À partir du 11 septembre 2026, la prise de connaissance d’une vulnérabilité activement exploitée dans un produit numérique ne déclenchera plus uniquement une course technique vers le correctif. Pour les fabricants concernés, elle pourra également faire démarrer un compte à rebours réglementaire particulièrement court : une première alerte devra être transmise dans les 24 heures.

Cette nouvelle obligation est issue du Cyber Resilience Act, ou CRA, le règlement européen destiné à renforcer la sécurité des produits comportant des éléments numériques.

Son entrée en application complète est prévue pour décembre 2027. Pourtant, une partie importante du texte devient applicable dès cette année. À compter du 11 septembre 2026, les fabricants devront être capables de déclarer certaines vulnérabilités et certains incidents de sécurité alors même que leurs investigations seront encore en cours.

Pour les entreprises concernées, le véritable défi ne consistera donc pas seulement à connaître le texte. Il faudra parvenir à qualifier un événement, rassembler les premières informations utiles et transmettre une première alerte au plus tard dans les 24 heures.

Sécuriser les produits pendant toute leur durée de vie

Le Cyber Resilience Act part d’un constat relativement simple : Les produits numériques sont désormais présents dans presque tous les secteurs, mais leur niveau de sécurité reste extrêmement variable.

Un logiciel peut contenir une dépendance vulnérable. Un objet connecté peut être commercialisé avec une configuration insuffisamment sécurisée. Un équipement peut continuer à fonctionner pendant plusieurs années alors que son fabricant ne fournit plus de correctifs. Dans chacun de ces cas, une faiblesse isolée peut devenir un point d’entrée vers un réseau beaucoup plus large.

Le règlement européen cherche ainsi à intégrer la cybersécurité dans l’ensemble du cycle de vie du produit, depuis sa conception jusqu’à la fin de sa période de support. L’objectif n’est plus seulement de corriger les failles lorsqu’elles deviennent publiques, mais de prévoir leur détection, leur traitement et leur communication dès le développement du produit.

Le CRA concerne les produits comportant des éléments numériques mis à disposition sur le marché européen. Cette notion englobe de nombreux logiciels et matériels capables de se connecter directement ou indirectement à un appareil ou à un réseau. Des applications, équipements connectés, systèmes d’exploitation, composants logiciels ou dispositifs de sécurité peuvent notamment entrer dans son champ d’application.

Certaines solutions de traitement de données à distance peuvent également être concernées lorsqu’elles sont indispensables au fonctionnement du produit. À l’inverse, toutes les prestations numériques et tous les services en ligne ne relèvent pas automatiquement du CRA. L’analyse doit être réalisée en fonction du produit, de son usage et de la manière dont il est commercialisé.

Le 11 septembre 2026, une première échéance concrète

La majorité des obligations du Cyber Resilience Act s’appliquera à partir du 11 décembre 2027. Les fabricants devront notamment respecter des exigences de cybersécurité lors de la conception, du développement et de la maintenance de leurs produits.

Cependant, les obligations de déclaration prévues par l’article 14 du règlement entreront en application dès le 11 septembre 2026.

À partir de cette date, un fabricant qui prendra connaissance d’une vulnérabilité activement exploitée affectant son produit devra transmettre une première alerte dans les 24 heures. La même obligation s’appliquera lorsqu’il aura connaissance d’un incident grave ayant un impact sur la sécurité du produit.

Une vulnérabilité est considérée comme activement exploitée lorsqu’il existe des éléments fiables montrant qu’un acteur malveillant l’a effectivement utilisée. La simple existence d’une faille ne suffit donc pas nécessairement à déclencher la déclaration. En revanche, l’observation d’indicateurs techniques démontrant son exploitation peut faire basculer immédiatement l’événement dans le champ du règlement.

Un incident est considéré comme grave lorsqu’il compromet, ou risque de compromettre, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes. Il peut également être qualifié de grave lorsqu’il conduit, ou risque de conduire, à l’introduction ou à l’exécution d’un code malveillant dans le produit ou dans le réseau et le système d’information d’un utilisateur.

Dans les deux cas, la rapidité de la qualification devient essentielle.

Une déclaration en plusieurs étapes

Le CRA tient compte du fait qu’une entreprise ne peut généralement pas comprendre l’intégralité d’une attaque en quelques heures. La déclaration est donc organisée de manière progressive.

