À partir du 11 septembre 2026, la prise de connaissance d’une vulnérabilité activement exploitée dans un produit numérique ne déclenchera plus uniquement une course technique vers le correctif. Pour les fabricants concernés, elle pourra également faire démarrer un compte à rebours réglementaire particulièrement court : une première alerte devra être transmise dans les 24 heures.

Cette nouvelle obligation est issue du Cyber Resilience Act, ou CRA, le règlement européen destiné à renforcer la sécurité des produits comportant des éléments numériques.

En avril 2025 dans le cadre de ses travaux législatifs, la commission européenne à lancée une consultation, préalable à la révision du règlement sur la cybersécurité (Cyber Security Act ou CSA) un texte adopté en 2019 par le parlement. A l'origine, ce règlement adoptait un mandat permanent pour l'ENISA, l'agence de l'Union européenne pour la cybersécurité.