Dès le 11 septembre 2026, le Cyber Resilience Act imposera aux fabricants de signaler les failles et incidents graves touchant leurs objets connectés. Voici ce que ce règlement européen change concrètement pour vous.
La sécurité numérique change de dimension en France et en Europe. Qu'il s'agisse des téléphones portables, routeurs, jouets connectés ou gestionnaires de mots de passe, plus aucun produit numérique vendu dans l'Union européenne n'échappera, à partir du vendredi 11 septembre, aux nouvelles règles de cybersécurité imposées par Bruxelles. Le Cyber Resilience Act (CRA), dont l'application progressive a démarré cette année, prévoit un calendrier serré, des obligations de signalement inédites et des amendes pouvant grimper jusqu'à 15 millions d'euros. Une révolution silencieuse, peut-être, mais qui concerne autant les géants de la tech que les petits éditeurs de logiciels libres.
Le Cyber Resiliance Act, un règlement européen qui redéfinit la cybersécurité des objets connectés
Adopté par les institutions européennes, le règlement n°2024/2847, plus connu sous le nom de Cyber Resilience Act, commence à pas mal faire parler « dans le monde » de la sécurité informatique. Celui-ci a pour objectif d'imposer un socle commun de cybersécurité à tous les produits qui comporte des éléments numériques vendus dans l'Union. Fabricants, importateurs et distributeurs devront désormais penser sécurité dès la conception, et non plus seulement en cas de crise. Le fameux marquage CE, déjà familier, attestera bientôt aussi de cette conformité numérique. Quelques secteurs déjà réglementés par ailleurs (dispositifs médicaux, automobile, aviation civile, équipements marins, défense) restent hors du champ pour des raisons assez évidentes.
Concrètement, quatre catégories de produits sont concernées, avec un niveau d'exigence croissant. La grande majorité, comme les brosses à dents électriques, smartphones, ordinateurs, relève de la catégorie par défaut. Les produits jugés plus sensibles, comme les gestionnaires de mots de passe, les systèmes d'exploitation, les routeurs ou encore les objets domotiques, entrent dans les catégories dites « importantes », aux côtés des hyperviseurs et des pare-feux, encore plus surveillés. Tout en haut de l'échelle trônent les produits critiques, à savoir les modules matériels de sécurité, cartes à puce ou passerelles de compteurs intelligents.
L'entrée en application du CRA se fait par étapes, depuis juin 2026 et jusqu'en décembre 2027, de façon à laisser aux acteurs le temps de s'adapter. Depuis cette année, les organismes chargés d'évaluer la conformité des produits les plus sensibles peuvent être accrédités, un régime transitoire permettant même à certains d'évaluer un nombre limité de produits avant d'obtenir leur accréditation définitive. Le 11 septembre 2026 marque, lui, le lancement d'une obligation inédite, qui consiste à signaler les failles activement exploitées. C'est une vraie petite révolution. Et à partir de décembre 2027, plus aucun produit ne pourra être commercialisé sans respecter l'intégralité des règles. C'est dit !
Signaler une faille en 24 heures, le nouveau réflexe imposé aux fabricants
Dans le détail, dès le 11 septembre, une nouvelle plateforme va être lancée, la Single Reporting Platform, pilotée par l'ENISA, l'agence européenne de cybersécurité. Elle va centraliser en un seul endroit toutes les déclarations de vulnérabilités exploitées ou d'incidents graves, pour éviter aux fabricants de multiplier les démarches auprès de chaque pays. Un simple clic suffira, et en théorie, la déclaration suivra le chemin suivant : le CSIRT national reçoit l'alerte, la relaie sans délai vers les CSIRT des autres pays concernés, pendant que l'ENISA est informée en parallèle. La plateforme intègrera par ailleurs des mesures de confidentialité, et particuliers comme entreprises pourront aussi s'en servir pour signaler un problème de leur propre initiative.