La première alerte, attendue dans les 24 heures, doit permettre de signaler rapidement l’existence de l’événement. À ce stade, les causes exactes, le nombre de produits touchés ou l’identité de l’attaquant peuvent encore être inconnus.

Une notification plus complète doit ensuite être transmise au plus tard 72 heures après la prise de connaissance de la vulnérabilité ou de l’incident. Ce délai ne s’ajoute donc pas aux 24 heures de la première alerte. Elle doit présenter les informations disponibles sur la vulnérabilité ou l’incident, les versions concernées, les conséquences observées et les premières mesures prises par le fabricant.

Pour une vulnérabilité activement exploitée, un rapport final devra être remis au plus tard 14 jours après la mise à disposition d’une mesure corrective ou d’atténuation. Dans le cas d’un incident grave, ce rapport devra être transmis dans le mois suivant la notification effectuée à 72 heures.

Les déclarations seront réalisées par l’intermédiaire d’une plateforme unique mise en place et administrée par l’ENISA, l’Agence de l’Union européenne pour la cybersécurité. Le fabricant n’aura donc pas à multiplier les démarches dans chaque État membre où son produit est commercialisé.

Le délai de 24 heures ne signifie pas que l’entreprise doit disposer immédiatement d’un rapport d’expertise définitif. Il impose cependant qu’elle soit capable de reconnaître suffisamment tôt qu’un événement peut relever du CRA.

Le défi des premières 24 heures

Lorsqu’une attaque débute, les premières heures sont rarement ordonnées. Les équipes cherchent d’abord à comprendre ce qui se passe, à contenir l’événement et à empêcher sa propagation.

Une alerte peut provenir d’un client, d’un chercheur en sécurité, d’un prestataire ou d’un outil de surveillance. À ce stade, elle peut encore être imprécise. Il faut vérifier le produit concerné, reproduire le comportement observé et déterminer si la vulnérabilité a réellement été exploitée.

C’est précisément pendant cette période d’incertitude que le délai réglementaire peut commencer à courir.

La notion de prise de connaissance sera donc particulièrement importante. Une entreprise peut détecter une activité anormale le matin, confirmer une compromission quelques heures plus tard et comprendre seulement le lendemain que l’attaque repose sur une vulnérabilité de son produit.

La conservation d’une chronologie précise devient alors indispensable. L’heure de réception de l’alerte, les premières constatations, l’identification des versions concernées, la découverte des preuves d’exploitation et les décisions prises doivent pouvoir être reconstituées.

Cette traçabilité permettra de comprendre l’incident, mais aussi de démontrer la manière dont l’organisation a réagi.

Un sujet qui concerne également les assureurs

Même si les obligations principales du CRA concernent principalement les fabricants, leurs conséquences  intéresser directement les assureurs, les courtiers et les experts intervenant à la suite d’un sinistre cyber.

Lorsqu’un incident trouve son origine dans un logiciel ou un équipement vulnérable, l’analyse doit déterminer le rôle de chaque acteur. La faille était-elle connue ? Le produit était-il encore maintenu ? Un correctif existait-il ? Le fabricant avait-il connaissance d’une exploitation antérieure ? Le client avait-il appliqué les mesures recommandées ?

Les éléments techniques réunis pour préparer les notifications prévues par le CRA pourront également contribuer à l’expertise du sinistre. La chronologie de la détection, les preuves d’exploitation, les versions concernées et les mesures prises par le fabricant pourront éclairer l’analyse des faits et des responsabilités. Ce sont des pièces qu'un expert avisé devra solliciter. 

Elles ne remplaceront pas l’expertise, mais elles pourront devenir un élément supplémentaire dans l’analyse des faits, des responsabilités et des mesures prises.

Le règlement pourrait ainsi modifier progressivement la manière d’évaluer le risque associé aux éditeurs, aux fabricants et aux produits numériques intégrés au système d’information d’une entreprise.

Il requiert aussi une organisation préalable au sein des fabricants avant sa mise en oeuvre afin de pouvoir rapidement, préserver les preuves, identifier les produits concernés, retracer leur historique. Ainsi, le Cyber Resilience Act rappelle ainsi une réalité fondamentale de la cybersécurité : lorsqu’un incident survient, la qualité de la réponse dépend largement de la préparation en amont.