Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques commercialisés dans l’Union européenne doivent déclarer les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits.
Alors que l’essentiel du Cyber Resilience Act (règlement (UE) 2024/2847, ou CRA) ne s’appliquera qu’à partir du 11 décembre 2027, ces obligations de signalement sont donc obligatoires dès maintenant.
Quels sont les produits et services concernés par le CRA ?
Le champ d’application du CRA est très large. Il s’applique à l’ensemble des « produits comportant des éléments numériques » mis sur le marché de l’Union européenne.
Quelques exemples, sans que la liste soit exhaustive :
- Logiciels autonomes et applications : systèmes d’exploitation, logiciels applicatifs, applications mobiles, gestionnaires de mots de passe, navigateurs web, etc.
- Matériels et composants embarqués : microprocesseurs, microcontrôleurs, cartes à puce, systèmes embarqués.
- Équipements réseau : routeurs, commutateurs (switches), modems, pare-feu (firewalls), VPN, systèmes d’accès à distance.
- Objets connectés (IoT) & grand public : caméras de sécurité, serrures connectées, appareils domotiques, montres connectées, jouets interactifs avec caméra/micro/géolocalisation.
- Systèmes industriels, tels que les systèmes de contrôle industriel (ICS, SCADA).
- Les solutions de traitement de données à distance intégrées à un produit ou indispensables à son fonctionnement.
Le CRA ne s’applique pas aux produits déjà encadrés par d’autres réglementations aux exigences équivalentes, tels que :
- Les dispositifs médicaux ;
- Les équipements de l’aviation civile et de l’automobile ;
- Les produits développés exclusivement à des fins de défense ou de sécurité nationale ;
- Les logiciels open source à but non lucratif sauf s’ils sont intégrés dans un produit marchand.
CRA : ce qui change au 11 septembre
À partir du 11 septembre 2026, deux catégories d’événements doivent être signalés aux autorités :
- Les vulnérabilités activement exploitées contenues dans un produit, c’est-à-dire celles pour lesquelles il existe des preuves fiables qu’un acteur malveillant les a exploitées.
- Les incidents graves ayant un impact sur la sécurité du produit.
Le calendrier de notification est serré et se déroule en trois temps.
- Lorsqu’un fabricant prend connaissance d’une vulnérabilité activement exploitée ou d’un incident grave, il doit transmettre une alerte précoce dans un délai maximal de 24 heures.
- Une notification plus complète doit suivre dans les 72 heures. Elle comporte notamment les informations disponibles sur la nature de l’événement, son évaluation initiale ainsi que les mesures correctives ou d’atténuation déjà prises ou recommandées aux utilisateurs.
- Pour une vulnérabilité activement exploitée, un rapport final doit être fourni au plus tard 14 jours après la mise en œuvre d’une mesure corrective. Pour un incident grave, le rapport décrivant les modalités pour le résoudre doit être transmis dans le mois.
Les signalements sont effectués via la CRA Single Reporting Platform, opérée par l’ENISA et reliée aux CSIRT nationaux.
Le non-respect des obligations prévues à l’article 14 peut exposer les entreprises à des amendes administratives pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
L’impact opérationnel : détecter, qualifier et escalader
La difficulté n’est pas tant réglementaire qu’organisationnelle. On ne peut signaler que ce que l’on est capable de détecter, et de détecter vite. Cela suppose donc de disposer de plusieurs briques :
- Un inventaire précis des produits, de leurs composants et de leurs versions. Sans cartographie fiable de ce qui est déployé et de ce qui compose chaque produit, il est impossible de déterminer en quelques heures si une vulnérabilité vous concerne.
- Une capacité de qualification rapide des incidents : distinguer une vulnérabilité théorique d’une vulnérabilité réellement exploitée et apprécier la gravité d’un incident. Cette qualification conditionne le déclenchement, ou non, de l’obligation.
- Une chaîne d’escalade clairement établie : qui détecte, qui analyse, qui décide de notifier et qui transmet les informations ? Avec des délais de 24 et 72 heures, ces responsabilités doivent être définies avant qu’un incident ne survienne. Par ailleurs, il faut aussi tenir compte des autres obligations susceptibles de s’appliquer en parallèle, notamment NIS2 ou le RGPD selon la nature de l’incident.
Outiller la gestion continue de l’exposition aux vulnérabilités
Au-delà de la conformité règlementaire, cette obligation met surtout en évidence une difficulté opérationnelle à l’heure où le nombre de vulnérabilités explose : il est impossible d’évaluer rapidement l’impact d’une vulnérabilité sans savoir précisément quels actifs, logiciels et composants sont concernés.
Concrètement, cela plaide pour la mise en place de solutions capables de :
- Cartographier les actifs numériques (produits, composants, versions) de façon continue et fiable, pour savoir instantanément ce qui est exposé.
- Surveiller les CVE et corréler en temps réel les vulnérabilités publiées avec des actifs numériques utilisés et déployés.
- Prioriser la remédiation des vulnérabilités selon la criticité métier, pour concentrer l’effort là où le risque est le plus élevé plutôt que de traiter toutes les alertes.
- Automatiser le patch management, lorsque le contexte opérationnel le permet, pour raccourcir le délai entre la détection d’une vulnérabilité et sa correction. Ce même délai qui, désormais, déclenche l’obligation de rapport final.
Le CRA ne crée pas seulement une nouvelle obligation. Il accélère la transition d’une gestion réactive des vulnérabilités à une gestion continue de l’exposition aux vulnérabilités.