Alors, qui est concerné par cette obligation ? Il y a les fabricants, bien sûr, mais aussi ceux qui procèdent à la maintenance de logiciels open source, dès lors qu'ils participent au développement d'un produit numérique commercialisé dans l'UE. Deux types d'événements peuvent d'ailleurs déclencher l'alerte, d'abord les vulnérabilités activement exploitées par des attaquants, et les incidents graves qui compromettent la disponibilité, l'authenticité, l'intégrité ou la confidentialité du produit. Autant dire que la vigilance devra désormais être permanente.
En ce qui concerne le calendrier de la déclaration, on a identifié trois phases. Dès qu'un fabricant découvre qu'une faille est activement exploitée par un attaquant, ou qu'un incident grave touche l'un de ses produits, il dispose de 24 heures pour envoyer une première alerte sommaire aux autorités. Il doit ensuite affiner son diagnostic sous 72 heures, avec une évaluation plus poussée de la situation.
Vient enfin le rapport final, qui clôt le dossier quatorze jours après la mise à disposition d'un correctif s'il s'agissait d'une vulnérabilité, ou un mois après la notification des 72 heures s'il s'agissait d'un incident. Certaines équipes de sécurité devront un peu sprinter, obligées de courir après la montre à chaque alerte. La seule soupape de sécurité, c'est que dans des circonstances bien particulières prévues par le règlement, la diffusion de ces informations peut être exceptionnellement retardée.
Contrôles, certifications et amendes : ce qui attend les mauvais élèves
Pour prouver que leurs produits respectent les exigences de cybersécurité fixées par le règlement, les fabricants ne sont pas tous logés à la même enseigne, selon la sensibilité de leur produit. Pour les catégories les moins exposées, une simple autoévaluation par le fabricant lui-même suffit. Mais pour les produits les plus critiques, il faut obligatoirement passer par un contrôle indépendant, réalisé par un « organisme notifié », l'équivalent d'un examinateur externe agréé, chargé de tester le produit régulièrement. Reste à savoir qui surveille ces examinateurs. En France, c'est l'ANSSI, désignée « autorité notifiante », qui évalue, autorise puis contrôle ces organismes. Mais avant même d'obtenir le feu vert de l'ANSSI, chaque organisme doit d'abord décrocher une accréditation auprès du Cofrac, l'organisme national chargé de certifier la fiabilité des évaluateurs, tous secteurs confondus.
Une fois les produits sur le marché, la conformité vérifiée en amont ne suffit plus, encore faut-il s'assurer qu'elle est respectée dans la durée. C'est là qu'intervient l'Agence nationale des fréquences (ANFR), l'organisme qui régule déjà les équipements radio et télécoms en France, désormais chargée aussi de faire respecter le Cyber Resilience Act, avec l'appui technique de l'ANSSI. Elle pourra mener des contrôles a posteriori chez les fabricants, et les mauvais élèves s'exposeront à de lourdes conséquences, comme le retrait pur et simple de leur produit du marché européen, ou des amendes.
Car un règlement sans sanction resterait lettre morte. Ce dernier prévoit deux plafonds d'amende, sans que l'on sache encore précisément lequel s'appliquera dans chaque situation. Il est prévu jusqu'à 15 millions d'euros d'un côté, ou jusqu'à 2,5 % du chiffre d'affaires annuel mondial de l'entreprise de l'autre, montant qui pourrait vite dépasser les 15 millions pour les plus grosses structures. De quoi convaincre les plus récalcitrants que la cybersécurité ne doit pas être qu'une banale ligne budgétaire.
Le CRA n'est d'ailleurs pas seul en piste : aux côtés de la directive NIS2, qui encadre la sécurité opérationnelle des organisations, et du règlement DORA, dédié à la résilience numérique du secteur financier, il complète un arsenal réglementaire européen désormais bien fourni pour enfin réserver à la cybersécurité la place qu'elle mérite.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.