effectivement exploitée. Cela nécessite une coopération fluide entre les équipes :

Comment qualifier un incident grave ?

Le second événement devant être notifié est l'incident grave ayant un impact sur la sécurité du produit.

Il peut s'agir d'un incident affectant directement le produit, mais également d'une compromission de l'environnement de développement, d'une infrastructure de distribution, d'une chaîne de production ou d'un service nécessaire au fonctionnement sécurisé du produit.

Le CRA rattache cette gravité à l'impact réel ou potentiel de l'incident sur la capacité du produit à protéger la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données et des fonctions.

Pour faciliter la qualification, les organisations peuvent se poser les questions suivantes :

Le règlement ne fournit toutefois pas un processus opérationnel complet de qualification. Chaque fabricant doit donc traduire ces critères dans ses procédures internes et définir les acteurs habilités à prendre la décision de notifier.

Trois délais à intégrer dans les procédures de réponse

Le signalement suit une séquence en trois temps. Les délais commencent à courir à partir du moment où le fabricant prend connaissance de la vulnérabilité activement exploitée ou de l'incident grave.

24 hL'alerte précoce

Le fabricant doit transmettre une première notification dans les 24 heures suivant la prise de connaissance de l'événement.

Cette notification initiale doit permettre aux autorités de comprendre rapidement la nature générale de la situation. Elle peut notamment préciser les États membres dans lesquels le produit a été mis à disposition et, pour un incident grave, indiquer si celui-ci semble résulter d'un acte illicite ou malveillant.

Le délai de 24 heures impose de ne pas attendre la fin de l'investigation technique. L'objectif est d'alerter rapidement, même si toutes les informations ne sont pas encore disponibles.

72 hLa notification détaillée

Une notification plus complète doit ensuite être transmise dans les 72 heures suivant la prise de connaissance.

Pour une vulnérabilité activement exploitée, elle doit notamment fournir les informations disponibles sur :

• Le produit concerné
• La nature de la vulnérabilité et de son exploitation
• Les mesures correctives ou d'atténuation déjà prises
• Les actions pouvant être engagées par les utilisateurs
• Le niveau de sensibilité des informations transmises

Pour un incident grave, la notification doit comprendre une première évaluation de l'incident, de sa gravité, de son impact et, lorsque cela est possible, des indicateurs de compromission.

FinalLe rapport final

Pour une vulnérabilité activement exploitée, le rapport final doit être transmis au plus tard 14 jours après la mise à disposition d'une mesure corrective ou d'atténuation. Il doit notamment décrire la vulnérabilité, sa gravité, son impact, les informations disponibles sur son exploitation ainsi que les mises à jour de sécurité ou mesures correctives proposées.

Pour un incident grave, le rapport final doit être transmis dans un délai d'un mois. Il présente notamment l'incident, ses causes profondes, les mesures d'atténuation appliquées et les actions engagées pour éviter sa réapparition.

Une plateforme européenne unique de notification

Les signalements seront réalisés au moyen de la Single Reporting Platform (SRP), développée et opérée par l'ENISA.

Cette plateforme agit comme un point d'entrée unique. La notification est adressée au CSIRT désigné comme coordinateur dans l'État membre où le fabricant dispose de son établissement principal et, sauf circonstances exceptionnelles, les informations sont simultanément mises à disposition de l'ENISA. Le CSIRT coordinateur peut ensuite transmettre le signalement aux autres CSIRT des États membres dans lesquels le produit a été mis à disposition.

La plateforme doit être opérationnelle le 11 septembre 2026. L'ENISA a déjà publié des ressources concernant l'enregistrement des représentants autorisés, le dépôt et la mise à jour des notifications ainsi que les principales fonctions de l'interface. Elle recommande aux organisations de consulter régulièrement les dernières versions de ses instructions, celles-ci étant susceptibles d'évoluer avant la mise en service.

La SRP simplifiera la transmission aux autorités, mais elle ne résoudra pas les difficultés internes de détection, de qualification et de collecte des informations. Le principal défi restera donc organisationnel.

Les points clés à retenir

Sources

• Règlement (UE) 2024/2847 — Cyber Resilience Act (EUR-Lex)
• ENISA — Single Reporting Platform (SRP)