Cyber Resilience Act : le délai de 24 heures s’applique dès maintenant

Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques relevant du Cyber Resilience Act (CRA) doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits. L’alerte précoce doit partir dans les 24 heures suivant la prise de connaissance de l’événement, avant une notification complétée sous 72 heures ; le calendrier publié par l’autorité slovène de sécurité de l’information confirme ces échéances et leur application aux produits déjà présents sur le marché européen.

La déclaration s’effectue par la Single Reporting Platform (SRP), la plateforme unique administrée par l’Agence de l’Union européenne pour la cybersécurité (ENISA). Le fabricant n’a donc pas à attendre la fin de son enquête : dès que les informations disponibles permettent d’établir une exploitation active ou un incident répondant au seuil de gravité, le compte à rebours réglementaire commence.

Qui doit déclarer, et quel événement déclenche la procédure ?

L’obligation vise d’abord le fabricant, c’est-à-dire l’entité qui développe ou fait développer un produit comportant des éléments numériques et le commercialise sous son nom ou sa marque. Un importateur ou un distributeur assume aussi les obligations du fabricant s’il place le produit sur le marché sous son propre nom ou sa propre marque, ou s’il apporte une modification substantielle à un produit déjà commercialisé.

La qualification dépend de l’événement, non de la seule existence d’une faille. Selon les définitions et obligations du règlement (UE) 2024/2847, une vulnérabilité est « activement exploitée » lorsqu’il existe des preuves fiables de son exploitation par un acteur malveillant dans un système sans l’autorisation de son propriétaire. La découverte d’une vulnérabilité lors d’une recherche menée de bonne foi ne suffit donc pas, à elle seule, à déclencher cette notification obligatoire.

Un incident est grave lorsqu’il compromet, ou risque de compromettre, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes. Le seuil est également atteint si l’événement a conduit, ou risque de conduire, à l’introduction ou à l’exécution de code malveillant dans le produit ou dans les systèmes d’un utilisateur.

• Fabricant : déclaration obligatoire pour les produits placés sous sa responsabilité et relevant du CRA.
• Importateur ou distributeur assimilé : même obligation lorsqu’il vend sous son nom ou sa marque, ou réalise une modification substantielle.
• Autre personne physique ou morale : signalement volontaire possible, sans transfert de la responsabilité réglementaire du fabricant.
• Intendant de logiciels ouverts : son régime spécifique n’est pas encore entré dans la phase générale d’application prévue en décembre 2027.

Le calendrier 0–24–72 heures

Le point de départ est le moment où le fabricant prend connaissance de la vulnérabilité activement exploitée ou de l’incident grave. Il ne correspond ni à la publication de la faille, ni à la confirmation définitive de sa cause, ni à la disponibilité d’un correctif.

1. Heure 0 — prise de connaissance : consigner l’heure, identifier le produit concerné et conserver les éléments ayant conduit à qualifier l’événement. Cette trace permet de fixer le début du délai.
2. Avant 24 heures — alerte précoce : déclarer l’événement sans retard injustifié. Pour une vulnérabilité, l’alerte mentionne, le cas échéant, les États membres où le produit a été mis à disposition. Pour un incident grave, elle indique au minimum si une origine illicite ou malveillante est soupçonnée et, lorsqu’ils sont connus, les États membres concernés.
3. Avant 72 heures — notification : compléter les informations disponibles sur le produit, la vulnérabilité ou l’incident, l’évaluation initiale et les mesures correctives ou d’atténuation déjà prises ou proposées aux utilisateurs. Le fabricant peut préciser le degré de sensibilité attribué aux données transmises.

Le dossier reste évolutif après ces deux premières étapes. Pour une vulnérabilité activement exploitée, le rapport final est attendu au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation. Pour un incident grave, il est dû dans le mois suivant la notification de 72 heures et doit notamment couvrir la gravité, les répercussions, la cause probable et les mesures appliquées ou encore en cours.

Un seul dépôt dans la plateforme SRP

La SRP centralise le dépôt et dirige les informations vers les autorités compétentes. La page opérationnelle de l’ENISA consacrée à la SRP la présente comme l’outil développé, exploité et maintenu par l’agence pour recevoir, depuis le 11 septembre 2026, les notifications obligatoires des fabricants.

Le fabricant utilise le point de notification électronique du CSIRT coordinateur de l’État membre où se trouve son établissement principal dans l’Union. Il s’agit en principe du pays où sont principalement prises les décisions relatives à la cybersécurité de ses produits ; la notification est simultanément mise à la disposition de l’ENISA. Des règles de rattachement successives s’appliquent lorsqu’un fabricant ne possède pas d’établissement principal dans l’Union.

Pour ne pas perdre de temps entre l’identification de l’événement et l’alerte initiale, le dossier doit pouvoir réunir les éléments disponibles suivants :

• le produit concerné et, lorsqu’elles sont connues, les versions touchées ;
• la date et l’heure documentées de la prise de connaissance ;
• les preuves permettant de qualifier une exploitation active ou un incident grave ;
• les États membres où le produit a été mis à disposition, dans la mesure où cette information est connue ;
• la nature de l’exploitation ou de l’incident et sa première évaluation ;
• les correctifs et mesures d’atténuation adoptés ou proposés aux utilisateurs ;
• le degré de sensibilité attribué aux informations communiquées.

Les obligations générales restent fixées à décembre 2027

L’échéance de septembre 2026 ne constitue pas l’application intégrale du CRA. Elle concerne spécifiquement les obligations de signalement de l’article 14. Les principales exigences portant sur la conception sécurisée, la gestion des vulnérabilités pendant le cycle de vie et l’évaluation de conformité deviendront applicables le 11 décembre 2027.

À ce stade, le changement immédiatement opposable est donc procédural : le fabricant concerné doit ouvrir une déclaration dans la SRP sans attendre un diagnostic final, puis enrichir le dossier selon le calendrier prévu. La Commission devra ensuite évaluer l’efficacité de la plateforme et la diffusion des notifications, avec un premier rapport réglementaire attendu au plus tard le 11 septembre 2028.

À lire aussi:

• Le G7 presse les organisations d’inventorier leur cryptographie dès maintenant
• Accès cyber d’OpenAI : la passkey matérielle devient le vrai ticket d’entrée
• YouTube gonflera les vues dès la première image, pas les revenus